MCP の構成は、今は権限です
Langflow の脆弱性は、エージェントによるツールの使用方法の制御とともに、MCP 接続設定に明確な所有権、アクセス チェック、レビューが必要な理由を示しています。
決定の概要
MCP 接続は、どのコードが実行されるか、およびエージェントがどのシステムに到達できるかを決定できます。接続を構成する権限は、そのツールを使用する権限とは別に扱ってください。
Langflow の脆弱性によって明らかになったもの
Langflow の CVE-2026-105740 に関するアドバイザリには、9.9 と評価される重大な脆弱性が記載されています。 1.9.0 より前の影響を受けるバージョンでは、サインインしているユーザーはすべて、stdio トランスポートを使用して MCP サーバーを追加できました。 Langflow は、提供されたコマンドをセキュリティ検証なしで bash に渡しました。このコマンドは、MCP設定ページを開いた場合など、Langflowがサーバー一覧を取得して利用可能なツール数を数える際に実行されました。開発専用として文書化されているデフォルトの自動ログイン設定が有効になっている公開されたインスタンスでは、攻撃者がアカウントなしでアクセスを取得する可能性があります。
MCP (モデル コンテキスト プロトコル) は、AI アプリケーションをツールやデータに接続します。その stdio トランスポートは、サーバーをサブプロセスとして起動します。これは予期された動作です。ここでの失敗は、通常の Langflow ユーザーが、Langflow プロセスの権限で実行されるチェックされていないコマンドを選択できたことでした。
The Hacker News は、ハニーポットに対する悪用の試みに関する Previdian の観察を報告しました。 10 月 15 日のレポートの更新では、28 の IP アドレスからの試行の合計が 1,706 になっています。これらの数字は、おとりセンサーに対する試みを示しており、侵害された組織の数を明らかにするものではありません。
バージョン 1.9.0 では、設定 API にコマンド、引数、環境の検証が追加されました。フォローアップ アドバイザリ CVE-2026-105697 では、1.10.3 まで脆弱なままだったフローのパスが文書化されています。このリリースでは、プロセスを開始する直前に検証を適用し、bash ラッパーを削除しました。
Langflow を実行しているチームは、これらの修正を含む現在サポートされているリリースにアップグレードし、自動ログインを無効にして、既存の MCP サーバー構成を確認する必要があります。共有インストールの場合、アドバイザリでは、stdio サーバーが実行できるパッケージを制限することも推奨しています。
接続セットアップに所有者が必要な理由
MCP 接続は、エージェントが使用する資格情報の権限の範囲内で、リポジトリ、サポート チケット、顧客レコード、またはクラウド アカウントへのルートをエージェントに提供できます。その接続を追加または変更するかどうかは、アクセスの決定によって決まります。ローカル構成ファイルに保存しておくと、チームの他のメンバーがその決定を確認するのが難しくなる可能性があります。
接続所有者は、どのサーバーが追加されるのか、誰が変更を承認するのか、その資格情報で何が許可されるのかを説明できる必要があります。各ツール リクエストには、独自のアクセス チェックと、チームのポリシーで必要なレビューが必要です。
サーバーを追加または変更できるユーザーと、サーバーが使用する資格情報を決定します。誰がそのツールを呼び出すことができるのか、どのアクションが他の人のレビューを必要とするのかを個別に確認してください。決定と結果を記録します。ゲートウェイは、それを経由してルーティングされるリクエストをカバーします。ローカル プロセスの実行には独自の制御が必要です。
図を原寸で開く： 接続のセットアップとツールの使用には、個別の権限チェックがあります。
レビューでは、API レビューと同じ質問を使用できます。つまり、誰が呼び出すことができるか、どのシステムとリソースにアクセスできるか、変更がどのようにレビューされるかなどです。接続設定とツールの使用許可は個別にチェックする必要があります。
セキュリティ、IT、プラットフォームのチームにとって、有益なレビューは 3 つの質問から始まります。
- MCP 接続を追加または変更できるのは誰ですか?
- 質問者以外の承認者が必要なエージェントのアクションはどれですか?
- チームはどのツール呼び出しを検査でき、どのような記録が残りますか?
IT チームとプラットフォーム チームは、接続を有効にする前にセキュリティに関するこれらの質問を確認し、サーバー、認証情報の範囲、または利用可能なツールが変更されたときに再度質問することができます。
レビューを ISO/IEC 42001 に接続する
ISO/IEC 42001は、AIマネジメントシステムの要求事項を定めています。規格への対応を進めるチームにとって、MCP接続、その管理担当者、アクセス範囲、変更時の確認手順を文書化することは、取り組みの出発点になります。これらの記録は、AIリスク、方針、責任体制に関する幅広い取り組みの一部です。
Durin は、チームがゲートウェイ経由でルーティングされる MCP リクエストを管理するのに役立ちます。チームは、アクセス ルールを設定し、提案された変更を別の人にレビューするように要求し、ツール呼び出し記録を検査することができます。直接アクセスとローカル プロセス実行の制御は、引き続き広範なセキュリティ プログラムの一部です。