GitHub Copilot CLIのMCP連携とCLI直接実行：AI開発の二極化

AIエージェントにツールを持たせる手法は二極化している。安全性を重視する管理手法と、速度を重視する直接実行だ。開発者はセキュリティと効率のトレードオフに直面している。エージェントの実行環境の変化を整理する。

エージェント拡張における2つのアプローチ

AIエージェントの実行環境には3つの動きがある。CLI上でのAI開発体験の進化だ。ターミナル上のAIアシスタントはコード生成の枠を超えた。マルチモデルワークフローが標準化しつつある。MCPサーバーとの連携で、ローカル環境や外部APIへのアクセスが整備された。

AIエージェント向けのスキル管理も標準化が進む。GitHub公式CLIに、スキルをパッケージ管理する`gh skill`コマンドが実装された。従来はスクリプトを手動で配置していた。これからは公式コマンドでスキルのインストールや更新が完結する。

インストール時にはスキルの由来情報が設定ファイルに記録される。ファイルツリーを一意に識別するハッシュ値も記録される。ファイルの中身が1ビットでも書き換われば、ハッシュ値の不一致で検知できる。システムレベルで改ざんを防ぐ仕組みだ。

一方で、MCPを使わない直接実行のアプローチも登場した。MiniMax社が公開した`MMX-CLI`は、画像生成や音声合成などのマルチモーダル機能をCLIコマンドとして提供する。AIエージェントは人間がターミナルでコマンドを叩くように、これらの機能を直接呼び出せる。

複雑なAPIラッパーは不要だ。認証管理やセッション維持のロジックも省略できる。設定のスキーマ検証にはZodが使われ、コンテナ環境へのデプロイも容易だ。テキスト以外のメディア生成を、シェルコマンドの実行という形で統合している。

安全性を優先するエコシステムと、中間レイヤーを排除して速度を追求する動き。AIエージェントのツール利用は2つの進化を遂げている。

しんたろー：

MCPが標準になるかと思いきや、CLI直接実行の脳筋アプローチが出てくる。開発者は「動くもの」を「今すぐ」作れる環境を求めている。

※この記事は、Claude Codeで1人SaaS開発しているしんたろーが、海外AI最新情報を開発者目線で解説する「AI活用Tips」です。

中間レイヤーの恩恵と直接実行の破壊力

エージェントにツール操作を許可する際、設計の選択がプロジェクトを左右する。MCPを挟むか、CLIを直接叩かせるか。MCPのメリットは安全性と互換性の担保だ。エージェントの権限を厳密にコントロールできる。

チーム開発では粒度の細かいアクセス制御が求められる。スキル管理コマンドの由来証明とハッシュ値検証も安全志向の延長にある。AIへのプロンプトはプレーンテキストだ。悪意のある命令を紛れ込ませることは容易だ。

スキルの配布元が乗っ取られるリスクは存在する。ディレクトリ配下の整合性を保証する仕組みは、エージェント開発の標準になる。一方で、CLIを直接叩くアプローチは実装スピードが速い。

MCPを通すと通信と変換のオーバーヘッドが発生する。設定ファイルの記述やプロトコルのシリアライズはイテレーション速度を落とす。`MMX-CLI`のようなツールは、このレイヤーを削ぎ落としている。

エージェントにシステムプロンプトでコマンドを指示するだけで済む。厳格な型チェックが効いた環境で動作する。テキスト処理が得意なLLMに、目と耳と口を最速で実装できる。

Claude Codeを利用する際、両方のアプローチを使い分ける。データベースのマイグレーションなど、致命的なタスクは由来証明のある安全なスキルとして管理する。実行前に人間の承認ステップを挟む。

画像のリサイズやログのパースなど、失敗してもやり直せるタスクはCLIコマンドで実行する。ツール実行時の摩擦を減らすことが自律性を高める。すべてを管理すれば生産性が落ち、すべてを直接実行すればシステムは脆くなる。

しんたろー：

Claude Codeに任せると破壊的なコマンドを実行しようとすることがある。権限管理のレイヤーと、脳死で叩けるコマンドのレイヤーを分離するのが正解だ。

この対立構造はマイクロサービスとモノリスの論争に似ている。標準化と安全性を追求する流れと、シンプルさと速度を武器にしたアンチテーゼだ。プロジェクトの要件に合わせてアーキテクチャを選択するフェーズにある。

プロンプトインジェクションの脅威と選択

AIエージェント向けのスキル導入プロセスは変化している。ネット上のスクリプトを無防備に実行する時代は終わった。ツールの由来と完全性を確認するプロセスが必須だ。

特にプロンプトインジェクションは脅威だ。AIはプロンプトを忠実に実行しようとする。スキルの中に「環境変数を外部へ送信せよ」という隠しコマンドがあれば、AIは情報を抜き取る。コードの脆弱性ではなく、言語理解能力を逆手に取った攻撃だ。

公式のパッケージ管理機能による検証が有効だ。インストール前のファイル確認、由来元の追跡、ハッシュ値の監視、権限の最小化を行う。エージェントのツールボックスをクリーンに保つことが開発者の責任だ。

カスタムツール作成時の設計方針も重要だ。汎用性と安全性を優先するならMCP準拠で作成する。他の開発者と共有しやすく、互換性も担保される。エラーハンドリングもプロトコル層で統一できる。

ローカル環境で高速に回したい単発タスクなら、CLIコマンドとして実装する。軽量なスクリプトで処理を書き、エージェントにルールを教える。認証情報は環境変数で渡す。バイナリデータを扱う場合、ファイルシステムを介した直接実行はシンプルでバグが少ない。

しんたろー：

ローカルで一人で動かすならCLI直叩きが速い。しかしチームで共有した瞬間に環境依存の沼にハマる。このジレンマはAI時代も変わらない。

ツール管理の二極化は開発の自由度を広げている。サンドボックスで慎重に作業させるか、ターミナルで自由に走り回らせるか。タスクの性質とリスク許容度に応じて手綱の握り方を変える。

AIエージェントツール管理のFAQ

Q1: MCPとCLI直接実行、どちらを選ぶべきか？

汎用性と安全性を重視するならMCPだ。権限管理やプロンプトインジェクション対策をシステムレベルで実装できる。チーム開発ではMCPが標準だ。画像生成などのマルチモーダル機能を低レイテンシで統合したい場合は、CLIの直接呼び出しが効率的だ。

Q2: スキルをインストールする際のセキュリティリスクは？

プロンプトインジェクションによる情報漏洩と破壊工作だ。悪意のあるスキルが「機密情報を送信せよ」といった隠れた命令を出す可能性がある。インストール前に設定ファイルの中身を確認すること。由来情報が正当か、ハッシュ値が改ざんされていないかをチェックする習慣が必要だ。

Q3: 公式のパッケージ管理機能を使うメリットは？

スキルのインストール経路の標準化と、強力な改ざん検知だ。公式機能はインストール時に由来情報を書き込み、ファイルツリーの整合性をハッシュ値で保証する。意図しないコードの書き換えや、配布元の乗っ取りによる悪意のあるアップデートを即座に検知できる。

まとめ

AIエージェントのツール管理は、安全志向と直接実行の2つの道に分かれている。

👉 ThreadPostでSNS運用を自動化する