Postgres用MCPサーバーの作り方 — 自然言語DB操作を安全にする4層防御

セッションは、GitHub CopilotがOpus 4.6を介してPostgresにクエリを投げ、地域のハチの観測データから回答を導くデモで幕を開ける。エージェントがMCPサーバーの存在を認識し、自らSQLを実行する流れだ。

MCPはAIアプリやエージェントが外部データソースからコンテキストを取得する方法を定義するオープンプロトコルである。Anthropicが最初に提唱し、その後広く採用されて今はLinux Foundationの傘下にある。

MCP以前は各データソースごとにカスタム統合が必要だったが、今はソースごとにMCPサーバーを置けば共通の取得手段が手に入る、とパメラは説明する。

中核は、エージェントに自由なSQLを書かせても安全にするための防御設計だ。まず最小権限ロールで特定スキーマへのSELECTのみを許可し、INSERTやDROP、DELETEをデータベースレベルで遮断する。

パーサーをすり抜けてしまうCTE(WITH句)も、このデータベースレベルの強制でブロックされる。副作用を伴う関数呼び出しも最小権限ロールで防げる。

さらにpg_sleepや巨大なCROSS JOINのようなDDoS的操作に対しては、ツールにタイムアウトを設定して強制終了させる。これら複数の層を重ねて初めて、生成SQLの実行に確信が持てるという。

終盤、パメラはPostgres上にMCPサーバーを構築する複数の方法を振り返る。あらゆる質問に答えられる探索型は柔軟だが、あらゆるSQL操作を許してしまうリスクを伴う。

一方、完全に型付けされたツールは安全だが、答えられる質問の範囲は限定される。その中間に読み取り専用のSQLクエリという選択肢がある。

データベースレベルで多くを強制できるため最も安全なアプローチになると述べ、内部・外部を問わずユーザーが自然言語でDBと対話できる強力さを、設計上の注意とともに勧めて締めくくった。