AIコーディングツールやAIエージェントが社内に広がると、次に気になってくるのが「社員がネットで見つけたスキルやMCPサーバーを、自分のパソコンに勝手に入れていないか」という問題です。便利そうな拡張機能（＝AIツールに後から機能を足す仕組み）がSNSや配布サイトで次々に紹介され、数分で入れられてしまうからです。
「ネットで配布されているAIのスキルやMCPを、社員が勝手に入れていないか心配です。どこから手を付ければいいのか分かりません」
先に結論をお伝えします。まず「誰が・どのツールに・何を入れているか」を一度だけ棚卸しし、そのうえで「使ってよい拡張の一覧（許可リスト）」を作って、ツールの管理機能で一覧の外を止めるのが現実的な進め方です。全面禁止にすると、かえって見えないところで使われがちです。
この記事では、AIのスキル・MCPを社員が勝手に入れているか心配な情シス兼任の方に向けて、なぜ注意が要るのか、確かめる5ステップ、社内ルールの決め方、開発会社・販売店への頼み方を、チェックリストと質問例とあわせて解説します（執筆時点：2026年11月）。
AIのスキルやMCPを社員が勝手に入れると何が心配なのか
スキル・MCPとは何か
最初に、言葉を整理しておきます。
| 用語 | 何をするものか | 入れるとどうなるか |
|---|---|---|
| スキル（Agent Skills） | 業務の手順や指示をまとめたファイル。スクリプト（＝自動で動く小さなプログラム）を同梱できる | AIがその手順に従って作業する。同梱のスクリプトが社員のパソコン上で動くこともある |
| MCPサーバー | MCP（Model Context Protocol＝AIと外部のサービスやデータをつなぐ共通の決まり）で、AIに「道具」を渡すプログラム | AIがファイル・社内システム・外部サービスを読み書きできるようになる |
| プラグイン | スキル・MCPサーバー・設定などをまとめて配布する形 | 1回の操作で複数の機能がまとめて入る |
スキルやMCPの全体像は、次の記事で詳しく解説しています。
心配すべき理由は「社員のパソコンの権限で動く」こと
スキルやMCPサーバーは、多くの場合、入れた社員のパソコンやアカウントの権限で動きます。つまり、その社員が見られるファイル・メール・社内システムには、拡張機能からも手が届く可能性があります。中身に問題があれば、次のようなことが起こりえます。
- 社内のファイルやAPIキー（＝サービスを使うための合言葉のような文字列）が外部に送られる
- 拡張機能が読み込んだWebページや文書に紛れた指示で、AIが意図しない操作をする（プロンプトインジェクション＝AIへの指示を外から書き換える手口）
- 配布元が後から中身を書き換え、最初は無害だったものが危険になる
実際に、配布されているスキルを大規模に調べた研究も出ています。2026年1月に公開された論文では、2つの配布サイトから集めたスキルのうち31,132件を分析し、26.1%に少なくとも1つの脆弱性（＝悪用されうる弱点）のパターンが見つかったと報告しています。また、スクリプトを同梱したスキルは、指示だけのスキルに比べて脆弱性を含む割合が約2.1倍だったとしています。
📰 出典：arXiv「Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale」（2026年1月）
ただし、これは公開の配布サイトを機械的に調べた研究で、「4本に1本が悪意のあるもの」という意味ではありません。大切なのは、配布されているものを中身を見ずに入れるのは、出どころの分からないソフトをインストールするのと同じだと理解することです。
ツールの提供元も「中身の安全性は保証しない」と書いている
AIツールの提供元自身も、注意を促しています。たとえば Claude Code の公式ドキュメントでは、MCPサーバーは自分で作るか信頼できる提供元のものを使うよう勧め、Anthropic は掲載前に一定の基準で確認はするものの、MCPサーバーのセキュリティ監査や管理はしていないと明記しています。
📰 出典：Claude Code Docs「Security」
つまり「公式の一覧に載っているから安全」とは言い切れず、入れるかどうかの判断は使う会社側の責任になります。MCPで社内データとつなぐときの権限の考え方は、次の記事も参考にしてください。
社員がAIの拡張機能を入れているか確かめる5ステップ
ステップ1：社内で使っているAIツールを洗い出す
最初に「どのAIツールが、誰のパソコンで使われているか」を把握します。スキルやMCPを入れられるのは、Claude Code・GitHub Copilot・Cursor などのAIコーディングツールや、デスクトップ版のAIアプリが中心です。
- 会社で契約しているAIツール（法人プラン）とその利用者
- 個人で契約して業務に使っているAIツール（自己申告で集める）
- 開発会社・外部の協力者が、自社の環境で使っているAIツール
個人契約のツールの把握の仕方は、次の記事で解説しています。
ステップ2：入っている拡張機能を自己申告してもらう
次に、各ツールに入れているスキル・MCPサーバー・プラグインを申告してもらいます。責める目的ではなく「一覧を作って、安全に使い続けるため」と伝えると協力を得やすくなります。
| 申告してもらう項目 | 例 |
|---|---|
| ツール名 | Claude Code、VS Code の GitHub Copilot など |
| 拡張機能の名前と種類 | スキル／MCPサーバー／プラグイン |
| 入手先 | 公式の一覧、配布サイト、GitHub、同僚から共有 など |
| 何に使っているか | 議事録の整理、社内システムのデータ取得 など |
| つないでいる先 | 社内のファイル共有、メール、顧客管理システム など |
多くのツールでは、入っているMCPサーバーを一覧で表示するコマンドや画面があります（Claude Code なら claude mcp list や /mcp）。社員が自分で確認しにくい場合は、操作に慣れた人が一緒に画面を見ると早く終わります。
ステップ3：「つないでいる先」と「入手先」で危険度を分ける
申告が集まったら、全部を同じ重さで扱う必要はありません。次の2つの軸で優先度を決めます。
- つないでいる先：顧客情報・社内の機密ファイル・本番のシステムにつながっているものは最優先で確認する
- 入手先：提供元がはっきりしない配布物、個人が公開しているもの、スクリプトを同梱したスキルは要確認にする
「社内の大事な情報につながっていて、出どころが分からない」ものから順に、使い続けるか・外すかを決めていきます。
ステップ4：使ってよい拡張の一覧（許可リスト）を作る
確認が済んだら、使ってよい拡張機能の一覧を作ります。一覧には、名前だけでなく入手先（URL）や提供元、承認した日、承認した人を書いておきます。名前は誰でも同じものを付けられるため、名前だけでは本物かどうか区別できないからです。
一覧に無いものを使いたい社員のために、「申請先」と「確認にかかる目安の日数」も決めておきます。申請の窓口が無いと、結局こっそり入れる人が出てしまいます。
ステップ5：ツールの管理機能で一覧の外を止める
最後に、AIツールの管理機能で、一覧の外の拡張機能を使えないようにします。執筆時点（2026年11月）では、主なツールに次のような仕組みがあります。
| ツール | 管理の仕組みの例 |
|---|---|
| Claude Code | 管理者が配る設定（managed settings）で allowedMcpServers（許可するMCPサーバー）・deniedMcpServers（禁止するMCPサーバー）を指定できる。managed-mcp.json で会社が決めたMCPサーバーだけに固定することもできる |
| GitHub Copilot | Enterprise の管理者が「MCP servers in Copilot」ポリシーや、managed settings の allowedMcpServers・deniedMcpServers で、使えるMCPサーバーを決められる（2026年8月に一般提供） |
📰 出典：Claude Code Docs「Control MCP server access for your organization」
📰 出典：GitHub Changelog「MCP allowlists in enterprise managed settings」（2026年8月6日）
注意したいのは、こうした管理機能は法人向けのプランや、会社が管理するパソコンでないと使えないことが多い点です。個人契約のツールや、会社が管理していない私物のパソコンには設定が届きません。ここが、次の社内ルールで補う部分になります。
なお、Claude Code のドキュメントでは、許可リストをMCPサーバーの「名前」で書くと、利用者が別のサーバーに同じ名前を付けられるため安全対策にならないと注意しています。設定を頼むときは、URLや起動するコマンドで指定してもらいましょう。
許可制にするための社内ルールの決め方
全面禁止より「許可制」が続きやすい
AIの拡張機能をすべて禁止すると、業務で必要な人が個人の環境で使い始め、かえって把握できなくなりがちです。生成AIの社内ルールでも同じことが言えます。
社内ルールには、最低限次の5点を書いておくと運用しやすくなります。
- 対象：AIツールに入れるスキル・MCPサーバー・プラグイン（ブラウザの拡張機能と同じ扱いにするかも決める）
- 原則：許可リストに載っているものだけを使う
- 申請の流れ：申請先、確認する人、確認にかかる目安
- つないでよい情報の範囲：顧客情報や機密ファイルにつなぐ場合は、追加で承認を取る
- 見直し：許可リストを半年に1回など定期的に見直し、使われていないものは外す
確認する人がいないときは、確認の観点だけでも決める
情シス兼任の方が、拡張機能の中身を1つずつ読むのは現実的ではありません。その場合も、次の観点で「入れてよいか」を判断できます。
- 提供元がはっきりしているか（会社・団体の公式か、更新が続いているか）
- 何にアクセスするかが説明されているか（読むだけか、書き込みや送信もするか）
- スクリプトを同梱していないか、同梱しているなら中身を誰かが確認したか
- 社内のどの情報につなぐのか、つながなくても目的が果たせないか
判断に迷うものは、無理に許可せず、詳しい人や開発会社に確認してもらうのが安全です。
やりがちな失敗
- 一度棚卸しして終わりにする：拡張機能はすぐ増えます。申請の窓口と定期的な見直しが無いと、半年後には元に戻ります
- 名前だけで許可リストを作る：同じ名前の別物を区別できません。入手先や提供元も書きます
- 「公式の一覧に載っている＝安全」と考える：掲載の基準と、セキュリティ監査は別物です
- 開発会社の環境を対象から外す：自社のデータを扱う開発会社のAIツールにも、どんな拡張機能が入っているかは確認したいところです
- 使っていた社員を責める：申告が集まらなくなります。まずは「今あるものを安全に整理する」ことを優先します
発注者がやることチェックリスト
- ☐ 社内で使っているAIツールと利用者を洗い出した（個人契約のものも含む）
- ☐ 各ツールに入っているスキル・MCPサーバー・プラグインを申告してもらった
- ☐ 「つないでいる先」と「入手先」で、確認する順番を決めた
- ☐ 使ってよい拡張機能の一覧（名前・入手先・提供元・承認日・承認者）を作った
- ☐ 一覧に無いものを使いたいときの申請先と、確認にかかる目安を決めた
- ☐ 法人プランの管理機能で、一覧の外の拡張機能を止められるか確認した
- ☐ 開発会社が自社のデータを扱う環境で、どの拡張機能を使っているか確認した
- ☐ 許可リストを見直す時期（半年に1回など）を決めた
開発会社・販売店への質問例
- 「当社で使っているAIツールで、使ってよいMCPサーバーやスキルを管理者側で決める機能はありますか？今の契約プランで使えますか？」
- 「許可リストを設定してもらう場合、名前ではなくURLや起動コマンドで指定してもらえますか？」
- 「当社の案件で使っているAIツールに、どんなスキル・MCPサーバー・プラグインを入れていますか？一覧で教えてもらえますか？」
- 「社員から申請のあった拡張機能について、何にアクセスするのか、スクリプトが入っているかを確認してもらうことはできますか？」
- 「拡張機能の中身が更新されたときに気づける仕組みはありますか？」
まとめ
社員がネットのAIスキルやMCPを勝手に入れていないか心配なときは、いきなり禁止するのではなく、次の順で進めるのが現実的です。
- 使っているAIツールと、入っている拡張機能を一度棚卸しする
- 「つないでいる先」と「入手先」で、確認する順番を決める
- 使ってよい拡張の一覧（許可リスト）と申請の窓口を作る
- 法人プランの管理機能で、一覧の外を止める（届かない部分は社内ルールで補う）
スキルやMCPは、うまく使えば業務を大きく助けてくれる仕組みです。「出どころと、つなぐ先が分かっているものを使う」という当たり前の線を引くことで、便利さと安全を両立しやすくなります。設定の仕方や確認の観点に不安があれば、AIツールに詳しい開発会社に相談してみてください。
あわせて読みたい関連記事
