MCP サーバーを入れる前のセキュリティチェック: 何ができるサーバーかは、つなぐ前に見られる

2026年11月16日

便利そうな MCP サーバーを見つけて、紹介されているコマンドをそのまま貼って入れていませんか？ MCP サーバーはエージェントに新しい道具を渡します。その道具でファイルを消せるのか、外に通信するのかは、入れたあとでないと分からないのでしょうか？

サーバーが持っている道具の一覧は、エージェントにつなぐ前にコマンド1つで見られます。 Claude Code と Codex で、入れる前と入れたあとに見る所を順に確かめました。

環境

macOS 26.6.2
Claude Code 2.1.311
Codex CLI 0.167.1
2026年11月12日に確認

手順

MCP サーバーは、知らない人のプログラムにエージェント経由で仕事をさせる

MCP サーバーは、ファイルを読む、データベースに聞く、ブラウザーを動かすといった「道具」をエージェントに足す仕組みです。エージェントは作業の途中で、必要だと考えた道具を自分で呼びます。動かし方は大きく2つあります。

動かし方	中身	気をつけること
手元で動かす(stdio)	`npx` などで、手元の Mac の上でプログラムとして動く	自分と同じ権限で動く。ホームの下のファイルも読める
外のサーバーにつなぐ(HTTP)	相手のサーバーに、道具の呼び出しを送る	渡した内容が、相手のサーバーに届く

どちらも、知らない人が書いたプログラムにエージェントを通して仕事をさせることになります。入れる前に、次の順で確かめます。

-- の後ろの、実際に手元で動くコマンドを読む

紹介されているコマンドのうち、-- の後ろが実際に手元で動くコマンドです。

terminal$ claude mcp add filesystem -- npx -y @modelcontextprotocol/server-filesystem /path/to/calc-app

まず、パッケージの名前が公式のものと1文字も違わないかを確かめます。よく似た名前の偽物があるためです。次に、ホーム全体のような広すぎるフォルダーを渡していないかを見ます。API キーなどの環境変数を渡すなら、そのサーバーに要る最小の権限のキーにします。

道具の一覧は、inspector でつなぐ前に出せる

MCP の公式の点検の道具(inspector)を使うと、エージェントにつながずに、サーバーが持つ道具の一覧を出せます。公式の資料では、ブラウザーで開く Web、コマンドで使う CLI、ターミナルの画面で使う TUI の3つの使い方が紹介されていて、ここでは結果を文字で受け取れる CLI を使います。

terminal$ npx -y @modelcontextprotocol/inspector --cli \
  npx -y @modelcontextprotocol/server-filesystem /path/to/calc-app \
  --method tools/list

ファイルを扱う公式のサーバーでは、read_file、write_file、edit_file、create_directory、list_directory などが出ました。読むだけのつもりで入れても、書き込む道具とフォルダーを作る道具が入っています。 頼みたい作業に要らない道具(消す、書く、送る)が入っていたら、そのサーバーを使うかを考え直します。

Claude Code の project の置き場所は、.mcp.json でリポジトリの全員に渡る

Claude Code では、足すときに置き場所を選べます。

置き場所(`-s`)	設定が入る所	効く範囲
`local`(初めの値)	自分の設定の中の、そのプロジェクトの分	自分だけ、そのプロジェクトだけ
`project`	プロジェクトの `.mcp.json`	リポジトリを使う全員
`user`	自分の設定	自分の、すべてのプロジェクト

project で足すと、設定は .mcp.json に入り、リポジトリと一緒にほかの人にも渡ります。環境変数の値も、そのままファイルに書かれます。

中身は claude mcp get でも見られます。

terminal$ claude mcp get filesystem
filesystem:
  Scope: Project config (shared via .mcp.json)
  Status: ⏸ Pending approval (run `claude` to approve)
  Command: npx
  Args: -y @modelcontextprotocol/server-filesystem /path/to/calc-app
  Environment:
    API_TOKEN=…

Pending approval は、まだ承認していないので動いていないという意味です。ほかの人のリポジトリを開いたときに、.mcp.json に書かれたサーバーが勝手に動くことはありません。 承認を聞かれたら、先にここでコマンドと環境変数を読みます。

Codex の config.toml には、環境変数の値がそのまま入る

Codex では、設定は全体の ~/.codex/config.toml に入ります。プロジェクトごとではないので、どのフォルダーで Codex を開いてもそのサーバーが使えます。

terminal$ codex mcp list
Name        Command  Args                                          Env              Status
filesystem  npx      -y @modelcontextprotocol/server-filesystem …  API_TOKEN=*****  enabled

一覧では環境変数の値が ***** で伏せられますが、config.toml には値がそのまま書かれています。

toml[mcp_servers.filesystem]
command = "npx"
args = ["-y", "@modelcontextprotocol/server-filesystem", "/path/to/calc-app"]

[mcp_servers.filesystem.env]
API_TOKEN = "xxxx-your-token"

config.toml を人に見せたり、設定を集めたリポジトリに入れたりするときは、この値が入ったままになっていないかを確かめてください。

使わなくなったサーバーは mcp remove で外す

入れたままのサーバーは、使っていなくてもエージェントから呼べる状態で残ります。

terminal$ claude mcp remove filesystem -s project
$ codex mcp remove filesystem

注意点

npx -y は、確認なしで最新の版を取ってくる

npx -y は動かすたびに、パッケージの最新の版を確認なしで取ってきます。パッケージが乗っ取られると、次に動かしたときにその中身が手元で動きます。長く使うサーバーは、パッケージ名@版 の形で版を固定します。

道具の説明の文も、エージェントは指示として読む

道具の一覧には、道具ごとの説明の文が付いていて、エージェントはその文を指示として読みます。知らないサーバーを入れるときは、説明の文に「ほかのファイルを読め」「結果をどこかに送れ」のようなおかしな指示が入っていないかも確かめます。

版を上げたら、tools/list を出し直す

サーバーの版が上がると、道具が増えることがあります。

まとめ

MCP サーバーが何をできるのかは、inspector の tools/list でエージェントにつなぐ前に見られます。Claude Code は承認するまでサーバーを動かさず、Codex は環境変数の値を config.toml にそのまま書きます。

入れる前に、動かすコマンドと道具の一覧の2つだけは読んでください。 スキルを入れる前に見る所は、スキルを入れる前の確かめ方に書きました。

参考文献

著書

とあるクリエイター

フロントエンドエンジニア Next.js / React / TypeScript / Node.js / Docker / AI Coding

T-CREATOR

MCP サーバーを入れる前のセキュリティチェック: 何ができるサーバーかは、つなぐ前に見られる

環境

手順

注意点

まとめ

参考文献

著書

とあるクリエイター

MCP サーバーの記事MCP サーバー