技術紹介

イベント登壇

2026年9月18日

【参加レポート】AgntCon / MCPCon Japan 2026：自律型AIエージェントを本番運用するための「統制（Governance）」と「インフラ設計」の最前線

Linux Foundation主催「AgntCon / MCPCon Japan 2026」の参加レポート。AnthropicによるMCP Proxyの大規模運用（OAuth・キャッシュ戦略）、Woven by ToyotaのGo/MCPによる社内セキュリティ審査自動化、eBPFサイドカー「Aksh」によるクレデンシャル隔離など、自律型AIエージェントを本番運用するための統制とインフラ設計の最前線を徹底解説します。

【経営者・DX推進責任者の方へ】
本稿はエンジニア向けの実装・インフラ詳細レポートです。投資対効果（ROI）や経営判断基準、ガバナンスリスクの全体像については、以下のコンパニオン記事をご覧ください。
👉 【経営者向け】AIエージェント本番導入のROIと、企業が直面する「3つの重大リスク」

先週、Linux Foundationが主催する国内初の大規模エージェント／MCPカンファレンス「AgntCon / MCPCon Japan 2026」に参加してきました。

本カンファレンスを通じて最も強く感じたのは、AIエージェント業界の焦点が「プロンプトやモデル選定による精度向上」から、「本番環境でいかにセキュアかつスケーラブルに動かし、統制（Governance）するか」というインフラ・コントロールプレーンの領域へ完全に移行したという点です。

本稿では、特に実運用とアーキテクチャの観点で示唆に富んでいた5つのセッションを軸に、要点と技術的考察をレポートします。

1. 大規模MCPプロキシ運用の裏側：OAuth・キャッシュ・耐障害性

セッション: Running an MCP Proxy at Scale
登壇者: Camila Rondinini 氏（Anthropic, Connectivity Team Backend Engineer）

AnthropicのClaude Code、claude.ai、Claude DesktopがリモートMCPサーバーと通信する際、中継を担うフォワードプロキシ（MCP Proxy）の実装と運用知見が共有されました。

OAuthトークンリフレッシュの現実（RFC通りにはいかない）

ユニバーサルOAuthクライアントの宿命: LLMクライアントは事実上「初のユニバーサルOAuthクライアント」としてあらゆる認可サーバーの癖に対応する必要がある。
非準拠エラーの壁: トークンリフレッシュ失敗の約25%はOAuth 2.0仕様（RFC 6749）に準拠していないエラー（独自フォーマットや不適切なステータスコード）。
分散ロックとプロアクティブリフレッシュ: 同時リクエストによるトークン競合破損を防ぐため、分散ロック（Distributed Lock）を導入して単一更新を担保。さらにトークン有効期限の残り約5%でプロアクティブに先行リフレッシュを行う設計。

上流リクエスト削減と2026-07-28仕様改定

初期接続時の initialize → notifications/initialized → tools/list の定型ハンドシェイクが大量の上流負荷を生んでいた。
2026年7月28日のMCP仕様改定により、レスポンスに ttlMs（有効期間）と cacheScope（キャッシュ範囲）が導入。ユーザー単位ではなくサーバー単位でのツール定義キャッシュが可能になり、プロキシ層でリクエストを大幅に間引くことが可能に。

サーバー健全性の抽象化

ネットワーク障害、プロトコルエラー、ツール実行失敗などを error_code と fault（責務の所在）へマッピング。リクエストごとに1行の構造化ログを記録し、異常検出を高速化。

2. 実践Woven by Toyota：300超のセキュリティ基準審査をAI×MCPで自動化

セッション: Building an AI for Security Exception Tickets: What Actually Worked
登壇者: Juan Corena 氏（Woven by Toyota, Senior Software Engineer）

ウーブン・バイ・トヨタ社における、300以上の社内セキュリティ基準に対する「例外申請（Security Exception Ticket）」の自動事前審査システムの実践事例です。

コンテキスト肥大化を抑えるMCP設計

800kトークン超の基準書全量をコンテキストに載せる（または重厚なベクトルDB/RAGを組む）のではなく、MCPツールを2つだけ定義：
1. 各基準のIDと要約一覧を返す関数（get_summaries）
2. 指定IDの全文を取得する関数（get_standard_by_id）
エージェントはまず要約を走査し、関連する特定の基準のみをピンポイントで取得。1チケットあたりの平均消費トークンを45.1k（読込95.2%、生成4.8%）に抑え、処理時間は平均25秒、コストは約0.12ドル/回を実現。

本番運用にGo言語（adk-go + 公式MCP SDK）を採用

プロダクションソフトウェアとしての堅牢性、実行時依存の少なさ、フィードバックループの速さからGoを選択。

3回リトライと決定論的バリデーション

1回目の成功率86%に対し、リトライ機構により最終成功率99%を達成。
出力検証（フォーム検証・MCP呼び出し検証）に加え、Ragasフレームワークを用いた評価（関連性・忠実度・適合度）を自動CI/CDパイプラインに組み込み。

3. エージェントにトークンを渡すな：eBPFとSidecarによる権限分離

セッション: Aksh: Stop Giving Agents Tokens - Securing with Side-Car Proxies
登壇者: Ritwik Ranjan 氏 / Girish Motwani 氏（AKSH）

「推論（Reasoning）と権限（Authority）の分離」を掲げるOSSセキュリティサイドカー「Aksh」のアーキテクチャ解説です。

Prompts are not permissions（プロンプトは認可ではない）

従来ソフトウェアはコードが制御フローを制限するが、エージェント環境では信頼できない外部コンテキストがモデルの行動選択に影響を与える。モデルの出力は「リクエスト」であって「権限の行使」であってはならない。

Kubernetesサイドカー × eBPF透過キャプチャ

KubernetesのAdmission Webhookにより、エージェントのコード変更一切なしでサイドカーを自動注入。
eBPFでソケット層の通信を透過的にキャプチャし、エージェントコンテナから認証情報（クレデンシャル）を完全隔離。
エージェントはリクエストを発行するのみで、Aksh側がポリシー（Host + Method + Path）を検証した上でトークン（Entra WIFやBearerトークン）をインジェクション。

わずか+0.85msのオーバーヘッド

AKS環境・200 req/sの実測値で中央値レイテンシ増加は0.85ms。間接プロンプトインジェクションによる外部情報漏洩（Egress遮断）や、破壊的APIの実行を確実に阻止。

4. エージェント自律性のガバナンス：コントロールプレーンの構築

セッション: Governed Agent Autonomy: Building a Control Plane for Agentic Systems
登壇者: Nnenna Ndukwe 氏（Qodo AI）

コーディングエージェントが自律的に計画立案・ツール実行・ファイル変更・予算消費を行う時代において、組織が信頼して権限を委譲するためのコントロールプレーン設計論です。

明示的な境界（Explicit Boundaries）の設計

計画承認ゲート（Plan gates）、きめ細やかなパーミッション制御、独立した検証機構（Independent verification）、ランタイムの可観測性を必須コンポーネントとして定義。
テレメトリとクォータ追跡: 優れたコーディングワークフローであっても整合性障害は起こり得る。実行されたコードの追跡だけでなく、消費されたトークンやクォータの追跡がガバナンスの不可分な一部となる。

5. MCPにとどまらないエージェントアクションの包括統制

セッション: Workshop: Governing AI Agent Actions: MCP and Beyond
登壇者: Shannon Williams 氏 / Chris Urwin 氏（Obot AI）

MCPサーバーの作成自体は平易になった現在、エンタープライズが直面する本質的な課題（誰が・何を・どこまで許可され、後から監査できるか）を掘り下げたワークショップです。

横断的なポリシー適用と野良エージェント統制

横断的なポリシー適用: エージェントのアクションはMCPにとどまらず、CLI実行、Skills、動的コード生成による直接API呼び出しに及ぶ。これらすべてに適用される統一ポリシー（許可リスト、RBAC、Human-in-the-Loop）が必要。
野良エージェント（Shadow AI）の可視化: 社内で勝手に立ち上がる未管理のMCPサーバーやSkillを検知・レジストリ統制するプロセスの重要性。

総括：Furious Greenのシステム開発・AI基盤への示唆

今回のカンファレンスを通じて、当社が推進しているシステムアーキテクチャの方向性と合致する3つの確信を得ました。

「推論層」と「実行・認可層」の物理的分離:
LLMに直接APIキーや特権を持たせる時代は終わりました。プロキシやサイドカー、コントロールプレーンが介在し、エージェントの推論結果をポリシーゲートで検証した上で実行するアーキテクチャがエンタープライズの標準となります。
Go言語による軽量・堅牢なバックエンド運用の強み:
Woven by Toyotaの事例でも語られた通り、本番運用のエージェント基盤・プロキシには、低リソースかつ高速に起動し、単一バイナリで動くコンパイル言語（Go）が圧倒的な親和性を持ちます。
MCPの仕様拡張とキャッシュ戦略の重要性:
MCPが単なるツール接続プロトコルから、エンタープライズ運用のためのTTL/キャッシュスコープ、OAuthライフサイクル管理を備えたプロトコルへと急速に進化しています。

自社内のエージェント基盤運用およびクライアント向けプライベートAI構築においても、今回の知見（透過プロキシ、トークン隔離、キャッシュ最適化）を直ちに実装へ反映させてまいります。