AIへCRM操作を渡す境界――MCPの読取・作成・送信toolを分類する

自然言語から呼び出されるtoolが、情報取得だけか、D1変更か、LINE利用者への外部送信かを利用者が事前に識別できるか。

コードから観測できること

1. MCP Serverにはlist/get系とcreate/manage/broadcast系が同居する。tool名だけで副作用強度を推測せず、HTTP method、対象endpoint、外部送信の有無を一覧化する必要がある。
2. broadcast、scenario、form、rich menu、tracked link、conversationなど業務単位のtoolへ分かれるため、API key権限とAI承認をtool単位で設計できる余地がある。
3. 安全性研究ではAIの文章品質より、誤った対象アカウント、件数、予約時刻を止められるか、実行前previewと監査ログが残るかを優先して測る。

再現・追加測定の手順

1. 全toolをread/draft/write/sendへ分類する
2. 最小権限API keyで各toolを呼ぶ
3. 送信系には件数・対象・本文確認を挟む
4. 拒否・timeout・再実行時の副作用を記録する

この資料だけでは証明できないこと

1. MCP client側の確認UIは利用環境により異なる。
2. toolの説明文だけではサーバー側権限制御の代替にならない。

このページは新しいcommit、実測ログ、API仕様変更が得られた時点で更新します。古い観測条件と現在仕様を混同しないため、固定commitへのリンクを残します。