セキュリティ、ガバナンス、監査対応力

非破壊的なセキュリティに関するツール

create ツールは、リソースを削除または上書きするのではなく、リソースを追加するため、destructiveHint を false と報告します。ただし、一部の create ツールは、セキュリティの状況を変更します。例:

• atlas-create-access-list プロジェクトの IP アクセス リストにエントリを追加することで、クラスターの公開範囲が広がります。0.0.0.0/0 のようなエントリは、クラスターをすべての IP アドレスに公開します。

• atlas-create-db-user 付与されたロールに応じて、データの読み取りまたは書き込みが可能なデータベースユーザーを作成します。

ツールの評価は、destructiveHint の値ではなく、変更される内容に基づいて行います。

意図の確認

ツールによっては、MCP サーバーがツールの実行前に操作の確認を求める場合があります。MongoDB はこのプロセスを「引き出し」と呼びます。AI クライアントは確認プロンプトを表示し、拒否すると MCP サーバーはエラーを返し、操作を実行しません。

確認は、MCP 引き出し機能をサポートする AI クライアントによって異なります。AI クライアントが引き出しをサポートしない場合、MCP サーバーは確認を求めることなくツールを実行します。危険な操作が実行される前に確認プロンプトが表示されるとは限りません。

ツールの境界

注釈ではなく、パーミッションによって、AI クライアントがツールを使用して変更できるものが決定されます。パーミッションは、次のように決定されます。

• Atlas のロール

• 組織の AI クライアントアクセスレベル

操作に必要な権限がない場合、ツールのアノテーションや確認プロンプトに関わらずツールは失敗します。

パーミッションのサブセットを委任できないため、お客様に代わって操作する AI クライアントは、お客様のロールで許可されているすべてのものにアクセスできます。Project Database Access Admin や Project IP Access List Admin のような広範な特権ロールを持っている場合は、この点を考慮してください。これらのロールにより、前のセクションで説明したツールが使用できます。

Atlas ロールの詳細については、「 Atlas ユーザーロール 」を参照してください。

プログラムによるアクセスを持つ自動化されたエージェントを接続する場合、エージェントはユーザーではなく、Service Account として機能します。各 MCP 構成の範囲をエージェントのワークフローに必要なロールのみに限定し、エージェントが書き込み (write) を行う必要がない限り、構成を読み取り専用にします。読み取り専用の構成により、AI エージェントは書き込みツールをまったく表示できなくなるため、効果的なアクセス制御となります。

リスクの範囲

集計パイプラインの$mergeステージは、パイプラインの読み取り元とは異なるデータベースまたはコレクションに書き込めます。$mergeステージのintoオプションは{db: <database>, coll: <collection>}を受け入れます。書き込み (write)は、AIクライアントがクエリしているように見える範囲を超えて、AIクライアントのAtlasアイデンティティがアクセスできるすべてのデータベースまたはコレクションを対象とすることができます。

$outステージは、対象コレクションが既に存在する場合、対象コレクションのコンテンツを完全に上書きします。

軽減策

すべての集計パイプラインが書き込みにつながるわけではありません。書き込みを生成する集計パイプラインを実行するには、次の条件が必要です。

• 認証済みセッション: ユーザーに委任されたアクセス下の自分のセッションか、プログラムによるアクセス下のサービス アカウントの認証情報のいずれかです。

• プロジェクトへのアクセス: AI クライアントの Atlas アイデンティティにより、ターゲット プロジェクトへの書き込み (write) アクセスが付与されている必要があります。ユーザー委任アクセスの場合、これは自分の Atlas ロールです。プログラムによるアクセスの場合、これはサービスアカウントに割り当てられた Atlas ロールです。

これらの条件によりリスクは低減されますが、除くわけではありません。read ラベルのみに基づいて aggregate、aggregate-db、または export へのアクセスを許可するポリシーでは、AI クライアントに意図せずに書き込み (write) アクセスが許可される可能性があります。

aggregate AI クライアントのアクセス モードまたはサービス アカウントのロールが読み取り専用である場合でも引き続き利用可能です。ただし、書き込みは失敗します。サービス アカウントのロールが読み取り専用である場合、またはユーザー委任アクセスの組織のアクセス モードが読み取り専用に設定されている場合、パイプラインの $out または $merge ステージは完了できません。これは、接続に書き込み権限がないためです。

MCP サーバーは、集計パイプラインに$out または$merge ステージが含まれている場合にも、確認プロンプトをトリガーします。 AIクライアントはプロンプトを表示し、パイプラインの実行前に書込みを確認するよう求めます。この確認は、trigger をサポートするAIクライアントによって異なります。 AIクライアントが認証をサポートしていない場合、MCP サーバーは確認を求めずにパイプラインを実行します。

リスクの低減

• AI クライアントとサービス アカウントには、ワークフローに必要な Atlas ロールのみを付与します。読み取り専用ロールでは、aggregate が $out または $merge ステージを介して書き込むことはできません。

• 引き出しをサポートする AI クライアントを使用すると、MCP サーバーは書き込みを生成する集計パイプラインを実行する前に、同意を求めることができます。

• ユーザーに委任されたアクセスの場合、Organization Owner は、組織のアクセス モードを読み書き込み (write) ではなく、読み取り専用に設定できます。これにより、組織内のすべての AI クライアントに対して aggregate を介した書き込みが防止されます。

• プログラムによるアクセスの場合は、エージェントのワークフローで書き込みが必要な場合を除き、サービス アカウントのMCP構成を読み取り専用にしてください。これにより、aggregateを通じた書き込みが同様に防止されます。