Cloudflareは、Cloudflare OneにおいてModel Context Protocol（MCP）のトラフィックをセキュリティチームが検出・制御できる新機能を発表しました。AIエージェントがツールを呼び出し、迅速かつ大規模に処理を実行できるようになったことで、1回の誤りが発見される前に数千回も繰り返される可能性があるためです。
今回のアップデートにより、Cloudflare Gatewayはプロトコルレベルの指標を通じてMCPリクエストを識別し、そのトラフィックを生成しているユーザーとサーバーを表示したうえで、接続を許可またはブロックするポリシーを適用できるようになります。MCP Server Portalsと組み合わせることで、管理者はエージェントが承認済みの経路を使用しているか、設定された制御を迂回してサーバーに直接接続しているかを確認できます。
特徴的なアドレスに依存しないMCPトラフィックの検出
MCPでは、特定のホスト名や/mcpのような固定パスが必須ではありません。そのため、直接接続は通常のAPIへのHTTPSリクエストと同じように見える可能性があります。Cloudflareは従来、一般的な指標を含むホスト名やパスを検索していましたが、この方法では通常のアドレスを使用するサーバーを見逃したり、MCPとは無関係のサービスを検出したりする可能性がありました。
Gatewayは現在、プロトコルの指標を利用しています。主な指標は、TLS復号を経たリクエストに含まれるMCP-Protocol-Versionヘッダーです。プロトコルの最新バージョンでは、Mcp-MethodヘッダーとMcp-Nameヘッダーを使用して、リクエスト全体を解析することなく、要求された操作とツールを特定することもできます。
発表日時点で、すべてのCloudflare Zero Trustの顧客はGateway HTTPログでMCPトラフィックの指標を確認でき、許可またはブロックのポリシーでexperimental.is_mcp == trueセレクターを使用できます。この検出には、復号されていない暗号化トラフィック、stdioを使用するローカルMCPサーバー、管理対象ネットワーク外の接続、Gatewayを経由しないリクエストは含まれません。
接続と宛先を追跡するダッシュボード
Cloudflareは、設定可能な期間内のMCPトラフィックを表示する専用ダッシュボードを提供します。
- MCPリクエストの総数と、固有のユーザー数およびサーバー数。
- MCPトラフィックを提供するサーバーと、各サーバーのリクエスト数。
- 接続ポイント別のトラフィック分布。MCP Portalのトラフィックとユーザー端末からの直接接続を分けて表示。
- 承認済みゲートウェイ外で最も多く確認されたMCPサーバー。これは管理対象外のMCPトラフィックに相当します。
- MCPリクエスト量が最も多いユーザー。
管理者は、サーバー、ユーザー、接続ポイントの種類で結果を絞り込み、関連するGateway HTTPログに移動して詳細な調査を行うこともできます。
未承認サーバーとゲートウェイの迂回を区別
Cloudflareは、2つの異なる問題を区別します。1つ目はShadow MCPです。これは、従業員が組織の承認を受けていないサーバーをMCPクライアントに追加した場合を指します。2つ目はゲートウェイの迂回で、従業員がMCP Portalを使用せず、承認済みサーバーのアドレスに直接接続することで、Accessポリシー、整理されたツールカタログ、データ損失防止、監査ログを迂回する場合です。
未知のサーバーを検出した後、組織はそれを評価し、MCP Portalの背後に配置できます。ポータルは、管理対象のアクセスポイント、Accessのアイデンティティ、整理されたツールカタログ、アクティビティのログ記録を提供します。また、準拠した接続をGateway経由で転送してHTTPポリシーとデータ損失防止を適用し、Logpushを通じてツールのアクティビティをエクスポートすることもできます。
ゲートウェイのみの使用を強制するため、CloudflareはGateway NetworkポリシーとHTTPポリシーにTraffic Sourceセレクターを追加しました。MCP Portalからのトラフィックにはmcp_portalソースが表示されるため、ポータル経由ではないMCPリクエストをブロックし、承認済みの経路から来るリクエストは維持できます。
OAuthとプライベートサーバーへの対応を拡大
MCP Portalsは現在、事前登録済みOAuthクライアントに対応しています。管理者は認証情報を手動で入力し、サービスプロバイダーにコールバックアドレスを登録し、自動検出できない場合は認可、トークン、取り消し、発行者のエンドポイントを指定できます。各ユーザーは引き続き、自分のデータソースへのアクセスを許可する責任を負います。一方、保存されたシークレットは、更新されたツールリストとプロンプトを取得するためだけに使用されます。
Cloudflareは、Cloudflare Gatewayのルーティングを通じて、ポータルがプライベートネットワーク上にあるMCPサーバーへアクセスできるようにする機能にも取り組んでいますが、この機能は現在も活発に開発中です。また、Agents SDKのv0.20.0は、クライアントおよびサーバーとして2026-07-28付けのMCP仕様をサポートし、サーバーが新しいステートレスモデルに対応していない場合は、従来の初期化方式にフォールバックできます。
Cloudflareは、まず可視化から始めることを推奨しています。Gatewayを通過するトラフィックを調査し、宛先を承認済みサーバーと比較し、承認されたサーバーをMCP Portalsへ移行します。その後、管理対象の端末とサイトからの直接接続をブロックするポリシーを適用できます。なお、同社は今後、特定のツールの使用に対するより詳細な制御と、既知および未知のMCPサーバーにおけるツール利用状況のレポートを追加する予定です。