見分ける手がかりはヘッダ1行 社内のAIエージェント通信を捕まえる

3行まとめ

• MCPMCPAIエージェントが外部のツールを見つけて呼び出すための共通の作法。設定1行でつながります。の通信は普通のHTTPSと見分けが付かない。ホスト名にもパスにも決まりが無い
• Gateway が MCP-Protocol-Version ヘッダで判定して遮断できる
• 未承認サーバへの接続と、承認済みサーバの正門迂回は別の問題

何が起きたか

Cloudflare が Cloudflare One に、MCP の通信を識別する機能を追加しました。TLS検査TLS検査暗号化された通信を経路上でほどいて中身を見る仕組み。ヘッダを読む前提になります。を通ったリクエストを対象に、MCP かどうかを判定します。Zero Trust の利用者は Gateway の HTTP ログでその印を見られます。

専用のダッシュボードも付きました。どのサーバが MCP 通信を受けているか、どの利用者が出しているか、承認済みの窓口を通っているかを一覧できます。

会社の権限設計は人を前提にしてきました。変な結果が出れば人は手を止めますし、1日に押せるボタンの数にも限りがあります。エージェントにはその2つのブレーキがありません。

なぜ難しい・何がすごいか

MCP の通信には決まった形がありません。ホスト名に mcp が入る保証はなく、パスに /mcp を含む必要もありません。直接つないだ通信は、ごく普通の HTTPS API 呼び出しと同じ見た目になります。

Cloudflare の最初の方法は文字列探しでした。ログのホスト名に mcp が入るもの、パスが /mcp・/sse のものを拾います。

これでは普通の URL のサーバを取りこぼします。https://tools.example.com/api のような宛先です。逆に mcp という文字が入った無関係なサービスを拾います。

仕様側が変わりました。2025-11-25 版は MCP-Protocol-Version ヘッダを必須にしました。初期化のあとの HTTP リクエストすべてが対象です。

2026-07-28 版は POST すべてに要求します。手がかりが URL の当てものからヘッダ1行に移りました。

たとえ話

守衛が正門を見ていても、通用口から入られたら意味がありません。承認したサーバは Portal という正門の裏に置き、社員はそこを通ります。サーバ本体の URL を知っていれば、正門を素通りして直接つなげます。

その場合は入場審査も持ち物検査も記録も飛びます。今回の追加は、正門を通っていない通信をネットワーク側で見つけて止めるためのものです。

用語ミニ辞典

• MCP: AIエージェントが外部のツールを見つけて呼び出すための共通の作法。設定1行でつながります。
• shadow MCP: 組織が承認していない MCP サーバへの接続。社員がリポジトリや同僚の紹介で見つけて、自分のクライアントに足したもの。
• MCP Server Portal: 承認済みサーバの手前に立つ窓口。ID認証・使えるツールの絞り込み・記録をまとめて掛けられます。
• TLS検査: 暗号化された通信を経路上でほどいて中身を見る仕組み。ヘッダを読む前提になります。

技術者向けの深掘り

止められる場所は3つあり、それぞれに死角があります。

• クライアント内: モデルがツールを選んだ後、リクエストを組み立てる前にフックを挟みます。宛先・ツール名・引数がそのまま見え、ネットワークに出ない local stdio サーバも押さえられます。死角は標準化で、社員が使うクライアントごとに同じ制御を作り直すことになります。
• ネットワーク境界: Gateway が復号後のリクエストを見ます。クライアントの種類に依存せず、利用者と端末に紐付きます。死角は local stdio・社外ネットワーク・Do Not Inspect 指定の通信です。
• MCPサーバ手前: 認証も引数のスキーマ検証も済んだ状態で、ハンドラ実行の直前に落とせます。クライアントを替えても迂回できません。死角は、実装したサーバしか守れないことです。

Gateway のポリシーはこう書きます。

experimental.is_mcp == true and not traffic.onramp in ("mcp_portal")

Portal を通った通信には mcp_portal という Traffic Source が付きます。これで直接接続だけを落とせます。ヘッダが無いことは MCP でない証明になりません。

これは自分に関係ある？

• 会社支給の端末でAIエージェントを使う人: つないだ MCP サーバが管理側のログに残る形になりました。
• 情シス・セキュリティ担当: MCP らしい URL のリストを自前で持たずに検知できます。ただし TLS検査が前提で、local stdio と社外接続は見えません。
• MCPサーバを作る人: 2026-07-28 版はステートレスで、Mcp-Method と Mcp-Name ヘッダが本文を読まずに操作を判別させます。Agents SDK v0.20.0 がクライアント・サーバの両方で対応しました。