なんとなく使ってるプラグイン、実はけっこう危ないかもしれないって知ってた？🤔
最近、281個ものMCP（Model-Connected Plugins）プラグインを調べた調査があって、その結果がちょっとびっくりだったんだ💡
72％は「高い権限」を持ってるってマジ？
調査によると、なんと72％のプラグインがユーザーの許可以上の「高い権限」を使える状態だったみたい⚠️
「高い権限」って言われてもピンとこないかもだけど、つまりプラグインが大事な操作をできちゃうってことなんだよね。たとえば、他のアカウント情報を読み取ったり、設定を勝手に変えられたりとか…うーん、考えただけでも怖い😨
1割は「完全に悪用可能」って…！？😳
それだけじゃなくて、調査では10個に1個のプラグインが、悪意ある人に完全に乗っ取られるリスクがあるって判明してるんだって。
つまり、そんなプラグインを使ってると、自分の情報が盗まれたり、サービスが壊されたりするかもってことだよね💭
どうしてこんなことになるの？
正直言って、わたしもこの分野はまだまだ勉強中だけど、調査のポイントはこんな感じ👇
- プラグインの設計で権限管理が甘い
- 不正アクセスや操作を防ぐチェック仕組みが不十分
- コードのミスや見落としが多いことも原因
プログラムって難しいから、完璧に安全を作るのはすごく大変なんだろうなって思う💭
じゃあどうすればいいの？
これ聞くと「プラグイン全部ダメなの？」って思うかもだけど、そうじゃないよ✨
- 公式や信頼できる開発者のプラグインを使う
- 入れる前に少しでも評判やレビューを確認する
- 使わなくなったらちゃんと削除する
これだけでもかなり安全に近づけるんじゃないかなと思う🥺
あと、プラグインの開発者さんにももっとセキュリティを意識してほしいなぁって願うばかり🌸
プラグインって便利だけど、ちょっと怖い面もあるって気づいたら、少しだけ気をつけてみるのもアリだよね👀✨
はてな
コメント
ハンナ
あらゆるMCP実装もノリだけで作られてるんじゃないかって思うよね。
リリー
Scott Hanselmanが言うには、MCPの「S」は「セキュリティ」のSだってさ。
ノーラン
つまり、ぼんやりした言葉の関係グラフみたいな謎のブラックボックスを使って技術を操作するなんて、そもそも頭おかしい企画なんだよ。
クリス
AI関連のゴタゴタのおかげで、自分は変な罠にハマらない賢い開発者だと感じられてる。
ハンナ
なんでこのサブにMCPのスパムがこんなに多いの？
ノーラン
5年前に聞いたブロックチェーン企業って、みんなユーザーから金を騙し取る計画してる連中だったよね？ 今はそのままAI/MCPを押してる。
サム
これに安全な方法なんて絶対ない。 時間の無駄、MCPは絶対にうまくいかないよ。
ワット
このバブルが弾けるのが早い方がいいね。
ハンナ
マイクラのモッドのセキュリティ報告かと思ったら、生成AIの話でガッカリした。 記事もMCPの意味を全然説明してなくてひどい。
グレース
MCPサーバーのほとんどは、最初からファイルにデータを書き込む設計だから、7割がそうでも驚かないよ。
ロバート
知らなかった人のために： https://en.wikipedia.org/wiki/Model_Context_Protocol
ミア
この記事はLLMセキュリティを売ってるPyntって会社のもので、話半分で読んだほうがいいよ。
サム
公開MCPはマジでバカげてる。
ベン
なんでこのサブはそんなにAIに反対なの？
ジャック
わあ、72％ってヤバい数字だね。 毎日使うプラグインの安全性がこんなに怪しいなんて怖いよ…。 便利さとリスク、どっちが大事なんだろう？ 10％の危険性なんて完全に悪用される可能性あるし、もっとセキュリティ強化を本気で考えないとね。
