何が起きたか
研究者ら（arXiv 2610.22301、「My Credentials, Please」、2026-10-15）は「ファイルシステム能力のすり替え」を形式化しました。攻撃者に誘導された引数により、MCPツールが宣言されたスコープ外の機密ホストファイルにアクセスするというものです。9つのレジストリにわたる21,097のMCPサーバーのスキャンで、非ファイルシステム分類にもかかわらずファイルシステム能力を持つ787（16.4%）が特定され、動的検証で150の脆弱なインスタンスが確認され、調整された開示により13件のアドバイザリ（Anthropic自身のGit MCP Serverにおける2件のCVE、例：CVE-2026-27735を含む）が得られました。
なぜ重要か
これは、最も広く採用されているエージェントツールプロトコルにおけるエコシステム全体の認可の盲点です。MCPのツールごとの承認プロンプトが、基盤となるサーバープロセスのファイルシステム到達範囲を制限しないことを示しており、第三者のMCPサーバーを指すエージェントが静かにホストの資格情報を読み取れる可能性があり、数千の展開されたサーバーに対する開発者マシン侵害への低摩擦な経路となっています。
攻撃経路
「ファイルシステム能力のすり替え」は、攻撃者に誘導されたツール引数（例：`../`トラバーサルを含むgit_addパス）により、一見無害なMCPツールが宣言された契約および展開スコープ外のホストファイルを読み取るクラスです。クライアント側の承認ゲートは宣言された引数に基づいて実行を制限しますが、生成されたサーバープロセスは環境のホストファイルシステム権限で実行されるため、スコープ外の資格情報が通常のツール出力を通じて漏洩します。
影響を受けるシステム
Model Context Protocol（MCP）サーバー — ローカルのstdioサーバーが環境のホストファイルシステム権限で実行される権限モデルを含む；AnthropicのGit MCP Server（mcp-server-git < 2026.1.14）を含む
緩和策
具体的に修正されたAnthropic Git MCP Serverの場合、mcp-server-gitを2026.1.14以降にアップグレードしてください（CVE-2026-27735）。防御的には、パスを受け入れるMCPツールを攻撃者制御と見なし、宣言された契約を信頼するのではなく、第三者のMCPサーバーをサンドボックス化/強化してください。