1Password／Bitwarden 等のシークレットと MCP｜「AIにトークンを見せる」設計の反パターン（概念）

AIエージェント（Cursor, Cline, Windsurf等）の普及と、Anthropicが提唱したMCP（Model Context Protocol）の登場により、エンジニアの開発体験は劇的に進化しました。しかし、この利便性と引き換えに、重大なセキュリティリスクが浮上しています。それは、「AI（LLM）のコンテキストに機密情報（APIキーやトークン）が混入する」という問題です。

従来のように .env ファイルに生書きされたキーをAIが読み取り、そのままプロンプトの履歴やクラウド上の推論ログに送信されてしまう状況は、現代のIT実務において致命的なアンチパターンです。本記事では、1PasswordやBitwardenといったシークレット管理ツールをMCPと組み合わせ、AIに「値」そのものを見せることなく、安全に開発・自動化を推進するための設計思想と実装手順を詳解します。

AIエージェント時代に求められるシークレット管理の再定義

なぜ「AIにトークンを見せる」ことがリスクなのか

AIエージェントにプロジェクトの全ファイルを読み込ませる際、多くのエンジニアが .env や config.json を不用意にコンテキストに含めてしまいます。これが危険な理由は主に2点あります。

• プロンプトインジェクションのリスク：外部から入力されたデータに基づき、AIが意図せず print(os.environ) のような挙動をとり、機密情報を外部へ出力してしまう可能性があります。
• 推論ログと学習データへの混入：API経由で送信されたプロンプトは、各AIベンダーのログに記録されます。たとえ「学習に利用しない」設定であっても、平文のトークンがログに残ること自体がコンプライアンス上の重大な瑕疵となります。

Model Context Protocol（MCP）と認証情報の物理的な距離

MCPは、AIモデルがローカル環境のツールやデータにアクセスするための標準プロトコルです。MCPサーバーを介してAIに機能を提供する場合、「MCPサーバーが認証情報を持っている」状態と「AIモデルが認証情報を見ている」状態を明確に分離しなければなりません。理想的な設計は、AIは「どのツールを使うか」だけを知っており、実行時に1Password等のCLIが背後でトークンを注入する構成です。

こうした基盤整備は、単なる開発効率化に留まりません。例えば、SaaS増えすぎ問題と退職者のアカウント削除漏れを防ぐ。Entra ID・Okta・ジョーシスを活用した自動化アーキテクチャで論じられているような、アイデンティティ管理の延長線上にある重要な課題です。

1Password / Bitwarden を活用したシークレット管理の全体像

開発現場で支持されている1PasswordやBitwardenは、単なるパスワードマネージャーから、開発者向けの「シークレット管理プラットフォーム」へと進化しています。

1Password Developer Tools（CLI）による動的インジェクション

1Password CLI（opコマンド）を使用すると、環境変数に直接 export STRIPE_API_KEY=sk_test_... と書く必要がなくなります。代わりに、export STRIPE_API_KEY="op://vault/item/section/label" というシークレット・リファレンスを記述します。プログラムの実行時に op run -- my-command とすることで、メモリ上でのみ実際の値に置換されます。これにより、AIがソースコードをスキャンしても、見えるのは「参照先」だけであり、生の値は漏洩しません。

Bitwarden Secrets Managerによるチーム共有とセキュアなアクセス

Bitwardenも、開発者向けの「Secrets Manager」を提供しています。これは従来のボルト（金庫）とは独立した、マシン認証に特化した仕組みです。アクセストークン（BWS_ACCESS_TOKEN）を使用して、CLI経由でプロジェクトごとの機密情報を一括取得できます。チーム開発において、誰がどのキーにアクセスできるかを細かく制御できる点が強みです。

主要シークレット管理ツールの比較表

大規模な組織であれば、SaaSコストとオンプレ負債を断つ。バックオフィス＆インフラの「標的」と現実的剥がし方のような観点から、既存のID基盤（Okta等）と密結合できるツールを選定することが重要です。

【実践】MCPサーバーにシークレットを安全に渡す実装ステップ

ここでは、最も普及している1Password CLIを利用して、MCPサーバー（例：GitHub連携MCP）をセキュアに起動する手順を解説します。

ステップ1：CLIツールのインストールと初期設定

まず、各OSに応じた1Password CLIをインストールし、サインインを完了させます。

# macOS (Homebrew)
brew install 1password-cli

サインイン確認

op user get --me

ステップ2：環境変数に「リファレンス」を記述する

.env ファイルやシェル設定に直接トークンを書くのをやめ、1Password上のアイテムを指定する「リファレンス」を取得します。1Passwordアプリの各アイテムから「Copy Secret Reference」を選択することで、op://Personal/GitHub/credential といった文字列が取得できます。

ステップ3：MCP設定ファイルへの組み込み

ClineやCursorなどで使用される mcpConfig.json (または claude_desktop_config.json) を編集します。ここで、直接 env セクションに値を書くのではなく、コマンド実行時に op run を介在させるのがポイントです。

{
"mcpServers": {
"github": {
"command": "op",
"args": [
"run",
"--",
"npx",
"-y",
"@modelcontextprotocol/server-github"
],
"env": {
"GITHUB_PERSONAL_ACCESS_TOKEN": "op://VaultName/GitHubItem/credential"
}
}
}
}

この構成により、MCPサーバーが起動する瞬間だけ、1Passwordが GITHUB_PERSONAL_ACCESS_TOKEN の中身を実トークンに差し替えます。AIエージェント側からは、設定ファイルの中身を見ても「1Passwordを参照している」ことしか分かりません。

よくあるエラー：「Authentication Required」とバイナリ権限

MCPサーバーを起動する際、GUIエディタ（Cursor等）のバックグラウンドプロセスからは 1Password のロック解除ダイアログに応答できない場合があります。この場合は、以下の対策を講じてください。

• 1Passwordアプリの設定：「Developer」タブから「Biometric unlock for 1Password CLI」を有効にする。
• 環境変数の事前ロード：エディタを起動する前に、ターミナルで一度 op signin を行い、セッションを有効化しておく。

シークレット管理における「反パターン」と「推奨アーキテクチャ」

実務で陥りがちな失敗を整理し、堅牢なアーキテクチャへの転換を図りましょう。

アンチパターン：.env ファイルをまるごとAIに読み取らせる

最も危険な行為は、AIエージェントに対して「この .env を読んで設定を理解してくれ」と指示することです。AIは文脈を理解するためにその内容をスキャンし、結果としてトークンがプロンプトの履歴（Context Window）に永続化されます。一度履歴に入ると、その後のやり取りすべてにトークンが含まれて送信されるリスクがあります。

推奨：AIには「権限（ツール）」を与え、「生の値」は実行時にのみ結合する

前述のMCP構成のように、「情報のありかを知っているのは実行エンジン（CLI）だけ」という状態を作ります。これは、高額MAツールは不要。BigQueryとリバースETLで構築する「行動トリガー型LINE配信」の完全アーキテクチャで見られるような、データの「参照元」と「実行先」を分離して安全性を確保する設計思想と共通しています。

権限最小化（Least Privilege）の徹底

AIエージェント用のトークンには、必要最小限のスコープ（例：GitHubなら特定のレポジトリへのRead/Writeのみ）を持たせた専用のサービスアカウントを発行してください。万が一、AI経由で漏洩したとしても、その影響範囲を局所化できます。1Password Business等のエンタープライズ機能を利用すれば、これらのサービスアカウントのキーローテーションも自動化・管理が可能です。

まとめ：AIとの共生に不可欠な「ゼロトラスト」な開発環境

AIによる自動コーディングやMCPによるツール連携は、もはや避けて通れない技術革新です。しかし、旧来の「環境変数にキーをベタ書きする」運用を続けていれば、いずれ大きな事故に繋がります。

1PasswordやBitwardenといったツールを導入することは、単なるパスワード管理の手間を省くだけではなく、「AIという不確実な主体に対して、いかに機密情報を隠蔽しながら高い権限を行使させるか」という高度なセキュリティ設計の要となります。まずはCLIの導入と、mcpConfig.json のリファレンス化から着手することをお勧めします。

適切なツール選定とアーキテクチャ設計によって、リスクを最小化しつつ、AIの恩恵を最大限に享受できる体制を構築しましょう。