AIにAzureを操作させる前に｜Azure MCP 7つの脅威
Azure MCP Server で AI アシスタントを Azure につなぐと、調査は速くなる一方で、モデルが作ったリクエストがサブスクリプションやデータプレーンへ届くようになります。Microsoft Tech Community の記事（2026年10月16日）が整理した7つの脅威と、ツールのフィルタは認可ではない・アクティビティログは通常読み取りを記録しない・タイムアウトは失敗の証明ではない、という3つの事実、提案→検証→承認→実行→確認の型、今日確認する3項目をまとめます。守りはプロンプトではなく、モデルの外にある Azure の権限です。
AIにAzureを操作させる前に
冒頭40秒で言い切る。AIにAzureを触らせるとき、守りはプロンプトでもツール設定でもなく、Azureの権限そのもの。Microsoft が Tech Community のブログ（2026年10月16日）で7つの脅威として整理した。合言葉は「権限はモデルの外に置け」。
応援お願いします！
共通テンプレート。
正直、私も渡していました
要本人確認：本人の体験として言えるか確認。言えない場合はこのスライドを差し替える。記事が言う「よくある近道」は、エンジニアの既存の Azure セッションでアシスタントをつなぐこと。そのセッションは複数サブスクリプションにまたがり、デプロイ・ネットワーク変更・アクセス管理・削除の権限を含みうる。
「なんで遅いの？」から始まる話
記事が冒頭と脅威2で使っている想定シナリオ。実際に起きた事件ではないと明言する。「このアプリ、なんで遅いの？」→ AIが Azure Monitor と Log Analytics を読む → ログには攻撃者が書けるテキストも入る（リクエスト、例外メッセージ、ユーザーエージェントなど）→ そこに指示のような1行 → そのAIのIDがシークレット読み取りや本番変更の権限を持っていたら？ ログの文はデータであって、エンジニアからの指示ではない。
Azure MCP 7つの脅威
7つを一気に見せる。ここでは名前だけ。次の2枚で中身と対策を話す。
脅威1〜3：権限・指示・漏えい
1は権限過多。調査に要るのは小さな読み取り面なのに、IDは大きな書き込み面を持つ。2はテレメトリが指示になる（プロンプトインジェクション）。Microsoft のセキュリティガイダンスもツールポイズニングとプロンプトインジェクションを挙げ、ツールの出力を信頼できないものとして扱えと言っている。3は読み取り専用でも漏れる。ログにはトークン・顧客データ・個人情報が入りうる。
脅威4〜7：対象・シークレット・コネクター・自動化
4は攻撃者がいなくても起きる。似た名前のリソースグループ、ステージングのリソースID、「不調なインスタンスを再起動して」を本番全体の再起動と解釈する。型が正しいかのスキーマ検証に加えて「意味の検証」が要る。5は構成を見ることとシークレットにアクセスすることは別。6はMCPサーバー自体が資格情報でAzure APIを呼べる実行可能ソフト。ローカルのインスタンスは本番データ・本番資格情報と一緒に使わない。7は自動化でミスが増幅する。上限と、会話とは独立した停止手段を用意する。
意外な事実3つ
1つ目、ツールのフィルタリングは有用だが認可ではない。許されていない操作はリソースプロバイダー側で拒否されなければならない。2つ目、アクティビティログは通常、読み取り操作を記録しない。AIが何を読んだかは、診断設定・リソースログ・MCPのクライアント／サーバーのログで別に残す。3つ目、タイムアウトは失敗の証明ではない。リトライの前に操作のステータスとリソースの状態を照会する。
安全な型：提案→検証→承認→実行→確認
結果を伴う操作はこの順番。サブスクリプションID、リソースグループ、リソースID、操作、パラメーター、想定される影響、ロールバック計画を示す。どれか1つでも変わったら承認し直し。本番ではAIがデプロイ・変更要求・プルリクエストを準備し、実行の責任は既存のリリース管理・変更管理が持つ形にできる。
今日確認する3項目
記事の内容をもとにした私の提案としてのチェックリスト。1つ目、ロール割り当ては加算的。Reader を付けても継承された広い権限は消えないので、実効権限を見る。2つ目、記事は読み取り専用の診断用IDに Key Vault の secrets/get を持たせるなと書いている。3つ目、Azure MCP は読み取り専用モードと名前空間の絞り込みに対応。ユーザー確認と機密操作の確認は切らない。ただし最後の境界はあくまで RBAC。
間違えても本番が壊れない仕組みへ
締め。決して間違えないAIを目指すのではなく、間違えても、操られても、本番が壊れない仕組みにする。出典は Microsoft Tech Community の Azure Infrastructure Blog（2026年10月16日公開）。引用は私の訳。
応援お願いします！
共通テンプレート。