David Hervieux, Devolutionsの社長兼CEO David Hervieux Devolutionsの社長兼CEO

LLMとMCPサーバー：リモートアクセスのための新しいブループリント

LLM（Large Language Model）を採用する組織は増えてきています。LLMは、自然言語の解釈、トラブルシューティングのガイダンス、管理者を遅くする繰り返しのタスクの自動化に優れています。AIアシスタントが「プライマリLinuxクラスターに接続し、失敗したログインを確認する」という指示を受け取り、完全にオーケストレートされたアクションをすぐに実行する場合、効率と生産性の向上は明らかです。このトレンドの一環として、LLMは、ハイブリッド、クラウド、オンプレミス環境全体でリモート接続と特権アクセスを管理するツールを含む、IT運用の最も機密性の高い領域の一部に導入されています。リモートアクセスシステムは、信頼、アイデンティティ、運用コントロールの交差点に位置しています。管理者セッション、認証の仲介、機密ワークロードを運用を維持する責任がある人々に接続することを管理します。リモートアクセスにおけるAIの中間層の必要性リモートアクセスにおけるLLMの拡大は便利ですが、問題もあります。コマンドを実行するかホストに接続するために、一部のAIツールは単に資格情報を取得してLLMに渡します。これは便利なショートカットですが、潜在的に危険なものでもあります。モデルがパスワードまたはキーを受け取ると、特権境界が崩壊します。組織は資格情報のガバナンス、監査可能性を失い、LLMは環境の核心にアクセスできる新しい、不透明なアクターになります。さらに、モデルは操作された入力によって影響を受ける可能性があるため、資格情報の公開はさらにリスクが高まります。また、LLMのコンテキストデータに対する欲求は、キー、トークン、管理パスを守るシステムのリスキーな同伴者にします。最終的に、LLM（およびそれらを利用する関連AIツールとモデル）は非常に役立つかもしれませんが、秘密を保持または操作することは決して許可されるべきではありません。そうするにはまだ十分に成熟していないからです。これらの懸念と脆弱性の光に、CIO、CISO、運用リーダーにとって、中心的な質問が浮かび上がってきます：私たちがLLMをどのように有効にし、位置付けなければならないのでしょうか？それらを私たちに助けてもらうには、しかし、それらを私たちの特権ワークフローに近づけすぎないように？幸いなことに、答えが現れてきており、建築的脆弱性を強みに変えている：モデルコンテキストプロトコル（MCP）サーバーです。MCPサーバー：インフラストラクチャとのLLMのやり取りを再定義するMCPサーバーは、セキュアな中間者として機能し、LLMがアクションを要求できるようにしますが、資格情報や特権パスに触れることはありません。組織がAI支援運用に深みを増すにつれて、MCPスタイルのアプローチは、安全でスケーラブルな統合のブループリントとして浮かび上がってきています。MCPサーバーは、多くのセキュリティアーキテクトが長年にわたって必須であると主張してきた懸念の分離を導入します：AIが支援しますが、制御されたシステムが実行します。LLMに直接アクションを実行する権限を与えるのではなく、モデルは意図（たとえば、「ここに接続してください」、「ログを収集してください」、「このポリシーを確認してください」）を表現することのみに限定され、MCPサーバーがこれらの要求を解釈し、ポリシーを適用し、検証されたツールを介してルーティングします。重要なのは、このアプローチは、NIST AIリスク管理フレームワークで説明されている原則と一致しており、ツールの境界、仲介された権限、人間によるエスカレーションを強調しています。この設計が特に影響力を持つのは、LLMが機密情報を受け取ることはないということです。認証は、内部でセキュアな資格情報インジェクションを介して処理されます。結果として、LLMは結果のみを見て、秘密自体は見ないことになります。LLMは何が起こったかを説明し、問題のトライアウトを支援し、人間が次のステップを進めるのを支援できますが、独自に認証することはできません。セキュリティ研究は、AIモデルとローカルツールの間のトランスポートレイヤーが攻撃面の重要な部分であることを強調しています。たとえば、OWASPのLLMアプリケーションのトップ10は、不確実なプラグインの相互作用（特にオープンローカルホストHTTPエンドポイントを介して公開されるもの）が、信頼されていないローカルプロセスが特権アクションをトリガーできるようにすることを強調しています。MCPスタイルのアーキテクチャは、これを回避するために、名前付きパイプなどのOS強制、ユーザー範囲のチャネルに依存します。これは、ENISAのAIアタッチメントポイントに関する警告と、高特権環境でそれらが紹介するリスクと一致しています。MCPサーバーのもう1つの重要な利点は、リモートセッション内でアクションを実行する能力です。セキュアな仮想チャネルまたは同等のメカニズムを使用して、MCPサーバーはRDPまたはSSH環境内で直接操作を実行できますが、脆弱なMFAバイパススクリプトに依存する必要はありません。このアプローチは、利便性とガバナンスを組み合わせます：管理者は強力な自動化を取得しますが、ゼロトラストの原則を犠牲にすることはありません。これらの特性は、安全なAI統合の定義を再定義します。機密システムをAIで囲むのではなく、組織は間に堅牢なレイヤーを配置し、AIが何を要求し、受け取ることができるかを定義します – そして、同様に重要なのは、AIが見ることができないものを定義します。LLM + MCPアーキテクチャの運用上の利点この設計の運用上の利点は大きいです。MCPを介してAIを仲介することで、ITチームは、環境の設定、構成の標準化、複数のセッションタスクを、シンプルな自然言語でオーケストレートできます。これは、問題の特定と解決の間の時間を大幅に短縮する可能性があります。特に、コンテキストスイッチングが通常すべてを遅くするハイブリッド環境でです。これらの改善は、業界の予測と推奨事項とも一致しています。 Gartnerは、ハイブリッドインフラストラクチャ管理のためのLLM支援IT運用を、加速器として指摘しています。モデルはログを分析し、複雑なデータセットを要約し、人間をトラブルシューティングのステップを通じてガイドします – すべてMCPレイヤーがアクションをコンプライアントで追跡可能であることを保証しながらです。結果は、速度の向上のみではなく、ガバナンスの強化でもあります。LLMが一貫してタスクを同じ堅牢なパスを介してルーティングする場合、組織は信頼性の高い監査証跡、再現可能なワークフロー、人間とAIの活動の間の明確な帰属を見つけます。ログには、プロンプト、ツールの呼び出し、セッションの詳細、ポリシーの参照が含まれます – すべてこれらは、AI駆動環境で増えてきている透明性をコンプライアンスチームに提供します。このアプローチには、文化的な利点もあります。ITチームは、手間（たとえば、ログのレビュー、繰り返しのチェック、退屈な管理ステップなど）を「オフロード」することで、エネルギーと焦点をより高価値の仕事に向けられるようになります。これは、ハイブリッドインフラストラクチャの広がりで薄く伸びている運用グループでは、効率と士気の両方を改善することができます。最後に、MCPアーキテクチャは複数のLLMをサポートできるため、組織は単一のプロバイダーに縛られることはありません。商用、オープンソース、またはオンプレミスモデルを選択できます。規制上の要件やデータガバナンスの好みに応じてです。まだ注意が必要なセキュリティリスク私たちが探索してきた利点は大きいものですが – ある意味では変革的です – 仲介レイヤーがあっても、LLM支援環境はリスクフリーではないことを指摘することは必要であり、責任もあります。4つの懸念を強調する必要があります： 前述のように、プロンプトインジェクション（直接および間接）がLLMに対する最大の懸念事項であり、最も広く文書化された攻撃クラスの1つです。 メタデータの公開は別の懸念事項です。MCPサーバーが資格情報を保護する場合でも、チームがデータ最小化の実践を強制しない限り、プロンプトと応答はホスト名、内部パス、トポロジーパターンを漏らす可能性があります。 MCPベースのシステムは新しいマシンIDを追加します：ツールサーバー、仮想チャネル、エージェントプロセス。 業界の調査によると、マシンIDは多くの組織で人間のIDをはるかに上回っており、これらのIDの不正管理は脆弱性の増大につながっています。 最後に、AIサプライチェーンは無視できません。モデル更新、ツールの拡張、統合レイヤーには、継続的な検証が必要です。 ENISAの分析は、AIシステムが従来のソフトウェアスタックよりも幅広い、かつ壊れやすいサプライチェーンを導入することを強調しています。 次の12ヶ月：実用的アプローチ特権環境でLLM駆動の自動化を探索する組織は、MCPスタイルの仲介を期待されるベースラインと見なすべきです。今年のうちに、リーダーは以下の実用的ステップを踏むことができます： 内部のガバナンスモデルを確立し、承認されたLLMとアクセスできるデータを定義します。 AI駆動の特権アクションがすべて、資格情報と直接対話するのではなく、MCPスタイルのレイヤーを介してルーティングされるようにします。...