違いは、SMTPパッケージを探しに行くと、実績のあるライブラリにたどり着くってこと。信頼が何年も積み重なったものがあるからね。でもMCPのやつは新しすぎて、そういうのが全然ない。みんな昨日出たばかりのものを使ってる感じ。まるで西部開拓時代みたいで、銃を構えておかないとね。

だから、私は標準のMCPサーバーを運用してないんだ。すべてのMCPは、信頼できないVLAN上の別のVMホストでDockerコンテナ上で動いてるし、SSE経由で接続してる。もちろん、プロンプトインジェクションには脆弱だけど、メインのブラウザプロファイルやメール、クラウドアカウントにはLMを接続してないから、敏感な情報は扱ってないよ。

OpenAIもRustで作られたCodex CLIツールを配布するのにnpmを使ってるんだよね。これには驚くけど、他の選択肢はもっと不便なんだろうな。

上のコメントが「この記事の重要なポイント」として高評価されないことを願ってる。それは本質を見失うことになるから。

これは不公平だよ。私たちには明らかだから、普遍的な理解があると仮定してる。でも、ほとんどのコンピュータユーザーは、コンピュータ技術がどう動いてるかについて詳しく理解してないし、目に見えないし抽象的だから、自分がどんなリスクにさらされているかもほとんど理解してない。銃の例えに対する答えは間違ってる。なぜなら、銃の基本的な知識を前提にしているから。これが、子供たちが自分や家族を銃で撃ってしまう理由の一部なんだよね。引き金を引いたら暴力的なことが起こるって教えられるまで、彼らはそれを知らないから。

チンパンジーに弾が入った銃を渡すと、時々自分自身やあなたを撃っちゃうことがあるって知ってた？それも、何が起こるか全然分からずに！？何度も言っても無駄なのに！？で、そうなったら「賢い」人たちはそれをやるのが本当にバカだったって言うんだよね！！？

HNの観客にとって明らかなことが、他の人には必ずしも明らかじゃないんだよね。この記事は後者のグループのために書かれてる。実際、MCPサーバーを使ったAIエージェントは設計上ほぼ安全じゃないから、最初からセキュリティは考慮されてなかった。これが変わるまで、もし変わることがあれば、最善の策は情報を提供することだね。

数ヶ月前に、AIコードアシスタントが会社の本番データベースを削除したっていう記事があったよね：https://fortune.com/2025/07/23/ai-coding-tool-replit-wiped-d... もちろん、ここにはいくつかの層がある。1. 創業者はAIツールが信頼できないことを理解できずに自分の足を撃ったから、明らかに本当に無知だった。2. ...その創業者は通常のコーディング環境に直接本番アクセスを接続していた。いつかは自分の足を撃つ運命だったんだ。

昔は、ネットの見知らぬ人からのメールにスクリプトを実行するメールクライアントが「自動化のゲームチェンジャー」だって言われてた時代があったんだよね。今また同じことが起きてる。子供をインターネットに任せるのがテレビの前に座らせるより健康的だって思ってた時期もあったけど…結局、違う結果になったね。

AIに関しての問題は、みんなが自分で自分の足を撃つことにさらに積極的になってる気がする。いくつかの理由があると思うけど、例えばこんな感じ：1. みんなバッファオーバーフローやSQLインジェクションについて学んでて、これが「悪い」って疑問に思わない。でも、神のようなデータアクセスを持つAPIへのMCPインターフェースはどう？MCPはもちろん、安全だって保証してくれるよ！（実際はそうじゃないけどね）。これは技術的な問題というより、学習や社会的な問題だと思う。時々、みんながLLMみたいに感じることもある。2. 修正すべきことが300個、ベンダーが100社、しかも昨日までに終わらせなきゃいけない。ベンダーの実装を調べると10個の問題が見つかる。だって、彼らも300個の修正があって、昨日までに終わらせなきゃいけないから、トレードオフが危険になってくる。もしちゃんと調べなかったら、誰が責任を追及するの？今のところ、誰もいない。3. 完全に監視が欠けてる（時には理解も）。LLMをいじって遊んでるだけだと、何をしてるのか分からない。うまくいったら、そのまま出荷。もうみんな見たことあるよね。個人的には、タスクのビジュアルスケジューラーがあれば改善できると思う。

問題は、セキュリティの問題がAIについて語られている核心に内在していることだと思う。「それはあなたのメールを読んで自動で返信できる」っていうのは、テクノロジーのニュースに詳しくない人にとっては魅力的な話だけど、非常に危険でもある。

予測不可能なAIに自分のシステムへのアクセスを与えることには、全くデメリットがないってことはないよね。

人々は本当にこんなに無頓着なのか 最後に確認したとき、基本的なSQLインジェクション攻撃が毎年大きな経済的損害を引き起こしていて、OWASPリストの上位にあることは変わってなかった。SQLインジェクションは、クエリがどのように構築され、処理されるかを理解できずにデータベースに神モードの権限を与えてしまう結果なんだ。AIエージェントに与えられる「エージェンシー」も、あまり明らかじゃないかもしれない。

人類の文明全体を見てみると、人々が自分の弾に撃たれた足が「ただの運命」じゃないって納得させる必要があるケースがたくさんある。治すことができるし、その傷が治す価値があるほど深刻だってことを理解させるのが大事なんだよね。

うん、自分も同じこと思った。これはMCPとは関係ないんだよね、どのソフトウェアにも同じ欠陥がある。著者や配布者を信じなきゃいけない。MicrosoftがあなたのOutlookメールを全部コピーするのを止めるものはないし、GoogleがあなたのGmailをコピーするのを止めるものもない。Muttプロジェクトがあなたのメールをコピーするのを止めるものもない。オープンソースのユーザーは「多くの目」がコードをクリーンに保つと思いたがるけど、確かに人気のあるプロジェクトでは助けになることもあるけど、リスクは常にある。結局、私たちは開発者を信じるしかない。この問題はソフトウェアの歴史と同じくらい古いんだ。

あなたが説明している状況について、なぜ人々があなたにプライバシーやデータを信頼するのかについてのザッカーバーグのコメントを思い出すな…

こうやって酔っ払った人を助けてあげたことが何度もあるけど、初めて会った見知らぬ人からのリフトを受けるのは本当に良くないアイデアだって教えてあげてる。運が良かったのは、たまたま暇な正直者に出会ったからだね。私は変な時間に起きてるし、近所の小さなパブが好きだから。

NPMからのダウンロードって、誰か（大抵は何か）が npm i をやってるだけなんだよね。 > 大体のCIが（ひどく）設定されてるから、実行ごとに少なくとも一回は npm i するはずだよ。ステージごとにやることもあるし。確かに。そう考えると、地球上の全員（子供や高齢者、コンピュータを持ってない人たちも含めて）が、多くの人気Pythonパッケージの個人コピーを手に入れるのに、1年もかからないはずだね（https://pypistats.org/top）。

人々は常に簡単なことを選ぶから、たとえそれが安全でなくてもね。大きな教訓は、なぜまだサンドボックスを学んでいないのかってこと。どうやら、誰もサンドボックスを簡単に作る方法を見つけていないみたい。注意：このレベルでは、「簡単」とは「オペレーティングシステムにデフォルトで提供されること」を含まなきゃいけない。

あなたもそう思ってくれて嬉しい！私もそれが嫌いなんだけど、友達に聞いてみたら、みんな気づいてないか、分からないみたい。