MCP ── AI とツールをつなぐ共通規格が業界標準になるまで

MCP（Model Context Protocol）は、AI アプリケーションを外部のツールやデータソースにつなぐためのオープンな規格である。Anthropic が2024年11月25日に公開し、仕様と SDK、Claude Desktop アプリでのローカルサーバ対応、すぐ使える接続用サーバ群の3つを同時に出した。用語としての定義と技術的な骨格は 用語集の MCP にある。このページが扱うのは、1社の規格がなぜ1年あまりで競合他社まで含めた業界の共通基盤になったのか、そしてそれが何を変えたのかである。

「MCP とは何か」に一言で答えるなら、AI にとっての共通の差し込み口である。Anthropic の発表は、新しいデータ源を1つ足すたびに個別の実装が必要になり、つながったシステムを広げにくいという問題を出発点に挙げた。MCP では、データやツールの側が「MCP サーバ」を用意すれば、対応するどの AI アプリケーションからも同じ手順でつなげる。

2024年11月25日の公開

公開時、Anthropic は Google Drive、Slack、GitHub、Git、Postgres、Puppeteer 向けのサーバを用意した。早期導入企業として決済の Block と営業データの Apollo を挙げ、開発ツールの Zed、Replit、Codeium、Sourcegraph も対応を進めているとした。発表文には Block の CTO、Dhanji Prasanna の「Open technologies like the Model Context Protocol are the bridges that connect AI to real-world applications」という言葉が載っている。

仕様の上では、MCP のメッセージは JSON-RPC 2.0 に従い、サーバはリソース（データ）・プロンプト・ツール（実行できる操作）を提供する。2025年6月18日版の仕様は、HTTP 経由の接続向けに認可の枠組みも定めている。

競合が採用した1年

転機は、最大の競合である OpenAI の採用だった。TechCrunch によると、Sam Altman は2025年3月26日に「People love MCP and we are excited to add support across our products」と書き、Agents SDK で即日使えるようにし、ChatGPT のデスクトップアプリと Responses API にも広げるとした。2週間後には Demis Hassabis が「MCP is a good protocol and it's rapidly becoming an open standard for the AI agentic era」と書き、Google の Gemini でも対応すると表明した。Microsoft は OS の層で取り込み、Windows 11 で MCP をエージェント間通信の基礎にすると発表した。

Agentic AI Foundation への寄贈

2025年12月9日、Anthropic は MCP を Linux Foundation 傘下に新設された Agentic AI Foundation（AAIF）に寄贈した。AAIF の共同設立者は Anthropic、Block、OpenAI で、Block のエージェント基盤 goose と、OpenAI が提供した、コーディングエージェントにプロジェクトごとの指示を渡す形式 AGENTS.md も、創設時のプロジェクトとして加わった。プラチナ会員には AWS、Anthropic、Block、Bloomberg、Cloudflare、Google、Microsoft、OpenAI の8社が名を連ねた。

寄贈時点の規模について、Anthropic は公開されている MCP サーバが1万を超え、Python と TypeScript の SDK の月間ダウンロードが9700万を超えたとしている。採用製品として ChatGPT、Cursor、Gemini、Microsoft Copilot、Visual Studio Code を挙げた。いずれも Anthropic 側の数字である。

1社が作った規格を中立の財団に移したことで、競合各社は自社の主要製品をライバルの管理する規格に依存させずに済むようになった。Linux Foundation の Jim Zemlin は発表で、オープンなガバナンスだけがもたらす透明性と安定性に触れている。

道具を増やすことの危うさ

MCP が広がるほど、エージェントに多くの道具と権限を渡すこと自体の危険も見えてきた。2025年5月26日、セキュリティ企業 Invariant Labs は、公開リポジトリの Issue に仕込んだ指示によって、GitHub の MCP サーバにつないだエージェントをだまし、利用者の非公開リポジトリの内容を公開側のプルリクエストに書き出させる手法を公表した。同社は、これは GitHub の MCP サーバのコードの欠陥ではなく、エージェントの仕組みの側で対処すべき問題だとしている。

開発者の Simon Willison は2025年6月、私的なデータへのアクセス、信頼できない内容への接触、外部への送信能力の3つがそろうと危険だとして、これを「lethal trifecta」と呼び、さまざまな出所のツールを組み合わせやすい MCP はこの3つを知らないうちにそろえてしまいやすいと指摘した。Microsoft も Windows での採用発表で、画面上の文書などに埋め込まれた指示による乗っ取り（クロスプロンプトインジェクション）、ツールの汚染、認証情報の漏洩を脅威として挙げ、署名の義務化や利用者による承認を対策に掲げた。

何が変わったのか

MCP の普及で、AI の価値は「モデルがどれだけ賢いか」に加えて「どれだけのツールやデータにつながっているか」で測られるようになった。社内システムを持つ企業は、1つの MCP サーバを用意すれば複数の AI 製品から使える。逆に言えば、AI が触れる範囲を管理する責任も利用者側に移った。

この規格を使う代表的な道具は Claude Code と OpenAI Codex で、MCP を経由した悪用の実例は GTG-1002 のページにある。AI エージェントという考え方の始まりは Auto-GPT を、同じ時代の流れは AI の年表 と オープンソースの年表 を参照。