Cloudflare、Cloudflare OneにMCPトラフィック検出と制御を追加

ほとんどの企業は、人間のユーザーを中心に権限モデルを構築してきた。シニアエンジニアは本番環境にデプロイしたり、機密データベースにクエリを実行したりできるが、その権限は人間の判断力と人間の速度によって制限されていた。AIエージェントはその両方の前提を覆す。その判断は非決定的であり、誰かがミスに気づく前に同じツールを何千回も呼び出すことができる。

Cloudflareは、ネットワーク層でModel Context Protocol（MCP）トラフィックを検出する新しいCloudflare One機能でこれに対処している。この機能は検査されたMCPリクエストを識別し、どのユーザーとサーバーがそれらを生成しているかを示し、管理者が管理パス上の直接接続を制御できるようにする。MCPサーバーポータルと組み合わせることで、重要な問いに答えるのに役立つ。エージェントは承認されたパスを使用しているのか、それとも迂回しているのか？

MCPトラフィックが検出しにくい理由

MCPサーバーは、エージェントがSaaS製品、内部アプリ、APIに支えられたツールを発見・呼び出すための標準的な方法を提供する。エージェントをこれらのツールの1つに接続することは、設定の1行で済む。従業員は、承認されているかどうかを確認せずに、Claude Code、Codex、Cursor、または任意のAIハーネスをMCPサーバーに向けることができる。トラフィックには明確な形状がない。MCPは特定のホスト名や/mcpパスを必要としないため、直接接続は他のHTTPS API呼び出しと同じように見える。

Cloudflareの最初の検出アプローチは、GatewayのHTTPログでmcpを含むホスト名と/mcpや/sseなどの一般的なパスを検索するものだった。これは古いクライアントでは機能するが、https://tools.example.com/apiのような通常のURLにあるサーバーを見逃す。新しいプロトコルレベルの検出はより信頼性が高い。

MCPリクエストを制御する3つの場所

MCPツール呼び出しは、3つのポイントで監視または制御できる。

• MCPクライアント内： クライアントフックは、リクエストがシリアル化される前に宛先、ツール名、引数を確認できる。TLS復号化は不要。ただし、制御はすべてのクライアントに複製する必要があり、ローカルのstdioサーバーはネットワークに触れることはない。
• ネットワーク境界： TLS復号化を備えたセキュアWebゲートウェイは、リクエストをユーザーとデバイスに関連付け、プロトコルヘッダーを検査し、非承認サーバーへの直接接続をブロックできる。ローカルのstdio呼び出しやネットワーク外のトラフィックは見えない。
• MCPサーバー： サーバーは最も豊富なコンテキストを持つ。呼び出し元を認証し、メッセージを解析し、引数を検証している。サーバー側ミドルウェアは、ハンドラーが実行される前にツールごとに認可し、レート制限し、ブロックできる。CloudflareのWriteGuardはこのパターンを内部的に使用している。

ネットワーク層は最も広いレンズを持つが、まずMCPを通常のHTTPSと区別する必要がある。Cloudflare Oneは現在、MCP-Protocol-Version、Mcp-Method、Mcp-NameなどのヘッダーとJSON-RPCエンベロープを使用して、プロトコル層でリクエストを分類することでこれを実現している。

セキュリティチームにとっての意味

これらの制御により、管理者は承認されたパスに従わない接続を報告またはブロックできる。検出はCloudflare One Clientを実行している管理対象デバイスで機能し、MCPサーバー（またはポータル）はプロキシが使用されたことを検証できる。これは多層防御アプローチである。深さにはクライアントフック、広さにはネットワーク、クライアントを切り替えても迂回できない強制にはサーバー側チェック。

基盤となる権限は変わっていない。変わったのは、誰が各決定を下すのか、そして悪い決定がどれだけ速く広がるのかということだ。Cloudflareの新機能により、チームはその広がりを確認し、阻止する方法を得られる。