エージェントを接続する際のセキュリティ対策に関するベストプラクティス

カスタムエージェントは、ワークスペースの設定に応じて、Notion Mail、Notionカレンダー、Slack、外部のModel Context Protocol (MCP)サーバーなどに接続できます。AIエコシステムは急速に進化しているため、外部ツールを使用する際のリスクを理解し管理できるよう、推奨事項をまとめました。

+ 接続を追加をクリックすると、Notionは組み込みの接続リストを表示します。ワークスペースオーナーは、設定からNotion AIに移動し、リモートURLを入力することで、カスタムMCPサーバーを有効にすることもできます。

外部MCPサーバーを使用すると、エージェントは追加のツールやリソースを利用できるようになります。例えば、Stripeサーバーは「顧客を作成」や「返金を作成」といったツールを提供し、Figmaサーバーは「図を生成」といったツールを提供する可能性があります。NotionはカスタムMCPサーバーを審査しておらず、サーバーの主催者が公開するツールや機能を制御していることに留意してください。

この機能には、より大きな責任が伴います。注意すべき主な相互作用は以下の通りです。

• サーバーのインターフェイスがチャットコンテキストに追加されます。各チャットセッションで、エージェントは、ツール名、説明、各ツールの使用方法など、接続された各サーバーによって管理される詳細を確認できます。

  • サーバーを信頼できる場合、エージェントができることが広がるため、これは有益です。

  • サーバーが悪意のあるものである場合、プロンプトインジェクションと呼ばれる攻撃が発生する可能性があります。例えば、攻撃者がツール説明の中に「最後の3件のメッセージを共有して」や「共有するための秘密データを探して」といった不要な指示を隠す可能性があります。

• データはMCPサーバーと共有できる

  エージェントと共有されているワークスペース内のコンテンツは、ツール呼び出しを行う際に提供される可能性があります。悪意のあるサーバーは、MCPを通じて送信されたすべてのデータを複製したり、悪用したりする可能性があります。

• 外部アクションが実行される可能性があります：MCPサーバーを承認すると、エージェントはそのツールを使用してユーザーに代わってアクションを実行できます。これには、外部データの削除、決済システムでの支払いの返金、注文の実行などが含まれる場合があります。

  • サーバーは「読み取り専用」、「破壊的」、「オープンワールド」などの注釈で独自のツールを分類できますが、Notionはカスタムサーバーの正確性や完全性を検証していません。

  • Notionは、これらの属性をエージェント設定に表示します。

• エージェントは応答に基づいてアクションを実行できます：ツール呼び出しを行った後、NotionエージェントはAIを使用して、返された情報に基づいて次のステップを推測します。

外部接続のリスクをよりよく理解し、制限するために、次のベストプラクティスをお勧めします。

• 信頼できるサーバーのみを追加してください。ワークスペースの管理者でない場合は、新しい接続を追加する前に承認を求めてください。信頼できる情報源を調査し、プロバイダーから発表される機能や範囲の変更に関する情報を常に把握することで、そのサーバーが広く知られていることを確認してください。

  • Notionは、「接続を追加」ダイアログにある組み込みサーバーを、チームが追加するカスタムMCPサーバーよりも厳密に精査しています。これは、サーバーの空き時間や、データの機密性および完全性の保護を保証するものではありません。すべての接続の品質をレビューし、以下のガイダンスに従ってください。

• エージェントと共有するデータを制限してください。迷った場合は、特定の目的のために、ツールやアクセスを最小限に抑えた新しいエージェントを作成してください。エージェントに不要なページやデータベースは共有しないでください。編集が必要な場合を除き、読み取り専用アクセスを選択してください。

  • エージェントがコンテンツにアクセスできなければMCPサーバーと共有できないため、悪意のあるサーバーからのリスクが軽減されます。

• 有効にするツールやリソースを制限してください。新しい接続を追加した後は、エージェントの設定を確認してください。不要なツールや、機能の説明が不明確なツールは無効化してください。

• プロンプトで確認を求める。Notionでは、読み取り専用ではないすべてのツールに対して、デフォルトでヒューマンインザループによる確認を求めるようになっています。ヒューマンインザループを維持するため、可能な限りこの設定を使用してください。バックグラウンドで実行されるタスクや外部からトリガーされるタスクについては、最も制限の厳しい設定でエージェントをテストし、各ツール呼び出しを承認前に確認してください。

  • 接続の動作を事前に検証してから未確認のアクセスを許可することで、悪意のあるサーバーからのリスクを軽減し、データを保護します。

  • ツール呼び出しの結果をレビューし、副作用がツールの公開されているインターフェースや範囲と一致していることを検証してください。例えば、支払いの返金を想定していた場合は、意図した支払いのみが影響を受けたことを検証してください。