MCP と承認 — ツールに届くことと、その操作をしてよいことは別

GembaOS は、AI エージェントを職務権限規程・稟議・監査のもとで運用するための実行基盤です。ポリシーによる権限判定、パラメータに紐づくワンタイム許可証、人の承認記録を、オンプレミスまたはプライベート VPC 上で提供します。この記事が扱うのは、接続そのものはすでに統制されているとして、MCP のツール呼び出しと業務システムとの間に何を置くか、という話です。

MCP ゲートウェイは何を決めていて、何を開けたままにしていますか

MCP ゲートウェイが決めるのは接続です。どのクライアントがどのサーバーに、どの主体として、どの資格情報で届くか。そしてその呼び出し元にどのツールを見せるか。これらはすべて、エージェントが実際に何を頼むかが分かるより前に決まります。ツールの一覧は先に配られ、引数はあとから来ます。

これはゲートウェイの設計上の欠落ではなく、層が違うという話です。ゲートウェイは接続、その先は一つの操作についての権限です。

GembaOS はどこに入りますか

重要なツール呼び出しは、業務システムに直接ではなく GembaOS の能力ゲートウェイに届きます。そこから先は技術資料で説明している四つのゲートを通ります。ポリシーによる判定、経路が求める押印、引数に紐づく一回限りの許可証、そして書き込み直前にホストが現実の状態を読み直す再照合です。

エージェント側のオーケストレーションも MCP クライアントもそのままです。変わるのは、重要な呼び出しの着地点と、あとに何が残るか。検証済みの事実、引数、押印、実行が一つの作業票にハッシュ連鎖で残ります。

どの層がどのリスクを持ちますか

まとめ

MCP は、エージェントがツールにどう届くかを決めました。そのツールが何をしたことの責任を誰が負うかは決めていませんし、ツールの一覧は金額についての問いに答えられません。接続の統制はゲートウェイに任せ、金銭が動く操作、口座を止める操作、本番環境を変える操作は、ポリシーの判定と名前のある押印と、一回で使い切られる許可証の後ろに置いてください。