Qualys TotalAI：MCPサーバーは新たなシャドーIT——検出が可能に

Qualysは、エンタープライズ環境全体でMCPサーバーを検出、インベントリ化、評価するためにTotalAIプラットフォームを拡張しました。同社はこれを「AIの新たなシャドーIT」と呼んでいます。この発表は、エージェントセキュリティが中心テーマとなるRSAカンファレンス2026の数日前に行われました。

MCPサーバーは、AIエージェントとエンタープライズシステム間の統合レイヤーとして機能し、ツール、API、ファイルシステム、クラウドインフラへのアクセスを可能にします。セキュリティリスクは以下の通りです：広範な権限で運用されることが多く、長期間有効な静的シークレットなどの弱い認証モデルに依存し、ツール呼び出しやプロンプトインジェクションを通じて悪用される可能性のある機能を公開します。

核心的な問題は可視性です。MCPサーバーはlocalhostにバインドされたり、ランダムな高ポートで動作したり、プロキシの背後に存在したり、開発者ツールやプラグイン内に存在することが多いです。多くは実験として始まり、正式な承認なしに本番環境の依存関係に発展します——エージェント採用の速度によって増幅された典型的なシャドーITパターンです。

Qualys TotalAIは、ネットワーク、ホスト、サプライチェーンの各観点から階層的な検出を提供します。MCPサーバーインベントリビューにはサーバー名、URL、検出日、関連エンドポイントが表示され、セキュリティチームにMCP統合の一元的なビューを提供します。

企業がAIエージェントを大規模に展開する中、MCPセキュリティは重要なギャップとなっています。Qualys TotalAIは、MCPサーバーの攻撃サーフェスを特に標的とする初のエンタープライズセキュリティプラットフォームの1つです。

詳細：https://blog.qualys.com/product-tech/2026/03/19/mcp-servers-shadow-it-ai-qualys-totalai-2026