新しい研究が、AIエージェントと外部ツールをつなぐ統一仕様「Model Context Protocol（MCP）」を利用するサーバ群で発生する潜在的な情報漏えい経路を注意深く検証しました。論文「My Credentials, Please: Detecting Filesystem Capability Laundering in MCP Servers at Scale」は、ツール契約（名前・説明・引数スキーマ）と、実際にサーバが行使できるホスト側ファイルアクセス権の間にギャップが生じうることを示します。

問題の核は「filesystem capability laundering（ファイルシステム能力の漂白）」。クライアント側でツール呼び出しを許可しても、その処理は別プロセスとしてホスト上で実行され、プロセスが持つ広範なファイルアクセス権によって意図しない機密ファイルが読み出され得る、というものです。たとえば「リポジトリ操作をするだけ」のと見せかけたツール呼び出しが、実はユーザーのSSH鍵や設定ファイルなどを返してしまう可能性があります。研究は三つの層でギャップを分析しています：サーバ分類と能力フラグの不一致（L1）、個々ツールの契約と実装の差（L2）、既存のパス検査が回避されるケース（L3）。

方法論として著者らは「MCP-FSD」というフレームワークを構築しました。レジストリを横断してMCPサーバを収集・解析し、ソース静的検査で候補を絞った上で、各ツールに対して「最小権限境界」を推定し、テスト用のマーカー／資格情報フィクスチャを配置して動的に検証する、という二段構成です。動的検証は（1）サンドボックスなしでの悪意ある入力で機密が出るか、（2）推定ポリシー下で正規操作が壊れないか、（3）同じ悪意入力をサンドボックス下で無害化できるか――の三つのケースを組み合わせて脆弱性と封じ込め可能性を判断します。

主な発見は次の通りです。21,097件のMCPサーバをカタログ化し、4,806件を詳しく審査した結果、787サーバ（16.4%）が「ファイル操作能力あり」とフラグ付けされた一方でサービス分類は非ファイル系だったこと、動的検証で150件のインスタンスが確認されたこと。調査中に13件のセキュリティアドバイザリを通報し、そのうちAnthropicのGit MCP Serverに関する二つの脆弱性はCVEが割り当てられ、パッチが提供されています。論文は具体例として、(a) 呼び出し引数で任意の場所にリポジトリを作ってしまうgit_init、(b) リポジトリ外のファイルをステージして差分が返るgit_add、というパターンを示しています。これらは実装上の包含チェックの欠如やライブラリ挙動の隙を突くもので、結果として“正当な操作”の名の下にホスト上の秘密が露出する仕組みを明確にしました。

著者らは対策として、実装側での正規化パス・包含チェック、シンボリックリンクやTOCTOU（チェックと利用の競合）対策、SDKレベルでの安全なパス操作ユーティリティの提供、またはプロトコル拡張としてツールごとの明示的なread/writeスコープ（例：fs_scope）を提示することを提案しています。さらに、最小権限での実行（OSレベルのプロセス隔離やサンドボックス）を用いれば、正当な機能を保ちつつ潜在的な漏えいを防げると報告しています。

同時に研究は慎重な注意を払っています。動的検証は研究者自身がローカルで起動・再現できたサーバに限定され、すべての公開実装を網羅するものではありません。推定した「境界（least-privilege）」自体は自動推論に依存するため過酷すぎると誤検出、緩すぎると見落としが起きる可能性があり、完全な評価には専門家による境界のラベリングやより広い運用検証が必要とされています。加えて、実験は合成フィクスチャを用い、実際の秘密を意図的に使わず、倫理的な開示手順に従ってベンダーへ通報していることが強調されています。