MCPとA2Aの収束は何を解決しなかったのか

AI Radar・トレンド読解 #1 ｜問題領域：エージェント相互運用プロトコルの収束データ期間：2026-W33〜W35 ｜独立した証拠 4 件、反証 2 件2026-08-29

先週、GitHub で人気の AI ツールを評価していた。スター 17,200。

機能は魅力的だった。AI がブラウザを直接操作し、ウェブ上の反復作業を自動でこなす。インストールは簡単、オープンソース、無料、MIT ライセンス、コードはすべて公開、データを外部に送る行は一行もない。

インストール手順の第一歩はこうだった。 Chrome のリモートデバッグを有効にし、制御を渡すこと。

そこで手が止まった。そのブラウザには、証券口座も、自分のサイトの管理画面も、運用しているすべての SNS の管理権限もログインしたままだからだ。

「許可」を押した後に AI が手に入れるのは「ウェブページを操作する能力」ではない。 すでにログイン済みのすべての身分として振る舞う能力である。

パスワードは盗まれない。盗む必要がないからだ。こちらが先にログインしてある。

なぜ 2026 年に急に当たり前になったのか

二年前、AI は話すだけだった。問えば答える。それだけの往復だった。

変わったのは、誰かが AI に手を付けたからだ。ファイルを読み、データベースを検索し、記事を公開し、注文を出す——実際に行動させるための標準インターフェース。

それが MCP（Model Context Protocol、モデルコンテキストプロトコル）である。 2024 年末に Anthropic が提唱した。AI 世界の USB 規格と考えればよい。登場以前は、AI ごと・ツールごとに専用のケーブルが必要だった。今は挿せば動く。

その後に現れた A2A（Agent-to-Agent）が扱うのは別の問題—— AI 同士がどう会話するかだ。MCP が手を与えるなら、A2A は口を与える。別のエージェントに仕事を引き継げるようになる。

2025 年頃、この領域は混乱していた。Google には A2A、IBM には独自の ACP。各社が自分のルールを敷こうとし、また一つの規格戦争に見えた—— かつての Blu-ray 対 HD DVD のように。

そして 2026 年前半、戦争は終わった。その終わり方が普通ではない。

誰も勝っていない。全員が戦うのをやめたからだ

A2A は 2026 年 4 月に 1.0 正式版を出し、150 以上の組織が支持した。重要なのはバージョン番号ではない。Google がそれを Linux Foundation に寄贈したことだ。自ら主導したプロトコルを、中立機関へ手放した。

IBM はそれより早く、自社の ACP を A2A に統合していた。提携ではなく撤収である。自分の規格を捨て、競合の規格を採った。

2025 年 12 月には Agentic AI Foundation が設立された。 共同創設者は Anthropic、Google、OpenAI、Microsoft、AWS、Block—— 市場で激しく競う六社が、同じ標準を共同で統治している。 2026 年 5 月には加盟 190 組織まで拡大し、Linux Foundation 史上でも最も成長の速いプロジェクトの一つとなった。

MCP 側では、Python と TypeScript の SDK だけで月間 9,700 万ダウンロード。 主要な AI プロバイダー——Anthropic、OpenAI、Google、Microsoft、Amazon—— すべてが採用している。

証拠は四件、結論は一つ。この戦いは終わった。

しかも、誰かが誰かを倒して終わったのではない。 そもそも同じ場所で戦っていなかったと全員が気づいて終わったのだ—— MCP はツールを、A2A はエージェント間を、WebMCP はブラウザを担当する。競合ではなく、同じスタックの別の階層だった。階層を言語化した時点で、戦争は消えた。

AI の上に何かを作る人にとって、これは朗報だ。 どの規格が生き残るかに賭ける必要は、もうない。

だが書き始める前に、反対の証拠を探した

四件の証拠がすべて同じ方向を指すとき、それが最も危険な瞬間である。だから「この見立ての何がおかしいか」を調べにいった。

見つかったものが、この記事の結論をまるごと入れ替えた。

第一に、MCP の仕様は本人確認を「任意」としている。

実装側の手抜きではない。仕様そのものにそう書かれている——authorization は optional。平たく言えば、公式仕様どおりに作られたサービスが、 呼び出してきた相手が誰かを一切確認しなくてよく、しかも完全に準拠している。

2026 年の MCP セキュリティリスク上位二件は、Unauthenticated Access（未認証アクセス）と Confused Deputy（権限を持つものに、権限のないものの代理をさせる）である。どちらも攻撃者の巧妙さの問題ではない。もともと鍵がかかっていない。

第二に、今年 4 月に公表されたアーキテクチャ上の欠陥は、稼働中の約 20 万インスタンスに影響する。

20 万種類のソフトウェアではない。同じ欠陥を持つものが 20 万回インストールされている—— ある型番の錠前に設計上の欠陥があり、世界中の 20 万枚の扉にその錠前が付いている、という状態だ。波及するサプライチェーンは 1.5 億回超のパッケージダウンロードに及ぶ。

そして収束しにくい。ソースを直すのは速いが、すでに出回った 20 万個は、設置した各人が自分で更新するしかない。しかもそれらのサービスは 誰も検証していないコミュニティ・ディレクトリに散在している。

第三に、追跡が難しい。

MCP のトラフィックは独立した各サービスに分散している。事故のあとで「何が起きたのか」を調べる作業は、ログを読むというより宝探しに近い。

普及の速度	セキュリティの状態
世界で 108,245 の MCP サービス	本人確認は任意
直近 30 日で 15,570 件増加	単一の欠陥が 20 万インスタンスに影響
1 日あたり 519 件の新規	ディレクトリは無検証、ログは断片化

私の読み：戦場は消えていない。場所が変わっただけだ

プロトコル戦争は確かに終わった。だがそれをもって「AI インフラは安定した」と結論するなら、それは誤読である。

収束したのはガバナンス層——誰が標準を所有し、どの財団が保持し、誰が投票権を持つか。この層は確かに決着した。

しかしセキュリティ層はまったく収束していない。 そしてプロトコル統一がもたらした最初の効果は、安全ではない。 拡散が速くなったことである——問題の拡散も含めて。

1 日 519 件の新規サービス、鍵は任意、誰も検証しない。これは成熟した生態系ではない。普及の速度が安全機構をはるかに追い越した生態系である。

戦場は「どのプロトコルを使うか」から「どう安全に使うか」へ移った。そして後者に取り組んでいる財団は、今のところ一つもない。

この読みが誤っている可能性

正直に反対側も書く。新しい技術がまず拡散し、安全は後から足される—— これは危機ではなく常態だ。

TLS も OAuth も npm も同じ道を通った。まず野放図に広がり、何度か事故を起こし、ツールチェーンとより良いデフォルト値によって徐々に収束していった。 MCP が同じ道を辿るなら、今の数字は思春期にすぎず、二年後に振り返れば取るに足らない。

その可能性は否定しない。ただ、一つの違いが警戒を解かせない。

npm の脆弱性はコードを盗む。MCP の脆弱性は権限を盗む。

鍵のかかっていない MCP サービスが持ち去るのはソースコードではない。 あなたが AI に認可したすべての行動能力である—— あなたが代わりにログインしておいた、一つひとつのアカウントを含めて。

漏れたコードは書き直せる。だが使われてしまった権限は、すでに何かを起こした後だ。爆発半径が違い、対処できる時間の窓も違う。

冒頭の「許可」に戻る

あの 17,200 スターのツールを、もう一度見てみるとはっきりする。

そのツールは何も悪いことをしていない。オープンソース、ローカル実行、データを外に出さない、MIT ライセンス—— この生態系が求めるすべてに、完全に準拠している。

問題はツールが悪意を持つことではない。 この生態系が既定としている権限の範囲が広すぎることだ—— そしてツールは、その既定値に正直に従っているだけである。

私の最終判定は「様子見」。ただし強制条件を一つ付けた。試すなら専用のクリーンなブラウザにのみ接続し、日常のブラウザには絶対に触れない。代償は機能の半分が使えないこと。その代償は引き受ける。

プロトコルの収束は、AI があらゆるものに接続することを容易にした。 それはそのまま、価値であり、リスクでもある。

最近 AI ツールを入れているなら、一つ習慣にする価値がある。「許可」を押す前に、こう問うことだ。

自分は今、何を渡そうとしているのか。

出典

本記事は ProfitVision LAB の AI Radar と開発チームの共同制作による。候補プール、フィルター判定、および完全な証拠チェーンは ai-radar registry にて公開している。