検索半径を巨大にするだけでサーバーが落ちる IBMがMCPの資源悪用を止める

3行まとめ

• MCPツールは検索半径や画像枚数を巨大にするだけでバックエンドを過負荷にできる
• IBMのAEGISはLLMでツール呼び出しを解析し、ポリシーで判定できる形にそろえる
• Open Policy Agentと連携し、上限を超える要求をゲートウェイで拒否する

何が起きたか

IBM Researchの研究者3人が、AIエージェントによる資源悪用を止める仕組みAEGISを発表しました。MCP（Model Context Protocol）MCP（Model Context Protocol）LLMが外部のツールやデータに接続するためのオープンな規格。JSON-RPCという形式で通信する。用語集でこの語を見るは、LLMが検索や画像生成のツールを呼び出すための共通規格です。攻め口はパラメータです。

ツール呼び出しのパラメータに極端な値を入れると、形式上は正しい要求のままバックエンドを過負荷にできます。論文は、巨大な検索半径や長時間の動画の要求を例に挙げています。

EnkryptAIが1,000台のMCPサーバーを調べた先行調査では、15%に資源枯渇の脆弱性がありました。この論文は査読を経て、信頼性分野のIEEE国際会議DSN 2026の補足論文集（DSN-S）に採録されています。

なぜ難しい・何がすごいか

守る側がポリシーを書けない原因は、ツールごとの呼び出し方のばらつきです。同じ「件数の上限」でも、パラメータ名はサーバーによってlimit・maxResults・countと割れます。位置情報のツールではradiusとinitial_radiusが混在します。

データの種類による負荷の差も無視できません。論文は、テキスト100件の取得は動画100本の取得や生成よりはるかに軽いと指摘します。数百のサーバーを人手で調べて個別ルールを書く運用は回りません。

AEGISはLLMにツール定義を読ませ、3つの軸で分類させます。

• データの種類: テキスト・画像・動画・音声・位置
• 操作: 生成・取得・削除
• パラメータの役割: 量・時間・品質

パラメータ名のばらつきは共通の語彙に正規化します。limitもmaxResultsもnum_recordsに寄せます。ここが提案の核です。

そろえてしまえば、管理者は1枚のポリシー雛形を別々のサーバーに使い回せます。

たとえ話

AEGISの役割をたとえるなら、遊園地の乗り物ごとに身長制限の物差しを自動で作る係です。ジェットコースターとメリーゴーラウンドでは安全の条件が違い、係員によって「身長」「背丈」と呼び方もばらばらです。人手で全部の乗り物を調べて基準を書いていたら、新しい乗り物の増設に追いつけません。

この係は乗り物の説明書を読んで基準と呼び方をそろえ、入口のゲートで超過だけを止めます。

用語ミニ辞典

• MCP（Model Context Protocol）: LLMが外部のツールやデータに接続するためのオープンな規格。JSON-RPCという形式で通信する。
• 資源悪用（リソースアビューズ）: 正規の呼び出しのままパラメータを極端にして、計算資源やメモリを食いつぶす攻撃・誤用。
• MCPゲートウェイ: エージェントとMCPサーバーの間に立ち、認証や検査をまとめて行う中継役。IBMのContextForge AI Gatewayはその一例。
• Open Policy Agent（OPA）: 要求を通すかどうかをルールで判定する汎用のポリシーエンジン。

技術者向けの深掘り

AEGISは準備（ブートストラップ）と実行時の2段で動きます。準備段階では、AEGISがゲートウェイのlist_tools()でツール定義を集めます。

Claude 4 Sonnetが各定義をオントロジー（分類と正規化の結果の表現）に変換します。変換結果はRedisに載せます。

実行時はOPAが正規化済みのパラメータをポリシーと照合し、上限を超えた要求を拒否します。精度は、OpenToolsレジストリの56サーバー・937ツール定義への人手ラベルと比べて測りました。全タスクで84%を超え、パラメータ名の正規化は完全一致で0.8321でした。

防御効果は、6万枚の小さな画像を配る自作のCIFAR-10サーバーで測りました。標的は画像をまとめて取り出すツールのcount（枚数）パラメータです。AEGISは118回の負荷試験を行い、どの負荷でもエラー率0.1%未満を保てたcount=10を上限に選びました。

効果は数字に出ました。攻撃想定として、count=1000の要求を200ユーザーが同時に送ります。無防備のサーバーは200件中4件しか返せませんでした。

AEGISを挟むと失敗応答は0件になります。スループットも毎秒1.34リクエストから30.03に上がりました。

これは自分に関係ある？

• MCPサーバーを公開しているエンジニア: 上限の無いパラメータは、資源枯渇の攻撃にそのまま使われます。EnkryptAIの調査は、1回の悪意ある要求で落ちるサーバーの存在を報告しています。
• AIエージェントを業務に組み込んでいる人: エージェントは悪意が無くても極端な値を出します。ゲートウェイ側で上限を敷く手法が学会で公表された、という段階です。
• 一般の読者: 論文はMCPサーバーの数が増え続けていると述べています。増えるほど注文の上限を決める作業も膨らみ、AEGISはその作業を自動化する提案です。