マネージドレジストリ
すべての MCP サーバーは Cortex を通じて登録・検出されます。新しいサーバーは status='pending' で登録され、管理者が承認するまで呼び出せません。
MCP Gateway
エージェントが触れるすべての MCP ツールを、ゲートで制御し記録する。
Model Context Protocol は、自律エージェントに対して自社のツールを開きます。Cortex はそのすべての呼び出しの手前に、管理されたレジストリ、テナント単位の許可リスト、入出力双方の DLP、レート制限、リスクスコアリング、キルスイッチ、完全なトランザクションログを置きます。だから MCP を規制対象の業務でも安全に運用できます。
EU AI Act · NIST AI RMF · ISO 42001 に整合
MCP Gateway
mcp ▸ マネージドレジストリ · キルスイッチ有効
課題
MCP は、統制するものがなければ開けっ放しの扉。
MCP を使えば、どのエージェントでも自社サーバーのツールを発見して呼び出せます——レコードの参照、送金、メッセージ送信まで。標準のままでは、承認のステップも、許可リストも、情報漏えいチェックも、レート制限も、何が呼ばれたかの記録もありません。Cortex はゲートウェイを唯一の入口にします。サーバーは承認されるまで呼び出せず、すべての呼び出しは双方向でスキャンされ、ワンクリックで即座に遮断できます。
マネージド MCP レジストリ呼び出し前承認DLP 入出力レート制限トランザクションログキルスイッチ作動可能
1つのゲートウェイに、すべての統制
エージェントとツール呼び出しの間にあるもの。
各統制は呼び出し時にフェイルクローズで適用されます。いずれかのチェックに失敗したリクエストは拒否され、その試行も記録に残ります。
許可リスト
サーバー単位のツール許可リストが、エージェントの呼び出せる検出済みツールを厳密に限定します — さらにテナント単位のスコープにより、あるテナントのサーバーが他のテナントから見えることはありません。
入出力の DLP
受信テキストは呼び出しの前にプロンプトインジェクションと PII を検査され、応答結果はエージェントに届く前に PII をマスクされます。
完全なトランザクションログ
統制されたすべての呼び出しは — 許可・ブロックを問わず — マスク済みの入出力、拒否理由、レイテンシとともに記録され、そのまま監査に提出できます。
ガバナンス付き呼び出しの流れ
登録から、承認・スキャン・記録まで。
MCP サーバーは、呼び出される権利を獲得します。そのうえでゲートウェイは、1件ごとのリクエストで検査します。
- 01
登録
サーバーは status='pending' としてマネージドレジストリに追加されます。承認されるまで、すべての呼び出しは 403 で拒否されます — 既定で動くツールはありません。
- 02
承認とスコープ設定
管理者がサーバーを承認し、リスク階層（low / medium / high）を設定して、ツール許可リストを定義します。許可リストが空であれば検出されたすべてのツールが対象となり、明示的にリスト化すれば範囲を絞り込めます。
- 03
呼び出しごとにゲート
gateInvoke は承認済み・有効・ツール許可リスト登録済みを確認したうえで、入力に DLP を実行し（インジェクションリスクの高いテキストはブロック）、JSON-RPC の tools/call を実行し、出力から PII をマスクします。
- 04
記録と制御
呼び出しは、マスク済みの入出力とレイテンシとともにトランザクションログに記録されます。1 件のブロックでキルスイッチが作動し、再承認するまで以降の呼び出しはすべて 403 を返します。
主張ではなく、証明する
ゲートはフェイルクローズ。すべての拒否をお見せできます。
これらは実際の適用結果です。ゲートウェイはまず拒否し、後から問い直すこともしません。拒否はすべて記録されるため、「ブロックされた」は主張ではなく、監査人に渡せる事実になります。
- 承認待ちのサーバーを呼び出す → 403。承認されるまでツールは動きません。
- 入力にプロンプトインジェクション（「これまでの指示をすべて無視して…」）→ 403 DLP。
- サーバーの許可リストにないツール → 403。スコープは明示的です。
- block のキルスイッチを押す → 以降の呼び出しは即座に 403。
MCP Gateway
mcp ▸ マネージドレジストリ · キルスイッチ有効
細かい条件も、見える場所に
DLP、リスクスコアリング、レート制限、そして呼び出し台帳。
ゲートウェイは許可か拒否かを返すだけではありません。入力も出力も同じように、検査し、スコアリングし、流量を絞り、記録します。
DLP — インバウンド
- プロンプトインジェクション検知
- 引数内の PII 検知
- インジェクションリスクの高いテキストをブロック
- 拒否理由とともに記録
DLP — アウトバウンド
- 結果の PII マスキング
- エージェントが見る前にマスク
- 同じマスク結果をログにも保存
- 証跡に生のシークレットを残さない
リスクとレート制限
- サーバー単位のリスク階層（low / med / high）
- エージェント単位・テナント単位の許可リスト
- レート制限と利用クォータ
- サーバーのリスクスコアリング
トランザクションログ
- 許可・ブロックを問わずすべての呼び出し
- マスク済み入出力とレイテンシ
- 拒否ごとに理由を記録
- 監査用にエクスポート可能
ひと操作で止める
呼び出しが届く前に押せるキルスイッチ。
block は、サーバー全体に即時に効くキルスイッチです。切り替えた瞬間から、どのエージェントやワークフローが要求しても、ガバナンス付きの呼び出しはすべて拒否されます。approve で再び有効になります。許可リストは呼び出し元のエージェント・アイデンティティ単位にスコープされるため、ゲートウェイは常に、誰がどのツールに手を伸ばしているかを把握しています。
- サーバーを1つブロック → そのツールはフリート全体で停止。
- エージェント単位の許可リストが、ツールを呼び出し元のアイデンティティに紐付け。
- 再承認すればサーバーを復旧。
ランタイム全体と連携
ゲートウェイは、ガバナンス付きパイプラインの1つのゲート。
MCP の呼び出しは、Cortex の他のすべてと同じアイデンティティ、アクション、監査、オブザーバビリティの基盤を通ります。
Agent IAM
エージェント単位の許可リストは、呼び出し元のアイデンティティに紐付きます — オーナー、リスク階層、許可アクション、有効期限。
Action Fabric
ツール呼び出しは、リスク階層と dry-run → approve → execute のライフサイクルを持つ統制されたアクションになります。
Trust Ledger
ゲートを通ったすべての呼び出しは、改ざん検知可能で検証できる監査証跡へハッシュチェーンされます。
Control Tower
MCP サーバー数、承認待ち、ブロック件数をライブで確認し、一つの画面からツールを無効化できます。
Policy-as-Code
ツールをいつ呼び出せるかを統制する allow / deny / require-approval ルールを作成します。
オブザーバビリティ
すべてのツール呼び出しが、実行トレース、品質スコア、イベントストリームに現れます。
セキュリティとコンプライアンス
セキュリティレビューを通過する MCP。
フェイルクローズの承認、双方向の DLP、テナント単位の分離、キルスイッチ、完全な呼び出し台帳——監査人がすでに使っているフレームワークに対応付けています。
SOC 2ISO 27001ISO 42001HIPAAGDPREU AI ActNIST AI RMFFINRA
自社のツールをエージェントに開く——あなたの条件で。
すべての MCP サーバーの手前に、管理されたゲートウェイを。呼び出し前に承認され、双方向でスキャンされ、記録され、ワンクリックで完全停止できます。