MCP データベースセキュリティ — Model Context Protocol DB サーバーをラップ
MCP データベースサーバーは AI エージェントに直接データベースアクセスを与えます — そしてほとんどはマスキング、RBAC、監査なしで出荷されます。FutrixData は MCP データベースアクセスを、エージェント結果パスでのマスキング、クエリガードレール、エージェント単位の ID、ローカルのハッシュチェーン監査ログ (組み込みの audit verify CLI 付き) でラップします — Claude Code、Cursor、Codex の接続方法を変更することなく。ローカル検証のみ。trust と limitations のページが完全な範囲を文書化しています。
MCP とは何か、リスクは何か?
Model Context Protocol (MCP) は、AI エージェントが外部ツール — データベースを含む — を発見・呼び出しできるようにするオープン標準です。Postgres、MySQL、MongoDB などのリファレンス MCP サーバーが存在します。これらはエージェント統合を簡単にしますが、接続されたすべてのエージェントに同じデータベース権限を与え、エージェント単位の ID もフィールドレベルマスキングも集中監査証跡もない傾向があります。
唯一のデータベース境界が「MCP サーバーがプライベートポート上にある」ことなら、それは境界にすぎず、ポリシーではありません。
生の MCP データベースサーバーの 5 つのギャップ
- 共有認証情報。MCP サーバーに接続されたすべてのエージェントが同じ DB ユーザーを使用します。
- 制限のない SQL。静的ルールも事前 EXPLAIN もありません — エージェントのクエリは通り抜けます。
- PII マスキングなし。生の行はエージェントコンテキストに入り、その後 LLM プロバイダーに流れます。
- エージェントごとの ID なし。何かが間違っているとき、「どのエージェントがこれを行ったか」に答えられません。
- 監査ログなし。または stdout のみ — 保持されず、クエリ可能でなく、エクスポート可能ではありません。
FutrixData が MCP をラップする方法
FutrixData は MCP を (Skill、HTTP、CLI と並んで) いくつかのエントリポイントの 1 つとして話します。Claude Code や Cursor から見ると、標準ツール (list_data_sources、execute_query など) を持つ MCP サーバーのように見えます。内部的には、すべての呼び出しは以下を経由します:
- エージェントごとのキー検証。
- データソースタイプによるステートメント解析。
- 静的ルール + 事前 EXPLAIN 評価。
- 信頼モードの調整。
- データベース実行。
- 出口でのフィールドレベルマスキング。
- 監査エントリ作成。
エージェントのツール表面は同じです。動作 — そしてセキュリティチームに与えることのできる保証 — は違います。
MCP 経由で Claude Code、Cursor、Codex を接続
設定は他の MCP サーバーと同じです: エージェントの MCP 設定にある FutrixData バイナリまたは Enterprise Edition HTTP エンドポイントを指す JSON エントリと、エージェントごとのアクセスキー。各インストールには独自のキーがあるため、失効は精密です。
サンプル
{
"mcpServers": {
"futrixdata": {
"command": "futrixdata",
"args": ["mcp"],
"env": {
"FUTRIXDATA_AGENT_KEY": "fxd_live_..."
}
}
}
}{
"mcpServers": {
"futrixdata": {
"url": "https://futrixdata.internal.example.com/mcp",
"headers": { "Authorization": "Bearer fxd_live_..." }
}
}
}よくある質問
MCP とは何ですか?
Model Context Protocol — AI エージェントを外部ツールに接続するためのオープン標準。Anthropic はいくつかのデータベース用のリファレンスサーバーを出荷しました。MCP はワイヤープロトコルを定義しますが、セキュリティモデルは定義しません。
FutrixData は MCP サーバーですか?
FutrixData は MCP を 1 つのエントリポイントとして話します。Skill、HTTP、CLI 経由でも到達可能で、すべて同じリスクエンジンと監査パイプラインを共有しています。エージェント側からは、MCP サーバーのように見え、動作します。
Anthropic のリファレンス MCP サーバーはどうですか?
始めるには素晴らしく、長期的な本番姿勢としてはリスクがあります。エージェント単位の ID、フィールドレベルマスキング、リスクエンジンがなく、監査は最小限です。FutrixData は、実際の本番データベースが範囲に入った時点でそれらの前 (またはその代わり) に置くものです。
非 Anthropic エージェントで動作しますか?
はい。あらゆる MCP 準拠クライアントが接続します (Cursor、Codex、Windsurf、OpenCode、カスタム)。MCP を話さないエージェントには、Skill と HTTP エントリポイントが他のすべてをカバーします。
MCP と HTTP/CLI の両方を使用できますか?
はい — 同じゲートウェイへのエントリポイントです。組織は通常、IDE 側エージェント (Claude Code、Cursor) には MCP を、バックエンド自動化には HTTP を、両方をカバーする 1 つの監査ログで使用します。
FutrixData をご自身のデータベースで試す
macOS、Windows、Linux 向けの無料デスクトップアプリ。本番環境にはセルフホスト型 Enterprise Edition もご利用いただけます。