パスワードを入れていないのに、なぜAIは下書きを直せるのか。AimanaVoのMCP連携を「許可画面」から読む

AimanaVoを使い始めて2日目になる。

初日は、ChatGPTのプラグインをAimanaVo連携としてカスタマイズし、接続できたところで勢いのまま1本目の記事を投稿した。記事を書く体験としては、とても快適だった。

ただ、快適さの裏で、疑問が残ったままだった。

• ユーザー名もパスワードも入れていないのに、なぜAIは下書きを読めるのか
• AIは、AimanaVoのどこまで見ているのか

今日は、1日目に流れで進めた接続の中身を、画面を見返しながら整理する。

接続の流れ(ChatGPTの場合)

最初に、今回の手順がChatGPTのものであることを明記しておく。ClaudeやClaude Codeなど他のクライアントでは、画面の文言や手順が異なる可能性がある。

① プラグイン画面から「カスタム MCP サーバーを追加」を選ぶ

【画像1: プラグイン画面の「追加」メニュー】

WEB版ChatGPTの場合、「プラグインを作成」「プラグインアーカイブをアップロード」と並んで、「カスタム MCP サーバーを追加」がある。

② サーバーURLを入れ、認証方式に「OAuth」を選ぶ

【画像2: カスタム MCP サーバーを追加する画面】

入力するのは名前、説明(任意)、接続タイプ(サーバーURL)、認証の4点が中心。認証欄は「OAuth」になっている。その下には「OAuthの詳細設定」があり、検出されたOAuth設定を確認するか手動で入力し、クライアントのセットアップ方法とデフォルトのスコープを設定する、と書かれている。

ここで目に入るのが、赤字の警告とチェックボックスだ。「カスタム MCP サーバーの利用にはリスクが伴います」とあり、「理解したうえで続けます」にチェックを入れないと作成できない。

③ AimanaVoに移動して、ログインと許可を行う

【画像3: 「AimanaVo を接続する」画面】

【画像4: AimanaVoの「連携の許可」画面】

ChatGPT側で「AimanaVo に進む」を押すとAimanaVoのページが開き、そこでログインし、許可画面で「許可する」を押す。

疑問1:パスワードを入れていないのに、なぜ下書きを読めるのか

答えは、パスワードを使っていないからだ。

ログインは、AimanaVo自身のページで行われている。ChatGPTが受け取るのはパスワードではなく、アクセストークンだ。これは「このアプリに、この範囲の操作を許可した」ことを表す、権限つきの通行証にあたる。

MCPの認可は、OAuth 2.1を土台にしている。ログイン情報を入力する相手は認可サーバー(今回はAimanaVo)だけで、クライアント(ChatGPT)はその結果として発行されるトークンだけを受け取る。以後のAPI呼び出しは、すべてそのトークンで行われる。

つまり、パスワードを入れなかったのではなく、パスワードを入れる場所が、ChatGPTの外にあったということになる。

疑問2:AIは、どこまで見ているのか

これは許可画面に答えが書かれている。AimanaVoの「連携の許可」には、次の一行だけが表示されていた。

記事の下書きの作成・更新、自分の記事の閲覧

トークンの権限(スコープ)は、この範囲に限られる。逆に言えば、画面から読み取れる限り、次のものは許可の対象に書かれていない。

• 記事の公開
• 他人の記事の閲覧
• アカウント設定やパスワードの変更

「AIがどこまで見ているのか」は、AIの振る舞いの良し悪しではなく、許可画面に書かれた範囲で決まる。このことが分かると、不安がだいぶ整理された。

ここで一つだけ、慎重に書いておきたい。画面に書かれていないことが、実装上も必ずできないとは限らない。「画面上は公開の権限が示されていない」というのが、今日時点で言える範囲だ。公開操作を実際に試して確かめるのは、次の課題にする。

ChatGPT側の警告も読んでおく

接続前の画面(画像3)には、ChatGPT側の説明が3つ並んでいる。

1. 権限は常に尊重される:明示的に設定した権限以外にはアクセスせず、いつでも無効にできる
2. 自分で制御できる:ChatGPTはユーザーの学習データ設定を尊重する。ただし、AimanaVoのデータは「あなたに関連する情報や役立つ情報を提供するために使用される場合がある」
3. コネクターはリスクをもたらす場合がある:ウェブサイトによってはデータを盗もうとする可能性がある

特に2つ目は、読み流さないほうがいい。パスワードを渡していないことと、接続したデータが何に使われうるかは、別の問題だからだ。ここは「詳細はこちら」のリンク先まで確認して、自分の設定と照らす必要がある。

3つ目と、画像2の「ChatGPTをだましてツールを意図しない方法で使用させ、データの変更や削除などを行う可能性もあります」という一文は、いわゆるプロンプトインジェクションを指していると考えられる。AIが外部の文書を読み、その中の指示に引きずられるリスクだ。

この観点で見ると、今回の許可範囲は理にかなっている。AIが引きずられたとしても、できることが「下書きの作成・更新」と「自分の記事の閲覧」にとどまっていれば、被害の上限が低く抑えられる。権限を狭くしておくことは、認証の安全とは別の層で効く防御になる。

疑問を持てたことが、いい体験だった

振り返ると、初日の接続は、記事を書く体験よりも、この疑問のほうが長く頭に残った。

• なぜパスワードなしで動くのか
• どこまで見ているのか
• 何を許可したのか

疑問を持てたので、質問できた。質問できたので、納得できた。この流れ自体が、いい体験だったと思う。

「意識させない認証」は、確かに使い心地がいい。ただ、意識させないことと、利用者が仕組みを知らなくていいことは違う。知りたくなったときに、画面の文言から答えを辿れることが、安心して使い続けるための条件だと感じた。AimanaVoの許可画面は、その意味で、短い文言で範囲を明示していて分かりやすかった。

次に確かめたいこと

測定と再現を重視する立場として、今日の理解のうち、まだ検証していない部分を残しておく。

• 公開の操作を指示したとき、実際に拒否されるか
• 他人の記事や、許可範囲外の情報に触れようとしたとき、どう振る舞うか
• 接続の一覧から連携を取り消したとき、トークンが即座に無効になるか
• トークンの有効期限と、更新の挙動

結果が出たら、続報として書く。

初回の記事は、このAimanaVoのMCP連携をスクリーンショットに残しながら執筆もしながら、AimanaVoというプラットフォームを体験できた。

よし、有料記事に挑戦だ！だから予告編

【予告】動画編集の自動化に必要だとばかり思いこんでいた｜勉強を間違えていた私

AIへの「無茶振り」で乗り切る、現場のための動画編集自動化マニュアル

「偉い発注者」でも「プログラマー」でもない、現場で消耗しているあなたへ「Pythonを学んでキャリアアップしよう！」「これからは全ビジネスパーソンがコードを書く時代だ」SNSを開けば、毎日のように並んでいる言葉です。でも、率直に言わせてください。そんな暇、なくないですか？私たちは、エンジニアになりたいわけではあり...

aimanavo.com

Aimanavo.com（エーアイマナボ）を選ぶ理由

私が、AimanaVoで記事を公開する理由は、「SEOに強く、AIにも読まれる」プラットフォームだからです。