> ## Documentation Index
> Fetch the complete documentation index at: https://docs.arlet.dev/llms.txt
> Use this file to discover all available pages before exploring further.

# 接続中の MCP サーバーを診断する

> AI クライアントに接続している外部 MCP サーバーの MCP 固有のセキュリティリスクを確認する

Arlet カタログの **MCP セキュリティ診断** サーバーは、AI クライアントに接続している外部の MCP サーバー（GitHub・Vercel・Notion など URL で設定しているもの）を検査し、ツールポイズニングや認証の欠如、過大な OAuth スコープといった MCP 固有のリスクを報告します。

## 仕組み

1. [Arlet のツール](https://app.arlet.dev/catalog)の **セキュリティ** タブで **MCP セキュリティ診断** をオンにします。API キーは不要です。
2. AI クライアントに「接続している MCP サーバーのセキュリティを確認して」のように依頼します。
3. クライアントが自身の MCP 設定（`~/.claude.json`・`.mcp.json`・`~/.cursor/mcp.json` など）を読み、HTTP サーバーの **エンドポイント URL** を `audit_mcp_servers` ツールに渡します。送られるのは URL のみで、トークン・ヘッダー・ツール定義は送られません。
4. Arlet が各 URL に直接接続し、`initialize`・`tools/list`・OAuth ディスカバリ（`.well-known`）の読み取り専用呼び出しだけを行います。ツールの実行や資格情報の送信はしません。

ツール説明文はモデル経由ではなくサーバーから直接読み取るため、汚染された説明文が診断から身を隠すことはできません。

## 検査項目

| チェック            | 検出するもの                                                               |
| --------------- | -------------------------------------------------------------------- |
| ツールポイズニング       | 説明文・スキーマ内のプロンプトインジェクション、データ持ち出し誘導、不可視文字                              |
| ツールシャドーイング      | 別ツールを名指しして挙動を上書きしようとする説明文                                            |
| 危険な汎用ツール        | シェル実行、環境変数・機密の読み取り、任意ファイル読み取り、コード eval                               |
| Lethal Trifecta | 未検証コンテンツの取込・機微データアクセス・外部送信の 3 能力が 1 サーバーに同居                          |
| 認証の欠如           | 資格情報なしで `tools/list` が成功する                                           |
| セッション ID の予測可能性 | 連番・短い・低エントロピーの `Mcp-Session-Id`                                      |
| SSRF を招くメタデータ   | OAuth ディスカバリが内部 IP・`localhost`・クラウドメタデータを広告している                      |
| スコープの過剰付与       | `scopes_supported` のワイルドカードや omnibus スコープ（`*`・`admin`・`full-access`） |

## 結果の読み方

結果には `findings` と、チェックごとの `coverage` が含まれます。

* `ok` — 検査を実行できた。
* `inconclusive` — 検査できなかった。多くは認証必須でツール一覧が見えないサーバーです。**「安全」という意味ではありません。**
* `not_applicable` — 検査対象がなかった（セッション ID を発行しないステートレスなサーバーなど）。

## 制限

* 公開アドレスに解決される `https://` の URL のみ受け付けます。
* stdio サーバー（`npx …` など `command` で起動するもの）は URL を持たないため対象外です。