MCP セキュリティ製品6選：企業AIエージェント向け2026年版

Runlayerは、2026年の企業AIエージェント向けMCP セキュリティプラットフォームとして総合首位です。ただし、8月22日を境に選定基準は変わりました。MCPロードマップで、エージェントIDと権限委譲が優先項目に入ったためです。候補6製品の公開ページを調べても、ロードマップにある4つの構成要素をすべて明記した製品は0、金額を公開した製品も0でした。したがって、調達契約の前にID、権限範囲、監査可能性を実証できるパイロットこそが勝者です。

MCP セキュリティプラットフォーム6製品を一覧比較

Runlayerを1位とした理由は、統制されたカタログ、エージェントアカウントや個別ツールまで対象にできるID連動ポリシー、ランタイム検査、リクエスト単位の監査を、300を超えるAIクライアントにまたがって提供するからです。従業員の利便性よりシャドー環境の検出やトランザクションのフォレンジックを重視するセキュリティ運用なら、Proofpointのほうが有力です。Kubernetesの自社運用とセルフホストが絶対条件なら、Stacklokが適しています。

この比較に記載した価格状況と機能は、すべて2026年8月24日時点の各社公開ページで確認しました。「個別見積もり」は、非公開価格を推測して言い換えたものではありません。確認対象の製品ページや料金ページに、ベンダーが金額を掲載していなかったという意味です。

判断基準は明快です。どこを統制境界にするかで、選ぶ製品が決まります。サーバーカタログがいくら大きくても、実行主体を識別し、ツールの権限範囲を絞り、結果を検査し、アクセスを取り消し、インシデント後に操作を再現できなければ意味がありません。

MCP セキュリティの選定基準は2026年8月22日に変わった

これからの企業向けMCP調達では、自動化を付け足したユーザーセッションとしてではなく、エージェントそのものを実行主体として保護しなければなりません。新しいMCPロードマップによると、現在の認可はブラウザ上で人がアクセスを承認する前提で設計されています。一方、実際の呼び出し元には、独自のIDを持ち、不在のユーザーに代わって動いたり、サブエージェントへさらに狭い権限を委譲したりするクラウドエージェントが増えています。

Model Context Protocol（MCP）は、AIアプリケーションがツール、データソース、サービスを検出して呼び出すための共通インターフェースです。この利便性により、モデルは質問に答えるだけでなく、実際の操作を行えるようになります。同じエージェントから見れば、読み取り専用のナレッジツールも、書き込み可能なCRMコネクターも、本番環境へのデプロイツールも呼び出し可能な関数です。しかし、事業への影響範囲はまったく異なります。

ロードマップは、次世代の認可モデルを支える4つの構成要素を挙げています。

• DPoP（Demonstrating Proof of Possession）は、トークンを暗号鍵に結び付け、コピーされたトークンのリプレイを難しくします。
• Workload Identity Federationでは、実行中のワークロードが、貼り付けたAPIキーを保持する代わりに、プラットフォーム上のIDを短期アクセス権と交換できます。
• ID-JAG（Identity Assertion JWT Authorization Grant）により、企業のIDプロバイダーがMCPの認可フローへ参加できます。
• 標準トークン交換は、1つの長期シークレットをマスターキーにすることなく、セキュリティドメイン間で権限を受け渡します。

既存のEnterprise-Managed Authorization拡張は、すでにユーザーアクセスを企業のIDプロバイダーへ集約しています。クライアントはID-JAGを取得してMCPアクセストークンと交換し、グループ、ロール、条件付きアクセスポリシーは企業側で管理します。ただし、この拡張はオプトインで、対応状況はクライアントごとに異なります。ロードマップが取り組む、より難しい課題は、自律ワークロードが「自分は誰か」と「誰から委ねられた、どこまでの権限を持つか」の両方を証明することです。

ここに権限委譲ギャップが生まれます。エージェントアカウントを認証できても、そのサブエージェントが、そのユーザーのために、その時点で、その操作を行う許可を得ていたと証明できるとは限りません。共有サービスアカウント、コピーされたOAuth許可、静的トークンは、その権限の連鎖を見えなくします。トランザクションログに、どのゲートウェイが呼び出しを転送したかは残っても、背後にある人の委任、委譲された範囲、暗号学的証明までは記録されない場合があります。

この変化は予算にも影響します。許可リストとトラフィックログだけで選んだゲートウェイでは、自律ワークロードの増加に伴い、IDレイヤー、シークレット管理、サンドボックス、検出製品を別途そろえる必要が生じます。権限委譲ギャップを残すなら、最安の見積もりが最も高価なアーキテクチャになりかねません。

重要な注意点があります。2026年8月24日時点で、確認した6製品の公開ページには、DPoP、Workload Identity Federation、ID-JAG、標準トークン交換を明記したものがありませんでした。これは、各社に非公開の計画や未公表の対応がないことを意味しません。パイロットで実際のフローを確認するまでは、各社の主張をプロトコル準拠ではなく、ロードマップとの方向性の一致として扱うべきだという意味です。

MCP セキュリティツールの選定方法

候補には、企業MCPを単なる製品機能ではなく、インベントリ、ID、実行境界、ランタイムポリシー、証跡から成る運用基盤として統制できる製品を選びました。危険なコードを見つけるスキャナーや、トラフィックを転送する汎用APIゲートウェイにも価値はあります。しかし、MCPを理解した継続的な強制力がなければ、上位6製品には入りません。

評価基準は、NSAが2026年5月に公表したMCP セキュリティガイダンスを土台に、新しいIDロードマップを加えたものです。

• 検出： 承認済みとシャドーのサーバー、クライアント、ツール、バージョンを把握できること。
• IDと権限委譲： 人、エージェントアカウント、ワークロード、委譲先のサブエージェントを区別できること。
• 認可： サーバー、ツール、リソース、操作の各レベルで最小権限を適用できること。
• サプライチェーン管理： サポート対象プロジェクトを承認し、来歴を記録し、脆弱なサーバーへパッチを適用できること。
• 実行境界： ツールをサンドボックス化し、侵害後の横展開を阻止できること。
• ランタイム検査： パラメーターを検証し、連鎖する出力をすべて信頼できない入力として扱えること。
• 取り消しと対応： アクセスを速やかに無効化し、処理中の危険な呼び出しを遮断できること。
• 証跡： パラメーター、ID、ポリシー判断、結果を、既存のSIEM（Security Information and Event Management）へ記録できること。

NSAは、MCP対応プロキシには依然として限界があり、まだ成熟途上だとも警告しています。そのため、この比較ではどの製品にも「完全」という評価を与えていません。ゲートウェイは統制点であって、それだけでセキュリティプログラム全体になるわけではありません。

今回は公開中ページを対象に比較しました。各ベンダーの製品、ドキュメント、料金ページをこの調査で確認し、後述する試算は公開されたパッケージ内容と明示した計画上の前提から算出しています。公開情報がスキャン、テスト、シークレット、汎用ルーティングだけにとどまり、企業のコントロールプレーンとして十分な根拠を示せない製品は除外しました。

6製品の詳細評価と、除外した3製品を明示することで、意思決定に使える候補一覧に絞っています。各候補について、運用上の限界、導入負荷、価格の決まり方、実証すべき項目を明らかにしました。ロゴだけを長く並べても、こうした違いは見えません。

1. Runlayer：統制された企業AIエージェント展開に最適

従業員と本番エージェントがさまざまなAIクライアントを使う一方、セキュリティ部門がツールへの経路を1つに統制したい場合、Runlayerが総合的に最も優れています。MCP Gatewayは、呼び出しの実行前に、ユーザー、グループ、ロール、エージェントアカウント、クライアント、コネクター、ツール、リソース、OAuth状態、ネットワーク、ランタイム条件に応じてアクセス範囲を制御します。この6製品の公開情報では、新しいID課題に最も近い設計です。ただし、Runlayerのページにも、ロードマップにある将来のDPoP、フェデレーション、ID-JAGへの対応は記載されていません。

最適な用途： エンジニアリング、セキュリティ、IT、オペレーション、事業部門にまたがるMCPアクセスの標準化。
最大の強み： 300を超えるAIクライアントを1つのカタログとポリシー基盤で管理し、実行主体、クライアント、コネクター、ツール、ポリシー結果、セキュリティメタデータ、処理結果を確認できます。
料金： 個別見積もり。確認した製品ページには、金額も料金ティア表も公開されていません。
無料トライアル： セルフサービス型トライアルの案内はなく、公開されている導入窓口はBook a Demoです。

Runlayerが首位なのは、MCPガバナンスを導入後に付け足すセキュリティ装置ではなく、利用を広げるための基盤として扱っているからです。従業員はカタログから承認済みコネクターを申請でき、管理者はグループ、エージェントアカウント、クライアント、ツール、リソース単位で承認できます。その後、ゲートウェイがOAuthとセッション状態を検証し、ポリシーを適用し、呼び出しをスキャンして結果を記録します。この流れは、エージェント活用を進めるプラットフォームチームにも、それを安全な範囲に収めるセキュリティチームにも役立ちます。Notion SkillsとClaude Skills APIのように、再利用可能な機能のパッケージ方式が変わる場合も同様です。

具体例は、開発者がCursorとClaude Code、オペレーション部門がChatGPTを使い、本番エージェントがSalesforceとJiraを更新する中堅SaaS企業です。同じようなクライアントの分散は、AIエージェント向けブラウザでも見られます。ローカル設定が増えるほど、ポリシー体系と監査証跡も分散します。Runlayerなら、ユーザーが好みのインターフェースを維持したまま、すべてのクライアントへ同じ承認済みコネクターとポリシー境界を適用できます。

明確な限界は、将来の権限委譲を証明できるかどうかです。「エージェントアカウント」は有効な統制対象ですが、企業パイロットでは、エージェント自身の権限とユーザーから委譲された権限を区別できるか、サブエージェント向けに許可をさらに狭められるか、トークンをリプレイから保護できるか、同じコネクターを共有する全ワークロードを停止せずに権限の連鎖だけを取り消せるかを確認する必要があります。

Runlayerの実践的なパイロット手順

首位製品には、最も具体的なパイロット計画を用意しました。ここで示す手順は、公開ドキュメントにあるカタログ、承認、ポリシー、クライアント、監査の流れに基づきます。この調査で実際に製品を導入したという意味ではありません。

1. 1

   3段階のリスク区分を登録する

   読み取り専用の社内MCPサーバーを1つ、書き込み可能なSaaSコネクターを1つ、取り消し不能な操作を実行できるツールを1つ追加します。サーバー所有者とデータ分類はカタログ上で確認できるようにします。

2. 2

   すべての実行主体をIDにひも付ける

   企業のIDプロバイダーへ接続し、人間のユーザー、本番エージェントアカウント、テスト用サブエージェントに個別のポリシー主体を作成します。1つの共有サービスアカウントへフォールバックする構成は認めません。

3. 3

   サーバーより細かい単位で権限を絞る

   ユーザーにはコネクターの表示を許可し、主エージェントには選択したツールの呼び出しを許可し、サブエージェントには取り消し不能なツールを拒否します。ワークフローが信頼境界をまたぐ箇所では、ネットワーク条件とランタイム条件を追加します。

4. 4

   異なる2種類のクライアントを接続する

   同じ統制済み機能を、開発者向けクライアントと業務向けクライアントのそれぞれから利用します。ポリシーがローカル設定ファイルではなく、IDとコンテキストに追従することを確認します。

5. 5

   証跡の連鎖を実証する

   許可されたリクエストと拒否されたリクエストについて、実行主体、クライアント、コネクター、ツール、ポリシー結果、セキュリティメタデータ、処理結果をエクスポートします。次にIDレイヤーでアクセスを取り消し、キャッシュされた長期トークンの期限を待たず、次の呼び出しが失敗することを確認します。

1Passwordは上位製品ではなく、このレイヤーで使う

1Passwordは、MCPのポリシー基盤を装うことなく認証情報の保管を解決するため、この分野で最も優れた認証情報の補完製品です。現在のRunlayer連携では、管理者が生のキーではなくop://参照を入力できます。Runlayerは接続時に1Password SDK経由で実値を解決してリクエストに使いますが、生の値もディスクキャッシュも保存しません。

ローテーションも運用面で有用です。この連携は取得時にSHA-256ハッシュを比較し、値そのものをログへ残さずに、シークレットの取得イベントとローテーションイベントを記録します。認証情報を更新すると、次回の接続から新しい値が使われます。1Passwordの公開料金ページでは、Unified Accessは個別見積もりで、Enterprise Password Manager、Device Trust、SaaS Manager、Privileged Accessを含むと記載されています。

限界も明確です。認証情報を安全に注入しても、それだけでは委譲された権限を証明できません。安全なシークレットでも、過大な権限を持つエージェントを認可してしまう可能性があります。実行主体、ツール、ランタイムポリシーは引き続きRunlayerが担い、1Passwordは上流の認証情報をゲートウェイのデータベースへ残さない役割を担います。

2. Proofpoint AI MCP Security：検出と監査フォレンジックに最適

セキュリティ部門がプログラムを主導し、MCPトラフィックがすでに承認済みゲートウェイを通っているとは限らない場合、Proofpoint AI MCP Securityが最適です。シャドー環境の検出、サーバーの堅牢化、審査済みレジストリ、ポリシーの一元管理、コンテンツ検査、トランザクションフォレンジックを1つの製品構想にまとめています。プロキシより広範であり、利用促進を起点にするRunlayerのコントロールプレーンよりも、セキュリティ主導の設計です。

最適な用途： 標準経路を承認する前に、ノートPC、クラウド、第三者ホスト、既存ゲートウェイ上の管理外MCPを検出する必要がある企業。
最大の強み： 起点となった実行主体からアプリケーション、モデル、MCPサーバーまでトランザクション全体を再構成し、既存のSIEMとオブザーバビリティ基盤へOpenTelemetryで出力できます。
料金： 個別見積もり。確認したページには、金額も料金ティア表も公開されていません。
無料トライアル： 公開トライアルの案内はなく、購入窓口はRequest a Demoです。

Proofpointの最も鋭い強みは、検出と是正が一体になっている点です。同社によると、認証不足、暗号化不足、未承認のリモートホスト、保護されていないローカルサーバーを特定し、トラフィックを統制された経路へ誘導できます。開発者の端末にMCP設定が散在する銀行なら、初日にもう1つツールディレクトリを増やすより価値があります。

レジストリとパッケージ化のワークフローはサプライチェーン対応の負担を減らしますが、なくすわけではありません。Proofpointによると、800を超えるサーバーが事前審査済みで、サーバーを15分未満で安全なコンテナへパッケージ化できます。それでも企業は、そのサーバーのツール、上流権限、メンテナー、更新手順、データゾーンが適切かを判断しなければなりません。危険な機能をコンテナ化すれば実行リスクは絞れますが、その機能自体が適切になるわけではありません。

パイロットで実証できるなら、スイート価格を支払う理由はフォレンジックです。Proofpointは、誰が操作を開始し、どのアプリケーションとモデルが処理し、どのサーバーが呼ばれたかに加え、異常、権限昇格、OpenTelemetry出力まで捉える一連の仕組みを説明しています。Proofpointのコンソールを開かず、SIEMだけで拒否された呼び出しを1件、許可された破壊的操作を1件、再構成できるか確認してください。ゲートウェイで証跡が途切れるなら、監査機能はまだダッシュボード上の約束にすぎません。

限界はIDの粒度です。Proofpointは、OAuth 2.0、ユーザーとエージェントのアクセス制御、ポリシー適用を公開情報で説明しています。しかし、新しいワークロードIDや、サブエージェントへの権限委譲フローは公開していません。購入側は、ユーザー、エージェント、サブエージェントを別々の主体として扱うよう求め、「エージェントベースの認可」という表現だけで納得せず、取り消しとトークンリプレイをテストすべきです。

3. Stacklok Enterprise：セルフホスト型Kubernetes環境に最適

すでにKubernetesを運用し、その既存のランタイム、ID、ネットワーク、GitOpsの統制をMCPにも引き継ぎたい組織には、Stacklok Enterpriseが最適です。オープンソースの中核であるToolHiveを評価に利用でき、企業向け製品では堅牢な運用レイヤーとサポートが加わります。プライベートクラウド、オンプレミス、厳格な規制環境において、候補中で最も明確な所有モデルです。

最適な用途： 本番Kubernetes、確立したIDプロバイダー、ネットワークポリシー、オブザーバビリティを持つプラットフォームエンジニアリングチーム。
最大の強み： MCPサーバーをPodとして動かし、Namespaceを信頼境界にし、Kubernetes ServiceAccountとOIDCクレームをMCP権限へ対応付けます。
料金： ToolHiveはApache 2.0のオープンソースです。Stacklok Enterpriseは、デモを起点とする個別見積もりです。
無料トライアル： ToolHiveはダウンロードして評価できます。確認した製品ページには、Enterprise版トライアルの案内はありません。

Stacklokの強みは、アーキテクチャの連続性です。プラットフォームチームはMCPサーバーを、Namespace、Ingress経路、ネットワークポリシー、ServiceAccount、ログ、デプロイ履歴を持つ通常のワークロードとして扱えます。ツールのプロセスでセキュリティ境界が消えてしまうなら、IDに関する用語を並べても意味はありません。Kubernetesなら、チームがすでにレビューし、運用する方法を知っている統制を使えます。

具体例は、ツール呼び出しデータを自社環境内に保持しなければならない医療ソフトウェア企業です。Stacklokのページによると、Registry、Runtime、Gateway、PortalはKubernetes基盤上で動作し、ServiceAccountとOIDCクレームがMCP権限に対応付けられます。トレースとメトリクスのオープン標準であるOpenTelemetryにより、アクティビティを既存のGrafana、Datadog、Splunkなどの監視経路へ送れます。

ToolHiveは、製品の約束を購入する前に始めるための、最も率直な方法でもあります。Apache 2.0ライセンスなので、チームは中核部分を調べて実行し、少数の承認済みサーバーを登録して、企業契約の前に運用負荷を把握できます。評価には、アップグレード時の挙動、証明書ローテーション、ポリシー配布、サーバー署名、コンテナ脱出の封じ込め、インシデント時のロールバックを含めるべきです。

この強みを裏返すと、そのまま限界になります。Stacklokは、プラットフォームチームの業務を代行してくれる製品ではありません。ホスト型エージェントを1つ運用するだけでKubernetesの経験がない創業者が、MCPのためだけにクラスターを導入すべきではありません。ライセンス費用が0に見えても、信頼できるデプロイ、パッチ適用、サポート、検出を自社で整えれば、大きな運用負担になり得ます。

シャドートラフィックへの補完策も必要です。統制されたクラスターが優秀でも、開発者がその外側でAIクライアントからローカルサーバーを動かしている可能性があります。パイロットでは、エンドポイントまたはネットワークの検出機能がそうした経路をどう見つけ、承認済みゲートウェイへどう誘導するのかを確認しなければなりません。

4. Operant AI：試しやすさとエンドポイントからクラウドまでの網羅性で選ぶ

Operant AIは、対象条件を満たす顧客向けに、クレジットカード不要、初期設定が監視専用モードの7日間サンドボックスを公開しているため、すばやく評価するのに最適です。従業員のエンドポイント、本番エージェント、MCPトラフィック、モデル通信を横断してカバーします。ノートPC上のコーディングエージェントとクラウドエージェントが1つの攻撃対象領域につながる環境で有効です。また、人間のユーザーだけでなく、非人間ID（NHI）への強制も明記しています。

最適な用途： エンドポイントのコーディングエージェント、クラウドエージェント、MCPサーバー、AIアプリケーションを1つの評価で確認したい組織。
最大の強み： カード不要の7日間サンドボックスでプラットフォーム全体を試せます。有料パイロットの費用は初年度サブスクリプションへ全額充当されます。
料金： エンドポイント、エージェント、ガバナンスの深度に応じた個別見積もり。月次、年次、ボリューム、複数年の契約体系があります。
無料トライアル： 対象条件を満たす顧客向けに、監視専用モードを初期設定とした7日間のプロビジョニング済みサンドボックス。

金額こそ非公開ですが、Operantのパッケージ構成は判断に役立ちます。Proには、Endpoint ProtectorのシャドーAI監視とAgent Protectorのランタイム監視が含まれ、Cloud MCP GatewayとAI Gatekeeperはアドオンです。ScaleにはEndpoint Protector完全版、Agent Protector完全版、Cloud MCP Gatewayが含まれますが、AI Gatekeeperは引き続きアドオンです。Enterpriseは4つの製品領域をすべてまとめ、カスタム防御、マルチリージョン規模、SSO、SCIM、デバイス管理テンプレート、API／Webhookアクセスに加え、VPC、オンプレミス、エアギャップ導入を提供します。

このパッケージ構成なら、上位ティアが必要になる境目が明確です。初期段階でエンドポイントとエージェントの活動を監視するだけなら、Proから検討できます。MCPトラフィックの一元的な強制が必須になった時点で、正しい比較対象はScale、またはゲートウェイアドオンを加えたProの見積もりです。規制対象のプライベート環境へ導入するならEnterpriseが必要です。

7日間のサンドボックスは、対象を絞った実証には十分ですが、全社展開には足りません。承認された顧客には、すべてのモジュールと連携を有効にしたプロビジョニング済み環境が提供されます。コーディングクライアントを1つ、クラウドエージェントを1つ、MCPサーバーを3つ用意してください。監視専用モードで始めて、検出されたグラフを記録します。その後、信頼されていないサーバーを1つ、ツールポイズニングのケースを1つ、機密データ経路を1つ選び、ブロックを有効にします。アラートに、対応に必要なIDと操作のコンテキストが残るか確認します。

限界は、機能重複と価格の不透明さです。エンドポイント検出、DLP、APIセキュリティ、AIゲートウェイ、SIEMにすでに費用を払っている企業では、統制が重複する可能性があります。Operantには、置き換えられる既存統制と対比してバンドル価格を提示させ、見積もりをエンドポイント、本番エージェント、MCPゲートウェイ、データ種別、保持期間、導入モデル、超過料金に分けるよう求めてください。

5. Netskope One Agentic Broker：既存のNetskope DLPユーザーに最適

Netskopeがすでに組織のセキュアWebアクセスとデータ損失対策を担っているなら、Netskope One Agentic Brokerが最適です。MCPサーバー、クライアント、ツール、リソース、プロンプトリクエストを検出し、Cloud Confidence Indexで公開サーバーを評価し、アクセスポリシーを適用し、ツール単位のアクティビティを記録します。選ぶ理由は、単体のMCP機能競争ではなく、Netskope One DLPとの統制の連続性です。

最適な用途： コーディング、チャット、開発者向けクライアントから公開・リモートMCPの利用を統制する既存Netskopeユーザー。
最大の強み： 既存のセキュアアクセス基盤で、公開サーバーのリスク評価とMCP対応DLPポリシーを利用できます。
料金： 顧客別の個別注文で、監視対象ユーザー数、トランザクションパック、またはその両方に基づくライセンスです。
無料トライアル： 確認した製品ページに、公開トライアルの案内はありません。

Netskopeを選ぶ利点は、既存のポリシーとデータコンテキストを利用できることです。すでにNetskopeで機密データを分類し、Webアクセスを制御している企業なら、ツールトラフィックを新しいDLPエンジンへ送らずに、その統制をMCPへ拡張できます。ポリシー設計とインシデントの振り分けを短縮でき、こうした作業はゲートウェイ本体より高くつくことも少なくありません。

機能ページ以上に注目すべきなのがライセンス条件です。ユーザーライセンス1つには、月ごとに一定量のトランザクションが含まれ、トランザクションパックでユーザーベースのライセンスを補完または置き換えられます。未使用分は繰り越されません。Netskopeはライセンス対象トランザクション数の80%で通知し、上限を超えると、その月の残り期間はサービスを停止する場合があると規約に記載しています。

計画例を見ると、単位の重要性が分かります。監視対象ユーザー1,000人 × 1営業日あたり50件のMCPリクエスト・レスポンストランザクション × 22営業日 = 月間110万件です。 これはワークロードを計画するための仮定であり、実測値ではありません。パイロットデータに置き換えたうえで、平均月ではなくピーク月に合わせて容量を決めてください。未使用分は消滅する一方、超過するとサービスが止まる可能性があるためです。

DLPへの依存も予算項目です。Netskopeの技術ドキュメントには、DLPポリシーの作成と適用にはアドオンライセンスが必要だと記載されています。Agentic Brokerだけを記載した見積もりでは、可視性は示せても、Netskopeを選ぶ根拠となる統制が抜けている可能性があります。

限界は対象範囲です。製品ページは公開MCPサーバーとクライアントトラフィックを中心に説明しています。一方、ドキュメントではリモートサーバーと、ローカルやコンテナ実装も含むインベントリを扱っています。パイロットでは、ローカル環境の検出、プライベートサーバーへのルーティング、自律ワークロードのID、ブラウザや従業員端末の外でもポリシーが維持されることを実証してください。

6. Salt Agentic Security Platform：API中心の環境に最適

組織で最も危険度の高いエージェント操作が、大規模で十分に把握できていないAPI群をすでに通っているなら、Salt Agentic Security Platformが適しています。Agentic Security Graphがエージェント、MCPサーバー、ツール、APIを結び、その操作経路に検出、ポスチャー分析、ポリシー、ランタイム検知を重ねます。候補中でAPIからエージェントまでを最も広く見渡せますが、すぐに導入できるMCPゲートウェイ製品としては最も明確とはいえません。

最適な用途： エージェントのリスクと、シャドー、社内、パートナー、公開APIのリスクを切り離せない銀行、小売、SaaSプラットフォームなどの企業。
最大の強み： 1つのグラフですべてのエージェント、MCPサーバー、APIを対応付け、操作レイヤー全体のポスチャーとランタイムコンテキストを把握します。
料金： 個別見積もり。確認したページには、金額も公開ティア表もありません。
無料トライアル： セルフサービス型トライアルの条件は公開されておらず、Try Saltからデモを申し込みます。

Saltが示す新しい根拠は、ポリシーライブラリです。同社は2026年7月20日、Policy Hubが100個の構築済みポリシーに達し、そのうち61個が自動的に有効化され、12個超がAIとエージェントセキュリティを対象とし、8つのコンプライアンスフレームワークへ対応付けられていると発表しました。ポリシーは、MCP設定、エージェント認可、データセキュリティ、OAuth、APIアーキテクチャ、第三者リスク、ランタイム動作をカバーします。

具体例は、サービスエージェントが社内API経由で返金処理を行える小売企業です。MCPサーバーが正しく設定されていても、下層の返金APIが過大な権限範囲や異常な操作順を受け入れる可能性があります。Saltのグラフはエージェント、MCPツール、API、データ、動作を結び、セキュリティチームがプロンプトだけでなく、操作経路全体を把握できるように設計されています。

これがSaltを6位とした理由でもあります。公開情報は、検出、ポスチャー、ポリシー、APIリスク、ランタイム保護を明確に説明しています。一方、日常的なMCPコントロールプレーンのワークフロー、つまりカタログ承認、ゲートウェイルーティング、認証情報の注入、ツール単位のポリシー、クライアント配布については、Runlayer、Proofpoint、Stacklokほど具体的ではありません。APIセキュリティの既存顧客なら適切な補完策になり得ます。MCPプラットフォームを新規導入するなら、グラフをゲートウェイと見なす前に、デモでこうした仕組みを実証してもらってください。

自社にはどのMCP セキュリティ製品が合うか

自社で最も厳しい統制境界を基準に選び、同条件ならID管理を決め手にします。

Runlayerを選ぶべき企業： 従業員とエージェントが多数のクライアントを使い、シャドー設定より使いやすい承認済みカタログを事業側が必要としている企業です。利用促進、エージェントアカウント、ツール単位の権限、ランタイム検査、監査を1つの運用基盤にまとめたい場合に適しています。

Proofpointを選ぶべき企業： セキュリティ部門が、実態の分からない環境から調査を始める企業です。検出、是正、サーバーの堅牢化、コンテンツ検査、トランザクションフォレンジックを備え、シャドーMCP対策や監査主導のプログラムに最も向いています。

Stacklokを選ぶべき企業： MCPを自社Kubernetes環境で動かす必要があり、プラットフォームエンジニアリング部門がID、ネットワークポリシー、GitOps、オブザーバビリティをすでに管理している企業です。オープンソースの中核部分を使えば、営業契約前にランタイムを検証できます。

Operantを選ぶべき企業： 従業員のコーディングエージェント、クラウドエージェント、MCPサーバー、AIアプリケーションをまとめて評価したい企業です。公開されている7日間サンドボックスは最も手軽な実証経路で、実用的なMCP強制機能はScaleとEnterpriseに含まれます。

Netskopeを選ぶべき企業： Web、クラウド、機密データをすでにNetskopeで保護している企業です。DLPが予算に含まれない、トランザクション容量を予測できない、またはランタイムの大半が公開・ユーザー向けではなくプライベート・自律型である場合は、Netskope以外を選ぶべきです。

Saltを選ぶべき企業： MCPが、より大きなAPI操作グラフの1つの接点となっている企業です。急ぎの要件が、承認済みカタログ、認証情報ブローカー、クライアント向けMCPゲートウェイであり、APIポスチャーやランタイム動作ではない場合は、Salt以外を選びます。

すべての判断を左右するテストが1つあります。ユーザーのために動くエージェントが、サブエージェントへより狭いタスクを委譲し、許可されたツールを1つ呼び出し、より強いツールは拒否され、取り消し可能な完全な証跡を残す流れをベンダーに実演してもらいます。これができない製品は、検出機能、ダッシュボード、カタログ規模がどれほど優れていても、権限委譲ギャップを埋められません。

企業向けMCP セキュリティプラットフォームの費用

公開市場の情報だけでは、定価で順位を付けられません。Runlayer、Proofpoint、Stacklok Enterprise、Operant、Netskope、Saltの6製品中、2026年8月24日時点で公開中の製品ページまたは料金ページに金額を掲載していた製品は0でした。例外はStacklokのオープンソース中核部分だけです。ToolHiveはApache 2.0でダウンロードできますが、企業向けディストリビューションは引き続き営業経由です。

各社の見積もり単位は同じではありません。

• Runlayer、Proofpoint、Stacklok、Saltは、デモまたは企業ごとの要件定義から商談が始まります。
• Operantは、エンドポイント、本番エージェント、製品、導入の深度、ガバナンス要件に基づいて価格を決めます。
• Netskopeは、監視対象ユーザー、トランザクションパック、またはその両方でライセンスし、DLPは別途必要です。
• 1Passwordは、ゲートウェイと組み合わせるUnified Accessを、個別見積もりのIDプラットフォームとして提供します。

すべての提案を同じ年間ワークロードへそろえてください。比較項目は、ID、エージェント、MCPサーバー、ツール、月間トランザクション、保持期間、環境、データリージョン、導入モデル、サポート、必須アドオン、超過時の挙動です。DLPライセンスが欠けていたり、トランザクション上限が隠れていたりする安い基本料金は、安いプラットフォームではありません。

ベンダー価格が非公開でも、構築か購入かの試算から上限を決められます。以下は市場価格ではなく計画モデルなので、自社の諸経費込み人件費に置き換えてください。

• 自社製コントロールプレーン： エンジニア2人 × 8週間 × 週40時間 × 1時間あたり$150 = 継続サポートを除く社内人件費 $96,000。
• ベンダーパイロット： 4週間 ×（プラットフォームエンジニア週30時間 + セキュリティエンジニア週10時間）× 1時間あたり$150 = ライセンス費用を除く社内人件費 $24,000。
• 初年度ライセンスの損益分岐点： $96,000 - $24,000 = $72,000。

このモデルでは、クラウドランタイム、第三者スキャナー、シークレット管理、DLP、SIEMストレージ、継続運用を双方から意図的に除外しています。追加する場合は両案へ同じ条件で加えてください。既存製品がすでに提供する統制をベンダー導入による削減効果に含めず、オープンソースのライセンス費用が0だからといって運用費用も0とは考えないでください。

これが新ロードマップの事業上の帰結です。IDと権限委譲が別々の実証項目になったため、IDレイヤーを含まないゲートウェイの見積もりは不完全です。トラフィックの通過点だけでなく、権限の連鎖まで予算化してください。

選定対象から外すべき製品

製品そのものが悪いのではなく、用途を間違えているケースが少なくありません。

MCPJamを本番セキュリティ統制として使う

MCPJamは優れたMCPテスト環境ですが、今回の購入目的であるランタイム強制レイヤーではありません。公開料金ページの中心機能は、Inspector、OAuthデバッガー、JSON-RPCロガー、レジストリ、評価クレジット、コラボレーションです。

料金は珍しく明確です。Freeは月額$0で、1日200クレジットと1日25回の評価イテレーションを利用できます。Teamは年払いで1席あたり月額$30、1席あたり月10,000クレジットと月5,000回の評価イテレーションです。Enterpriseは年間契約の個別見積もりで、SSO／SAML、カスタムRBAC、監査データ保持、DPA、SLAが含まれます。

MCPJamは、展開前にサーバーを検査、デバッグ、評価するために使います。テスト用クレジット、SSO、Enterprise SLAがあっても、ツール呼び出しのインライン強制、ワークロードID、ネットワーク検出、ランタイム封じ込めを証明したことにはなりません。

Promptfoo MCP Proxyをコントロールプレーン全体として使う

Promptfoo MCP Proxyは、許可リスト、アプリケーションとユーザーのアクセス、アクティビティ監視、機密データのアラート、ポリシーの一元管理に対応する、対象を絞った信頼性の高い統制です。それでもランキング対象製品より下に置いたのは、公開中のMCPページに、エージェントアカウントの権限委譲、ワークロードID、サンドボックス、統制されたサーバーランタイム、新しいロードマップ標準が記載されていないためです。

Promptfooの幅広い料金体系には、月10,000件までのレッドチームプローブを利用できるFree Forever Communityティアと、個別見積もりのEnterprise／On-Premiseティアがあります。レッドチーミングと対象を絞ったプロキシが目的なら利用できます。検出、ID、実行境界、権限委譲を実証せずに、狭い用途のプロキシを企業MCPの運用基盤全体へ広げてはいけません。

1Password Unified Accessをゲートウェイの代わりに使う

1Password Unified Accessはアーキテクチャに必要ですが、ゲートウェイの枠へ入る製品ではありません。ID、特権アクセス、Device Trust、SaaS検出、ランタイム認証情報、監査を、個別見積もりで提供します。公開されているRunlayer連携は、役割を正しく分離した例です。1Passwordがシークレットを保管し、リクエスト時に解決します。実行主体とツール呼び出しを許可するかどうかはRunlayerが決めます。

シークレットレイヤーだけを購入しても、サーバーインベントリ、MCPルーティング、ツールポイズニング、パラメーター検証、コンテンツ検査、ツール単位のポリシーは未解決です。ゲートウェイだけを買えば、別のシークレットデータベースが増える可能性があります。両製品を組み合わせる構成に説得力があるのは、それぞれが自分の役割に徹しているからです。

MCP セキュリティのパイロットチェックリスト

機能を説明するスライドではなく、実際の操作に対する証拠を出せて初めて合格です。

1. 1

   未承認の経路を検出する

   ローカルサーバーを1つ、リモートサーバーを1つ、承認済みゲートウェイ背後のサーバーを1つ用意します。製品は3つすべてを検出するか、明示的に把握し、クライアント、ツール、バージョン、所有者、データゾーンを特定できなければなりません。

2. 2

   ユーザー、エージェント、サブエージェントを分離する

   各実行主体に別々のIDを与えます。エージェントは制限されたユーザー委任を引き継げますが、サブエージェントへの許可はさらに狭くします。権限の連鎖を1つの再利用可能なトークンへ変換する設計は認めません。

3. 3

   ツール境界で強制する

   読み取りツールを許可し、書き込みツールを条件付きで許可し、取り消し不能なツールを拒否します。別のクライアント、サーバーの別名、連鎖したツールを使っても、エージェントが拒否を回避できないことを確認します。

4. 4

   入出力の両方向を汚染する

   ツール説明へ指示を挿入し、ツール結果へ悪意ある指示を挿入します。製品は、ユーザーの最初のプロンプトだけでなく、入力メタデータと連鎖する出力も検査しなければなりません。

5. 5

   実行を制限する

   サーバーから想定外のファイル、ネットワーク、プロセス操作を試します。ポリシーエンジンが意図を見逃しても、サンドボックスとネットワーク境界が横展開を止めることを確認します。

6. 6

   トークンを盗んでリプレイする

   テスト用トークンをコピーし、別のワークロードから、または取り消し後に使います。ロードマップが成熟するにつれ、DPoP、フェデレーション、トークン交換、有効期限、オーディエンス、鍵との結び付けによって結果がどう変わるかを確認します。

7. 7

   操作を再構成する

   実行主体、委譲元ユーザー、クライアント、エージェント、サーバー、ツール、パラメーター、ポリシー判断、利用可能なら結果ハッシュ、最終結果、取り消しイベントをSIEMへ出力します。

8. 8

   同じワークロードで価格を比べる

   すべてのベンダーへ、同じユーザー、エージェント、サーバー、ツール、トランザクション、保持期間、環境、リージョン、アドオン、サポート条件を提示します。年間総額を1つと、3年間の撤退計画を1つずつ比較します。

プラットフォームチームに、成功する呼び出しだけをテストさせてはいけません。セキュリティを証明するのは、拒否されたリクエスト、取り消されたトークン、遮断された連鎖出力、隔離されたプロセス、完全なフォレンジック証跡です。

よくある質問

最も優れたMCP セキュリティプラットフォームは？

複数クライアントを使う企業AIエージェントの展開には、カタログ、エージェント連動ポリシー、ランタイム検査、監査を組み合わせたRunlayerが総合首位です。シャドー環境の検出とフォレンジックならProofpoint、セルフホスト型Kubernetesの自社運用ならStacklokが優れています。

MCP セキュリティツールとは？

MCP セキュリティツールは、AIクライアントやエージェントと、それらが呼び出すツールとの接続を統制します。完全なプラットフォームなら、サーバーの検出、実行主体の確認、権限の絞り込み、呼び出しと結果の検査、実行の制限、アクセスの取り消し、証跡の保存を行います。

主なMCP 脆弱性には何がある？

主なリスクは、過大または長期の認証情報、シャドーサーバー、ツールポイズニング、プロンプトとパラメーターへのインジェクション、危険な連鎖出力、弱い実行分離、トークンリプレイ、過大なエージェント権限、脆弱なサーバーコード、不完全な監査証跡です。

MCP セキュリティのチェックリストに必要な項目は？

インベントリ、サポート対象プロジェクトの審査、ワークロードID、委譲権限の範囲、ツール単位の認可、サンドボックス、パラメーター検証、入出力検査、認証情報の保管、トークンリプレイ対策、迅速な取り消し、パッチ適用、SIEMレベルの証跡を含めます。

オープンソースのMCP セキュリティプラットフォームはある？

あります。この候補の中では、StacklokのToolHiveが最も有力なオープンソースのプラットフォーム経路で、Apache 2.0ライセンスです。評価とランタイムの基盤になりますが、企業側には、導入、パッチ適用、サポート、統制経路外の検出、補完的なセキュリティ統制を所有する責任が残ります。

月曜日から始める：約束ではなく証拠を買う

月曜日は、業務責任者が明確なエージェントを1つ選び、ツールを3つ用意します。読み取り専用を1つ、書き込み可能なものを1つ、取り消し不能なものを1つです。ユーザーからエージェント、サブエージェントまでの権限の連鎖を図にし、各段階のID、認証情報の出所、権限範囲、サーバー所有者、データゾーン、ログ送信先、取り消し責任者を記録します。

火曜日は、運用境界に合う2製品へ同じワークロードを通します。多くの企業では、Runlayer対Proofpoint、Runlayer対Stacklok、またはOperant対Netskopeになります。変数が製品だけになるよう、クライアントとツールは同じものを使います。

水曜日は、4つの失敗テストを実行します。ツール説明を汚染し、ツール結果へ悪意ある指示を挿入し、コピーしたトークンを別のワークロードからリプレイし、サブエージェントに取り消し不能なツールを呼ばせます。どのレイヤーが各操作を止め、どの証跡が残ったかを記録します。

木曜日は、ユーザーの委任とエージェントIDを別々に取り消します。アクセスが直ちに止まり、キャッシュされた認証情報が失敗し、SIEMから実行主体、委譲範囲、パラメーター、ポリシー判断、結果、処理結果を再構成できることを確認します。

金曜日は、両ベンダーへ同じ年間ワークロードを提示し、総見積もりを計画モデルの初年度ライセンス$72,000という基準と比較します。証跡の連鎖が途切れず、費用、統制、運用リスクのいずれかで自社開発案を上回る場合だけ購入してください。どちらも合格しなければ、統制されていない展開へ資金を投じず、エージェントを読み取り専用のままにして実証を繰り返します。

AI Business Workflow Audit Checklistを入手

無料のAI Business Workflow Audit Checklistを使えば、エージェントのアイデアを、責任者、権限境界、合格基準、予算上限、中止基準が明確なパイロットへ落とし込めます。チェックリストと次回の検証済み構築ガイドを購読する。