ローカルMCPサーバーとクラウドMCPサーバー — AIに実際に見えるもの

2026-08-11

MCPサーバーについてローカルとクラウドという語は、それでプライバシーの話が片づくかのように使われます。しかし片づきません。この2語が正確に答えるのは「サーバーのプロセスがどこで動くか」という1点だけで、多くの人が本当に気にしている問い——結局、誰があなたのデータを読めるのか——には触れていません。

短く言えば、ローカルMCPサーバーはデータをベンダーのインフラの外に置きますが、会話の外に置いてくれるわけではありません。 ローカルであれクラウドであれ、アシスタントがMCPサーバー経由で読んだ内容は、あなたが対話しているモデルへ送られます。ローカルかどうかで変わるのは、誰が保存し、誰が到達できるかです。モデルに何が見えるかは変わりません。

この記事ではその2つを切り分けます。プロトコル自体になじみがなければ、まず MCPサーバーとは何かで基本を押さえてください。

「ローカル」と「クラウド」の技術的な意味

MCPの仕様のリビジョン 2026-07-28は、標準のトランスポートをちょうど2つ定めており、それがこの2語にきれいに対応します。

stdio——ローカルのほう。 クライアントがMCPサーバーを子プロセスとして起動し、両者はそのプロセスの標準入出力でやり取りします。改行で区切られたJSON-RPC メッセージを1行に1つずつ送る形です。ネットワーク接続もポートもありません。クライアントが終了すると、サーバーの入力ストリームを閉じ、プロセスも終了します。「自分の端末で動く」とは、具体的にはこういうことです。

Streamable HTTP——クラウドのほう。 サーバーは独立したプロセスで、単一の HTTPエンドポイントを公開し、すべてのメッセージはそこへのHTTP POSTになります。クライアントはhttps://mcp.example.com/mcpのようなURLで、ネットワーク越しにアクセスします。「アカウントを接続」ボタンの背後にあるのは、このトランスポートです。

この違いはデプロイ方法の選択であって、機能の差ではありません。仕様は、プロトコルのセマンティクスはどのトランスポートでも同一だと明記しています。トランスポートが定めるのはメッセージの区切り方と届け方であって、その意味ではありません。会議の文字起こしを読むツールは、どちらでも同じ仕事をします。

それぞれの構成で誰がデータを見られるのか

この2語が普段肩代わりしているのはまさにこの問いで、答えは2つでは足りません。 MCP接続を流れる内容を読みうる立場は、4つあります。

誰が	ローカルサーバー（stdio）	クラウドサーバー（HTTPS）
MCPのベンダー	データを受け取らない	保存し、すべてのリクエストに応じる
モデル提供元	アシスタントが読んだ内容をすべて見る	アシスタントが読んだ内容をすべて見る
AIクライアントアプリ	プロンプト構築のためローカルで読む	同じ
トークンを持つ者	盗むトークンが存在しない	失効させるまで同じデータへ到達できる

意外に思われるのが真ん中の行で、しかも両方の列で同じです。MCPサーバーは、モデルに専用の裏口を用意するわけではありません。テキストを取得してクライアントへ渡し、クライアントがそれをプロンプトに入れます。その時点で、サーバーがどこで動いていたかに関係なく、データは端末を離れています。

最初と最後の行こそ、ローカルが本当に有利な部分です。stdioにはアカウントがなく、他人のディスク上に残る複製もなく、盗まれたり漏洩で流出したりする認証情報もありません。認可すべきものがそもそも存在しないからです。

ローカルプロセス、クラウドデータ——曖昧にされる形

形は2つではなく3つあり、ベンダーが真ん中の1つを分けて説明することはあまりありません。

クラウドサーバー、クラウドデータ。 ベンダーがサーバーをホストし、あなたはブラウザのOAuthで認可を与え、クライアントは必要になるたびにHTTPSで呼び出します。データがもともとそのベンダーのクラウドにあるなら、これが自然な形です。

ローカルプロセス、クラウドデータ。 ベンダーは利用者自身が動かすサーバーを提供します。AIクライアントが起動するnpx、uvx、dockerのコマンドで、APIキーを保持します。しかしそれでデータがローカルになるわけではありません。プロセスは手元のノートパソコンで動きますが、リクエストのたびにネットワーク越しにベンダーの APIを呼びます。MCPサーバーはローカルだと言われたら、まず除外すべきなのがこの形です。

ローカルプロセス、ローカルデータ。 データがもともと端末上にあるため、サーバーはネットワークを一切介さずに読み取ります。「ローカル」がプロセスだけでなくデータまで指しているのは、この形だけです。

見分ける手がかりはコマンドではなく認証情報です。ブラウザでのサインインは、データがベンダー側にあり、それを許可するという意味です。設定ファイルに貼り付ける APIキーは、ローカルのプロセスがあなたに代わってベンダーのAPIを呼ぶという意味です。どちらもローカルデータではありません。

クラウドの認可が実際に与えるもの

クラウドのMCPサーバーでOAuthの画面を通過するとき、あなたは自分のアカウントに対する認証情報を発行しています。それに何ができるのかは知っておく価値があります。

MCPの仕様はこれをOAuth 2.1の上に組み立てています。クライアントは RFC 8707のresourceパラメータを送り、トークンを特定の1つのサーバーに結びつけなければなりません。サーバーの側も、そのトークンが自分向けに発行されたものかを検証し、それ以外を受け付けても転送してもいけません。この仕組みは、あるサービス向けに発行されたトークンを別のサービスへ使い回されないためにあります。

実務上の帰結が3つあります。

認可はセッションより長く生き残る。 トークンは有効期限が切れるか、あなたが失効させるまで、どこに保持されていても機能し続けます。
本当の権限の境界はスコープ。 仕様は、サーバーには必要最小限のスコープを提示し、クライアントにはそれだけを要求して、必要になったら後から広げるよう求めています。接続がどこまで到達できるかは、同意画面で承認した内容がそのまま決めます。
失効はベンダー側の操作。 クラウドのMCPサーバーを切り離すとは、設定ファイルを削除することではなく、そのベンダーのアカウント設定でアクセスを失効させることです。

これらはstdioには当てはまりません。認可の仕様は、対象がHTTPベースのトランスポートであり、stdioを使う実装はこれに従うべきではなく、代わりに環境から認証情報を取得すると明記しています。

ローカルサーバーが手放すもの

ローカルは安全の同義語ではなく、この議論を誠実にやるなら、何を差し出しているかも言う必要があります。

権限層がたいてい存在しません。 認可の仕様が適用されないため、stdioのサーバーには利用者やスコープという概念が普通ありません。あなたのユーザーアカウントで動くものなら、たいていそれを起動してツールを呼び出せます。共用の端末や管理された端末では、これは実際に問題になります。

ポートを開くローカルサーバーは別物です。 ローカルと説明されるサーバーのなかには、実際にはHTTPで待ち受けているものもあります。仕様はこの点を直接扱っています。サーバーはDNSリバインディング攻撃を防ぐためにOriginヘッダーを検証しなければならず、ローカルで動かす場合は0.0.0.0ではなく127.0.0.1にのみバインドすべきだ、というものです。こうした保護がなければ、攻撃者がDNSリバインディングを用いてリモートのウェブサイトからローカルのMCPサーバーとやり取りできてしまう、と仕様は警告しています。

サプライチェーンを引き受けることになります。 npxで起動されるサーバーは、あなたの権限で端末上にコードを取得して実行します。2026年時点でまだベータの OWASP MCP Top 10は、10のカテゴリのなかにサプライチェーン攻撃と依存関係の改ざん（MCP04:2025）、ツールポイズニング（MCP03:2025）を挙げています。ローカルインストールが抱え、ホスト型のエンドポイントは抱えないリスクです。一般論として、仕様の書きぶりは率直です。ツールは任意のコード実行にほかならず、ツールの挙動の説明は、信頼できるサーバーから来たものでない限り信頼できないものとして扱うべきだ、としています。

両方の形に共通する原則

MCPはあなたのデータに権限モデルを追加しません。標準化するのはツールをどう記述しどう呼び出すかであって、あるツールが何に触れてよいかはサーバーの作者が下した判断です。ここからトランスポートによらず2つのことが導かれます。

ツール一覧が権限一覧です。 設定ページに並ぶ名前と数は具体的ですが、「AI-powered intelligence」は具体的ではありません。読み取り専用であることが重要なら、それが事実かどうかが書かれている場所はツール一覧です。
読まれたものはすべてプロンプトの中身になります。 MCP経由の取得は秘匿された参照ではありません。モデル提供元との会話へ向かう途中のテキストであり、その提供元の保持ポリシーが適用されます。

どちらを使っているかの見分け方

どのベンダーの設定ページからでも、1分ほどで答えの出る4つの問いです。

クライアントは何につなぐのか。 https://のURLならクラウドサーバーです。 npx、uvx、dockerのコマンドなら手元の端末で動くプロセスです。
どんな認証情報を求めるのか。 ブラウザでのサインインはベンダーのクラウドを意味します。設定ファイルのAPIキーは、ローカルのプロセスがベンダーのAPIを呼ぶという意味です。認証情報がまったく不要なら、データはもともと端末上にあったということです。
MCPがなければデータはどこにあるのか。 メモが今日ベンダーのクラウドにあるなら、どのMCPトランスポートもそこから持ち出しはしません。
どのクライアントを使っているのか。 Claude Desktopはローカルサーバーを直接起動でき、デスクトップ拡張機能としてインストールします。ChatGPTは開発者モードでリモートのHTTPSエンドポイントに接続するため、ローカルのstdioサーバーへ届かせるにはその前段にトンネルを置くことになります。同じサーバーが、あるクライアントではローカル、別のクライアントではリモートになりえます。

クラウドのほうが良い答えになる場合

選択は一方的ではないので、率直に挙げます。

データがすでにそのクラウドにある場合。 通話がホスト型の会議メモツールにあるなら、クラウドのMCPサーバーは新たな露出を増やしません。すでに借りている建物の2つ目の入口です。たとえばOtterは、無料の Basicを含むすべてのプランに「MCP server integration for AI assistants」を記載しています（2026年8月11日確認）。
スマートフォンから使いたい場合。 stdioのサーバーは、デスクトップのクライアントが動いている間しか存在しません。クラウドのエンドポイントはどこからでも応答します。
中央管理のあるチームの場合。 スコープを絞ったトークン、利用者ごとの失効、監査ログは、クラウドサーバーなら提供できて、ローカルのプロセスには通常できないことです。
対応OSを使っていない場合。 ローカルサーバーはプラットフォームごとの提供になりますが、ホスト型は利用環境を問いません。

クラウドが負けるのは1つの軸だけですが、この記事が扱っているのはまさにその軸です。あなたのデータの複製が他社のインフラ上にあり、認証情報があれば到達できる、という点です。

結論として何を見るべきか

問いを1つではなく2つ立ててください。サーバーがどこで動くかは、誰がデータを保存し、トークンを持つ誰が到達できるかを教えます。アシスタントが何を読むかは、モデル提供元へ何が渡るかを教えます——そしてこちらの答えは、どちらの形でも同じです。

ローカルプロセスがローカルデータを読む形を求めているなら、それが Speak-YのMCPサーバーです。デスクトップアプリの一部として 設定 → 連携からワンクリックで導入でき、すでに端末上にある録音を、アカウントもAPIキーもホスト側の複製もなしに読み取ります。読み取りはアプリを閉じたままでも動きます。何かを変更するツールはアプリを経由し、実行前に確認を求めます。 --read-only を付ければ、そのクライアントを読み取りだけに固定できます。サーバーはすべてのプランで無料です。手動設定はMCPドキュメントにまとめており、何がどこに保存されるかはプライバシーポリシーに記載しています。ほかの会議メモツールが同じ問いにどう答えているかを見たい場合は、各社のMCPサーバーを比較しています。

FAQ

ローカルMCPサーバーとクラウドMCPサーバーの違いは何ですか

ローカルサーバーは、AIクライアントが自分のコンピューター上で起動し、そのプロセスの標準入出力を通じてやり取りするプログラムです。ネットワークは介しません。クラウドサーバーは、クライアントがHTTPS経由で接続し、OAuthで認可するウェブサービスです。MCPの仕様では、それぞれstdioトランスポート、Streamable HTTPトランスポートと呼ばれます。

ローカルMCPサーバーを使えばデータはAIから秘匿されますか

いいえ。ローカルサーバーはデータをベンダーのサーバーに置かずに済ませますが、アシスタントがそこから読んだ内容は会話の一部としてモデル提供元へ送られます。自分で貼り付けた場合とまったく同じです。ローカルかどうかが決めるのは保存とアクセスであって、モデルが何を見るかではありません。

ローカルMCPサーバーはクラウドより安全ですか

秘匿性は高くなりますが、自動的に安全になるわけではありません。MCPの認可仕様はHTTPトランスポートだけを対象としており、stdioのサーバーは代わりに環境から認証情報を取得するよう定められています。そのためローカルサーバーには独自の権限層がないのが普通で、自分のユーザー権限で動くものなら大抵そこへ到達できます。

MCPサーバーがローカルかクラウドかはどう見分けますか

設定手順を見てください。https://のURLとブラウザでのサインインは、ベンダーのクラウドを意味します。npx、uvx、dockerなどのコマンドは、手元の端末で動くプロセスを意味します。ただしAPIキーを持つローカルプロセスも結局はベンダーのAPIを呼ぶため、コマンドだけではデータの所在は分かりません。

ChatGPTとClaudeはどちらもローカルMCPサーバーを使えますか

Claude Desktopはローカルサーバーを直接起動でき、デスクトップ拡張機能としてインストールします。ChatGPTは開発者モードでリモートのHTTPSエンドポイントに接続する方式のため、ローカルのstdioサーバーはまずトンネルで外部に公開する必要があります。同じサーバーが、あるクライアントではローカル、別のクライアントではリモートになりえます。