AIエージェントは実際「何に」使われているのか — 17.7万MCPツールの実証分析が示す「語られる未来」と「作られている現在」

サマリ

「AIエージェントが営業を変える、人事を変える、カスタマーサポートを変える」——この1年、こうした言説を聞かない週はありませんでした。では、実際にエージェントの「手足」として作られ、ダウンロードされているツールは何のためのものか。英国AIセキュリティ研究所（UK AI Security Institute）の研究者が公開MCPツール17万7,436件を分析した論文は、この問いに初めて大規模な実測データで答えました。

結論はシンプルです。公開されたエージェント用ツールの67%はソフトウェア開発・IT向けで、追跡可能なサーバーダウンロードでは90%がIT系に集中しています（Stein, 2026）。ただし非IT領域は一様ではなく、経営・金融・顧客対応はツール数の18%まで供給がある一方、教育・人事は1%、法務は1%未満でした。エージェント活用の現在地は「経済全体の自動化」よりも「技術ワークフローの加速」が先行している段階です。

ただし、この論文の本当の見どころは静止画ではなく動画です。追跡可能なパッケージダウンロードに占める、ファイル編集・メール送信・決済のように環境を直接変更する「アクション型」ツールの比率が、16カ月で27%から65%へと上昇しています。実呼び出しを測った値ではありませんが、公開エコシステムでは「情報を見る」ツールから「作業を実行する」ツールへの導入試行が強まっている——導入を検討する経営者が押さえるべきは、この転換点だと私たちは見ています。

論文の整理: まず MCP とは何か

Model Context Protocol（MCP）は、2024年11月に公開された、AIアプリケーションを外部システムに接続するためのオープン標準です。公式ドキュメントは「AIアプリケーションにとっての USB-C ポート」と説明しています。充電器がメーカーごとにバラバラだった時代から USB-C で統一されたように、MCP は「AIがファイル・データベース・業務システムにつながる差込口」を統一しました。

エージェントに「カレンダーを読む」「経費システムに入力する」といった能力を与えるプログラムを MCPサーバーと呼び、その中の個々の機能（予定の取得、ファイルの編集など）が MCPツールです。公式ドキュメントによれば、Claude や ChatGPT のような AIアシスタントから Visual Studio Code・Cursor のような開発ツールまで幅広いクライアントが MCP に対応しており、この論文も MCP を「現時点でエージェント用ツールの支配的な標準」と位置づけています。

つまり、公開されている MCPツールの分布を観測することは、公開エコシステムでエージェント向けにどの道具が供給され、ダウンロードされているかを棚卸しすることに近い——これが本研究の出発点です。個々の企業へのアンケートではなく、公開リポジトリとパッケージ配布の記録を数えるため、導入率の自己申告調査とは異なる観測面を持ちます。ただし、非公開の社内ツールや実際のツール呼び出しは観測できません。

論文の整理: 著者・手法・データの性質

• 正式名称: How are AI agents used? Evidence from 177,000 MCP tools（arXiv:2603.23802）
• 著者・所属: Merlin Stein 氏。英国AIセキュリティ研究所（UK AI Security Institute）およびオックスフォード大学所属
• 発表: 2026年3月25日投稿の arXiv プレプリント（分野: cs.CY）。査読誌への掲載前の論文である点には留意が必要です
• データ: 2024年11月〜2026年2月の16カ月間に公開された MCPサーバーを、GitHub・Smithery レジストリ・公式 MCP リポジトリ等から収集。候補7万3,338件を LLM と人手で検証し、1万9,388サーバー・17万7,436ツールを最終データセットとした、著者いわく現存最大のエージェントツールデータセットです
• 利用量の推計: うち3,854サーバー（4万2,498ツール）について NPM / PyPI のダウンロード数を追跡し、利用トレンドの代理指標としています
• 分類: 各ツールを「知覚（perception）＝データを読む」「推論（reasoning）＝分析する」「アクション（action）＝外部環境を直接変更する」の3類型と、米労働省の職業データベース O*NET に基づくタスク領域に分類。機械学習の修士・博士号保持者14名による検証では、タスク領域分類の一致率はサーバー単位78%・ツール単位74%、3類型はツール単位81%でした

3類型のイメージを具体例で持っておくと、以降の数値が読みやすくなります。

類型	何をするか	論文中の例
知覚（perception）	データを読む・検索する	社内データベースの参照、ネット検索
推論（reasoning）	分析・計画を行う	計算、シミュレーション、タスク分解
アクション（action）	外部環境を直接変更する	ファイル編集、メール送信、決済の実行

ダウンロード数はあくまで「インストールされた回数」の集計であり、個々のツール呼び出しを数えたものではありません。この点は論文の限界のセクションで改めて触れますが、先に押さえておくべき前提です。なお、この研究は英国AIセキュリティ研究所とイングランド銀行の協働プロジェクトの一部として実施されており、「規制当局がエージェント経済をどう監視するか」という政策的関心が背景にあります。

論文の整理: 主要結果 — ツールは何のために作られているか

まず全体の規模感です。この論文の集計によると、公開ツール数は2025年1月の約4,888件から2026年2月の約17万7,000件へ、わずか13カ月で36倍に増えました。月間ダウンロードも同期間に8万件から1,400万件へ約175倍に増えています。エージェントの「道具箱」は、量の面では爆発的に拡大している最中です。

そのうえで、タスク領域別の分布は次のとおりです。

0%50%100%

• ITシステム
  67%
• 経営・金融・顧客対応
  18%
• 科学研究・技術分析
  5%
• 芸術・文化系
  3%
• 教育・人事・能力開発
  1%
• その他
  5%

※出典: Stein（2026）。公開ツール数の構成比であり、企業内の非公開実装や実際のツール呼び出しは含みません。丸めのため合計は100%にならない場合があります。

タスク領域	公開ツール数	ツール比率	サーバーDL比率
ITシステムの設計・実装・保守	119,685	67%	90%
経営管理・金融・カスタマーサービス	31,882	18%	5%
科学研究・技術分析	8,989	5%	3%
芸術・文化系の制作	6,053	3%	1%未満
教育・人事・能力開発	1,857	1%	1%未満
その他（行政・物流・医療等）	8,968	5%	1%

なお、この表の6行を合計すると177,434件となり、総数の17万7,436件と2件差があります。論文側の集計表も合計を177,434件としているため、原典の値をそのまま掲載しています。

この論文が指摘するとおり、ソフトウェア開発の一極集中は追跡可能なパッケージダウンロードでさらに顕著です。ツール数では67%ですが、サーバーダウンロードでは90%。逆に金融・経営管理系はツール数で18%を占める第2勢力であるにもかかわらず、ダウンロードは5%にとどまります。ツール供給が先行し、ダウンロードは相対的に小さい領域が可視化されているわけです。

興味深いのは、論文が比較対象として併記している対話型AI（Claude.ai）の利用データとの違いです。同データではIT系タスクは52%で、芸術・制作系が15%、経営・金融系が11%と、チャット利用は業務の裾野が相対的に広くなっています。一方、MCPサーバーの追跡可能なパッケージダウンロードではIT系が90% でした。この観測面の差は、エージェント導入の現在地を考える材料になります。

もう1つの軸が、冒頭で触れた3類型の時系列変化です。

0%50%100%

• 2024年11月
  27%
• 2026年2月
  65%

※出典: Stein（2026）。同じ公開MCPサーバー群の時系列ですが、ダウンロードは利用の代理指標であり、実際の呼び出し回数ではありません。

指標	2024年11月	2026年2月
アクション型ツールの利用（DL）比率	27%	65%
同・商用企業発ツールに限定	21%	71%
汎用ツール（ブラウザ操作・コード実行等）のDL比率	41%	50%

この論文の分析によると、アクション型シフトを牽引しているのは、ブラウザ自動操作やコンピュータ操作のような「汎用（general-purpose）」ツールの普及です。機能の内訳を見ると、全期間のダウンロードのうち「コンピュータ操作（ブラウザ自動化・GUI操作等）」が49.6%を占め、カレンダーやSNSといった「特定ソフトの拡張API」の9.2%、「コード実行」の4.2%を大きく引き離しています。さらに、汎用サーバーのダウンロードの94%はアクション能力を含む一方、知覚型ツールのダウンロードの95%は特定APIだけにアクセスする「限定（narrow-purpose）」型でした。つまり、環境変更能力を持つ汎用ツールに、追跡可能なダウンロードが集中しつつある——論文はここにリスク監視上の含意を見ています。

誰がツールを公開しているか — 公式サーバーの存在感

公開されている MCPサーバーの大半は個人・オープンソース開発者によるものですが、この論文は PayPal・Stripe・Google・GitHub のような法人が公式に公開するサーバーを別枠で集計しています。公式サーバーのツールは17.7万件中8,469件と数では5%弱にすぎない一方、ダウンロードでは全体7,800万件のうち4,500万件を占めるという結果でした。ツール数はコミュニティ側が多い一方、追跡可能なパッケージダウンロードは公式サーバーに集中しています。自社が API を持つ事業者であれば、「公式 MCPサーバーを出すかどうか」が顧客接点の設計課題になりつつある、と読める数字です。

また、登録法人が公開したツールに限っても、アクション型のダウンロード比率は先の表のとおり21%から71%へ上昇しました。

地理分布 — PyPIのアクション型サブセットで日本は2.0%

2024年11月〜2025年10月に、PyPI 上で国別データを取得できたアクション型ツールを含む528サーバー・673万ダウンロードのサブセットでは、米国の比率が大きくなりました。

国・地域	ダウンロードシェア
米国	56.8%
ドイツ	10.8%
中国	5.3%
シンガポール	4.8%
韓国	2.3%
日本	2.0%

論文の結論部では、このサブセットを「米国がダウンロードの57%、西欧が20%、中国が5%」と要約しています。日本は2.0%ですが、PyPI 以外の配布経路や非アクション型サーバーを含むMCP利用全体の国別比率とは読めません。

0%50%100%

• 米国
  56.8%
• ドイツ
  10.8%
• 中国
  5.3%
• シンガポール
  4.8%
• 韓国
  2.3%
• 日本
  2.0%

※出典: Stein（2026）。2024年11月〜2025年10月のPyPI由来サブセットです。主要6か国だけを表示し、残りの国・地域は省略しています。地域別のMCP利用全体を表すものではありません。

AIがAIの道具を作っている

もう1つ、見過ごせない発見があります。この論文はコミット履歴等の痕跡から、MCPサーバーが AIコーディング支援を使って作られたかを判定しました。その結果、新規公開される MCPサーバーのうち、公開後30日以内のコミットに AI支援の痕跡があるものは、2025年1月の6%から2026年2月には62%へと急上昇。AI支援サーバーの68.6%は Claude Code によるもので、Cursor（9.2%）、GitHub Copilot（9.1%）、Codex（6.0%）が続きます。論文はこの検出手法が「明示的に記録された痕跡しか捉えられないため過小評価である」とも付記しています。エージェント用ツールの供給は、すでに人間の開発リソースだけに縛られていないということです。

高リスク領域の萌芽 — 決済ツールは13カ月で30倍超

アクション型ツールの大半は、O*NET の指標で見ると「ファイル編集」程度の中リスク職務に対応しています。しかし金融は例外で、高リスク職務向けのアクション型ツールが全体傾向から突出して多い外れ値領域だと論文は指摘します。実際、決済実行機能を持つサーバーは2025年1月の47件から2026年2月には1,578件に増えました。このほか高リスク領域の実例として、服薬管理・税務申告・ドローン操縦・法務文書生成の MCPサーバーが挙げられています。論文はこの動きを、規制当局がモデルの出力だけでなく「ツールのレイヤー」を監視すべき根拠として提示しています。

論文の整理: この研究の限界

論文自身が認める限界は、読み手側がそのまま「数字の使い方の注意書き」として使えます。本レポートの数値を社内資料に引用する場合は、以下を必ず添えてください。

• ツールの存在・ダウンロード ≠ 利用実態。ダウンロードはインストールという行為の回数であり、ツールが実際に呼び出されたかは観測していません。論文は「このデータが主に示すのは、本番業務に定着したツールではなく、開発者が最も試しているツールである可能性が高い」と明記しています
• 公開リポジトリのみが対象。企業内の独自実装や非公開ツール、ダウンロードを伴わないリモートホスト型のサーバーは含まれず、結果は「エージェントが取りうる行動の下限（lower bound）」だと論文は位置づけています
• 標本は開発者側に寄っている。論文が別レジストリ（Smithery）の利用データと突き合わせた検証では、PyPI / NPM ダウンロードの90%がITツールだったのに対し、Smithery 経由の利用では80%と、本データセットのIT偏重がやや強めに出ることが確認されています
• 地理データは PyPI 由来で西側諸国に偏る可能性があり、中国等の別流通網の活動を過小評価しうる、と論文は注記しています
• 個々のサーバーの変化は追跡していない。スナップショット方式のため、公開後にツール構成が変わったサーバーの変化は捉えられません
• 汎用ツール（ブラウザ操作等）は「どの業務に使われたか」を原理的に分類できないため、汎用化が進むほどこの監視手法自体の解像度が下がる、と論文は将来課題として認めています

加えて本レポートとしての注記です。本論文は2026年3月投稿の査読前プレプリントであり、数値は今後の改訂で変わる可能性があります。また著者は英国の規制当局系研究機関の所属であり、リスク監視という問題意識が分析の力点に反映されている点も、読み筋として頭に置いておくべきでしょう。

岡崎の分析

私がこの論文を経営者のみなさんに紹介したい理由は、「エージェントで何ができるか」の話がベンダーのデモと構想発表に偏りすぎているからです。「営業もバックオフィスもエージェントに」という構想と、「公開ツールの67%、追跡可能なサーバーダウンロードの90%がIT向け」という実測。このギャップは、どちらかが嘘だということではなく、普及のタイムラインの読み方を教えてくれるものだと捉えるべきです。

第一に、ソフトウェア開発への一極集中は、他領域への展開を考えるうえでの先行指標になりえます。開発者は自分の道具を自分で作りやすく、新技術の初期採用者になりやすい職種の一つです。重要なのは、2025年1月から2026年2月までの13カ月で公開ツール数が約36倍になり、2026年2月の新規MCPサーバーの62%で公開後30日以内のコミットにAI支援の痕跡が検出されたことです。後者はAI単独で作られた割合ではなく、明示的な痕跡だけを捉えた測定値です。ツール開発のボトルネックが人間の手から一部外れたことで、非IT領域のツール不足も今後縮小する可能性があります。実際、金融・経営管理系はすでにツール数で18%まで作られています。道具の供給だけでなく、使う側の業務設計も普及を左右すると私たちは見ています。

第二に、27%→65%というアクション型のダウンロード比率上昇は、導入時に検討すべきリスクの質が変わったことを示唆します。「社内文書を検索して要約するAI」の失敗も誤答による意思決定リスクがありますが、「ファイルを書き換え、メールを送り、決済を実行するAI」では外部環境へ直接影響が及びます。現場でエージェント導入のご相談を受けていても、この区別のないまま「とにかくエージェントを」という進め方が目立ちます。公開エコシステムでアクション型の導入試行が強まる今こそ、権限設計を導入論の中心に置くべきタイミングです。

第三に、PyPIのアクション型サブセットで日本が2.0%だったことは、国内で検証すべき問いを示します。この比率だけで日本全体のMCP利用を評価することはできません。一方、日本語の業務文脈に合うツールが公開エコシステムでどれだけ供給・利用されているかを自社で確かめ、海外向けツールをそのまま採用できない領域を洗い出す材料にはなります。追跡可能なサーバーダウンロードの90%がIT向けである段階だからこそ、非IT業務では小さな検証から学習を蓄積する価値があります。

最後に、この論文で私が最も示唆的だと感じた数字は、実は67%でも65%でもなく、「2026年2月の新規MCPサーバーの62%で、公開後30日以内のコミットにAI支援の痕跡があった」という一点です。この値はAI単独作成率ではなく、公開コミットに残った支援痕跡の検出率です。それでも、現場の経営者からよく聞く「うちの業務に合うAIツールがない」という悩みに対して、既製品を待つだけでなく、AIで開発を支援しながら自社業務向けツールを内製する選択肢が広がっていることを示唆します。私たち自身、Claude Code で業務用の MCPツールを日常的に内製しています。「既製ツールを探す」から「業務に合わせて作る」へ——エージェント導入の発想を切り替えるタイミングだと私たちは見ています。

提言 — どう付き合っていくか

公開ツールの供給量をそのまま導入実績と読まず、権限設計と検証順序へ翻訳する必要があります。

1. 1供給の厚みを見る公開ツール数とダウンロードを分け、候補領域の成熟度を確認する→↓
2. 2行動権限を分類する知覚・推論・アクションと、限定・汎用の2軸で失敗影響を把握する→↓
3. 3小さく検証する可逆な操作から始め、不可逆な操作には人の承認と監査ログを置く

✓導入率ではなく、エージェントに渡した権限と実際の利用を継続的に棚卸しする

この論文から導入判断に持ち帰るべきは、「どの業務から」「どの権限で」「何を観測しながら」エージェントを入れるかという3つの問いへの答えです。エージェント導入領域の選定に、実測データを判断軸として組み込むことをお勧めします。

1. 最初の導入領域は、エコシステムが実測で厚い場所から選ぶ。ソフトウェア開発・IT運用はツールの67%・ダウンロードの90%が集まっています。公開ツールとダウンロード実績の選択肢が多く、情報システム部門や開発業務は初期検証の候補にしやすい領域です
2. 非IT業務は「限定型×知覚型」から入る。特定の業務システムを読むツールは外部環境を直接変更せず、接続先も限定できるため、統制境界を設計しやすいと本レポートでは考えます。ブラウザを自由に操作させる汎用アクション型は、業務価値が大きい反面、権限範囲も広がるため段階を踏むべきです
3. アクション権限は「取り消せるか」で線を引く。ファイル編集もバックアップや版管理がなければ復旧できず、送信済みメールや実行済み決済の取消・補償可能性もシステム設計に左右されます。決済系サーバーが13カ月で30倍超に増えた今、不可逆または補償コストの大きい操作には人間の承認を挟む設計を最初から仕様に含めてください
4. 「エージェント導入率」ではなく「エージェントに渡した権限の棚卸し」を経営指標にする。この論文が規制当局に提案しているツールレイヤーの監視は、そのまま社内ガバナンスに転用できます。自社のエージェントが持つツール一覧を、知覚/推論/アクション、限定/汎用で分類するだけで、リスクの解像度は一段上がります
5. 公開ツールの動向を仮説探索の補助指標として定点観測する。この論文には、Google カレンダー用の非公式 MCPサーバーが2024年12月に GitHub に登場し、Anthropic と OpenAI が公式のカレンダー連携を製品に載せたのはその数カ月後だった、という例が出てきます。これは1例であり、一般的な先行期間や予測精度は示しません。それでも、自社の業界に関わる MCPツールの増減を四半期に一度確認し、次に検証する業務領域の仮説を得る補助材料にはできます

---

本レポートは公開論文に基づく分析です。引用した数値はいずれも査読前のプレプリントによるものであり、詳細な手法・限界は末尾の出典から一次情報をご確認ください。