2025 年 8 月 8 日から 18 日にかけて、Google の脅威インテリジェンスグループが UNC6395 として追跡する攻撃者が、Salesloft Drift インテグレーションから盗んだ OAuth トークンを使って顧客の Salesforce 組織に SOQL クエリを実行し、Users、Accounts、Opportunities、Cases を一括エクスポートしました。狙いは、レコードに貼り付けられた AWS キーやパスワードです。Salesloft と Salesforce は 8 月 20 日にすべての Drift トークンを失効させました。この攻撃にモデルは一切関与していません。関与していたのは、CRM に対して組織全体の読み取り権限を持つ 1 つのインテグレーションであり、それはまさに不用意に接続されたエージェントが持つ権限と同じです。
12 か月後の今、典型的なレベニュースタックのすべてのツールが自社製の MCP サーバーを出荷しています。Gong は 2025 年 10 月 21 日に発表し、Salesforce のホスト型サーバーは 2026 年 4 月 29 日に GA となり、Chili Piper は 2026 年 5 月に出荷し、LeanData の BookIt MCP は 2026 年 5 月 21 日のリリースで登場し、Clay のサーバーはデータプロバイダーと関数を Claude と ChatGPT に公開しています。それぞれに独自の権限モデルがあり、互いに整合していません。このスタックは、各ベンダーの管理コンソール内で下す一連の判断です。目的は、営業担当者のエージェントが商談に関する質問に答え、アカウントをエンリッチし、ミーティングを予約できるようにしつつ、そのどの接続も次の Drift にしないことです。
このスタックが強制するルールは次のとおりです。すべてのエージェント接続は名前のある個人として動作し、書き込む前に読み取り、ベンダーが従量課金する箇所ではすべて金額の上限を持つこと。
各パーツの組み合わせ方
- Salesforce はアイデンティティと権限の土台です。 ホスト型 MCP サーバーを使うには、管理者が Setup で有効化し、
mcp_apiスコープと PKCE を持つ External Client App を作成する必要があります。その後、各ユーザーが自分の OAuth でサインインするため、CRUD、項目レベルセキュリティ、共有ルールが営業担当者本人に適用されるのとまったく同じようにエージェントにも適用されます。Salesforce は操作の種類ごとに提供面を分けています —sobject-reads、sobject-mutations、sobject-deletes、sobject-all— そしてこのスタックでは読み取りだけを有効にします。ここにある他のすべてのツールが Salesforce に書き込むため、誤った書き込みの帰属を特定し、元に戻せるようにするのはこのレイヤーです。 - Gong は会話のエビデンスレイヤーで、設計上読み取り専用です。
mcp.gong.io/mcpのサーバーはアカウントや商談に関する質問に答え、ブリーフを生成します。インテグレーションを作成できるのは Gong の tech admin だけです。重要な設定は 2 つあります。access mode — エージェントがそのユーザーに見える範囲だけを見る Personal か、組織全体の通話を見る Shared か — と、registration type — 1 つのインストールに紐づくクライアント ID とシークレットを使う Manual か、ユーザーが認可した条件に合うクライアントなら何でも通す Automatic か — です。このスタックは Personal と Manual を選びます。 - Clay は支出のレイヤーであり、ここで MCP に個人単位のクレジット上限を設けられる唯一のツールです。 管理者は新しい MCP ユーザー全員に適用されるワークスペースのデフォルトクレジット上限を設定し、個人ごとに上書きし、「Enable for MCP」を切り替えてエージェントが呼び出せる Clay 関数を選びます。エージェントはワークスペースの生のテーブルを閲覧できません。上限に達したユーザーは、毎月 1 日の UTC 午前 0 時まで完全にブロックされます。「Sales Rep」ロールは MCP 専用のアクセスを与えるため、営業担当者はテーブルビルダーへのアクセスなしに Claude から Clay を使えます。
- Chili Piper はミーティングの書き込み経路です。 MCP サーバーは Edge API — ユーザー、配分、ルーティングルール、ミーティング — を、Claude、ChatGPT、Cursor、Codex、Copilot Studio 向けにカバーします。ルーターの変更、ミーティングタイプの編集、ユーザーのオフボーディングといった書き込みは、デフォルトでドライランになり、適用前に確認を求めます。API キーと OAuth のどちらも受け付けます。このスタックでは人には OAuth を使い、API キーは名前のあるサービスアカウント 1 つに限って 1 本だけ許可します。
- LeanData はルーティングの執行レイヤーです。 BookIt MCP は Salesforce OAuth で認証し、管理者用ツールと営業担当者用ツールを分離し、実行するすべての予約、再調整、再割り当てがルーティングルール、プールの公平性、SLA ロジックに従います。ここに置く理由はそれに尽きます。Salesforce に Events を直接書き込んでミーティングを予約するエージェントはラウンドロビンを迂回し、最も公平に扱われるべき担当者にいつの間にかミーティングが回らなくなります。
名前のついた受け渡し
- 営業担当者が Claude に商談について尋ねる → Gong のサーバーが Personal mode で答える。 回答の元になるのはその担当者がすでに見られる通話で、同時に Salesforce の
sobject-readsサーバーが担当者自身の共有ルールの下で商談の項目を返します。どちらの読み取りにも共有の認証情報は関与しません。 - 営業担当者が 40 アカウントのエンリッチメントを依頼する → MCP が有効な Clay 関数が実行され、その担当者個人の上限から差し引かれます。上限に達すると、Clay は月次リセットまでその担当者からの以降の呼び出しをブロックします。
- エージェントがミーティングを予約しようとする → BookIt MCP か Chili Piper を呼び出し、Salesforce を直接呼ぶことは決してない。 予約はルーティングを通過し、正しい担当者に割り当てられ、ルーターの監査証跡とともに Event が書き込まれます。
- 誰かのエージェントが Chili Piper のルーター変更を提案する → ドライランが差分を示し、人が確認してから適用されます。
- 四半期ごとに CRM エージェントアクセス監査 がすべての External Client App と接続済みインテグレーションを列挙し、エンリッチメントクレジット消費モニター が最初の 1 週間で上限の 80% を使った Clay ユーザーにフラグを立てます。
この組み合わせを選ぶ理由
この 5 つこそ、レベニューチームのエージェントが 3 種類の異なる損害を与えうる場所だからです。機密データを読むこと（Gong の通話、Salesforce のレコード）、お金を使うこと（Clay のクレジット、Agentforce の Flex Credits）、そして顧客に約束をすること（予約されたミーティング）です。agent tool access stack のような認証情報ブローカーには、2 つ目と 3 つ目がまったく見えません。クレジットの消費もルーティングもベンダーの内部で起きるからです。統制はベンダーがそれを執行する場所で設定しなければならず、それは管理コンソールが 1 つではなく 5 つあることを意味します。
どのクライアントを通すかの選び方
自社がすでにエンタープライズ契約を結んでいるエージェントクライアント — 法務がデータ保持条件を読んだもの — だけを許可し、それ以外は許可しないでください。多くのチームでは、Claude、ChatGPT、Microsoft 365 Copilot のうち 1 つか 2 つです。上記のベンダーはすべてこの 3 つに対応しているため、制約になるのはクライアント対応ではなく契約です。ベンダーが提供している場合（Gong）は許可した各クライアントを手動で登録し、Salesforce ではクライアントごとに 1 つの External Client App を作成してください。そうすれば、ChatGPT を失効させても Claude まで失効することはありません。
Agentforce は特殊なケースです。従量課金されるクライアントだからです。Flex Credits は 100,000 クレジットあたり $500 で、標準的なアクション 1 回で 20 クレジットを消費するため、アクション 1 回あたり $0.10 かかります。1 日 100 アクションを実行する Agentforce エージェントは、誰かがその出力をレビューする前の段階で年間約 $3,650 のコストになります。Agentforce エージェントにも Clay と同じ上限の規律を適用してください。
コストの実像
ガバナンスレイヤーによるライセンスコストの上乗せはほとんどありません。Gong の MCP サーバーはすべてのプランに含まれ、Clay は MCP コールにテーブル実行と同じクレジットを課金し、Chili Piper は MCP と Edge API をプランの機能として掲載し、Salesforce のホスト型サーバーは Enterprise Edition に付属します。支払うのは、その下にあるスタックと、自分で設定する上限です。営業担当者 40 人、Salesforce ユーザー約 50 人の営業組織の場合：
- Salesforce Enterprise — 定価 1 ユーザーあたり月額 $175、50 ユーザーで約年間 $105,000。
- Gong — Vendr の契約中央値は、必須のプラットフォーム料金込みで約年間 $55,000。
- Chili Piper Routing & Scheduling — 15 シートで年間 $15,000、それを超える分は 1 シートあたり月額 $45。40 シートで約年間 $28,500。
- LeanData — 見積もりのみ。顧客側の報告では、ミッドマーケットの導入で年間 $30,000〜$80,000 です。
- Clay Growth — 年間払いで月額 $446、約年間 $5,400。これに MCP の上限が加わります。Data Credits は $0.05 からなので、営業担当者 1 人あたり月 1,000 クレジットの上限を設ければ、各担当者の最悪の月は $50 前後に収まります。
定価で年間およそ $225,000〜$275,000 で、ほぼ確実にすでに支払っている金額です。 このスタックの追加コストは、5 つのコンソールを設定するための管理者の作業 2〜4 日、監査を実行するための四半期ごとの半日、そして Clay と Agentforce の上限そのものです。
置き換えのバリエーションと判断基準
- スケジューリングの書き込み経路には Chili Piper か LeanData のどちらかを使い、両方は使わない。 多くのチームが所有しているのは片方だけです。ルールは、ラウンドロビンを担っている方を公開し、もう一方の書き込みツールは無効のままにすることです。エージェントが書き込める予約経路が 2 つあるということは、エージェントが選べる公平性ルールが 2 セットあるということです。
- HubSpot 中心のチームでは Salesforce を HubSpot に置き換える。 HubSpot のリモートサーバーは 2026 年 4 月 13 日に GA となりましたが、書き込みツールは
manage_crm_objectsの 1 つだけで、コンタクト、会社、取引、チケットにまたがります。そのため「通話を記録する」権限を「取引金額を変更する」権限なしに付与することはできません。ルールは、このツールが分割されるまで HubSpot のエージェントを読み取り専用に保つことです。 - カスタムエージェントがおよそ 5 つを超えるアプリでプラットフォームの認証情報を必要とするなら、認証情報ブローカーを追加する。 ユーザー単位の OAuth は、Claude や ChatGPT で作業する営業担当者をカバーします。背後に人間がいないスケジュール実行のエージェントはカバーしません。その段階で、agent tool access stack を上に重ねます。
このスタックが置き換えないもの
- AI ポリシーではありません。 決定を執行しますが、決定そのものは下しません。まずルールを文章にしてください — RevOps チームのための AI ポリシーを参照。
- プロンプトインジェクションは止められません。 インバウンドのメールを読んでから Chili Piper を呼び出す営業担当者のエージェントは、悪意ある一文ひとつで誤った操作に至りえます。読み取り優先のスコープとドライランは被害を限定しますが、リスクを取り除くわけではありません。
- 5 つのツールを横断する単一の監査ログは得られません。 LeanData は BookIt MCP と同じリリースで、オプトイン方式の製品横断監査ログ（保持期間 24 か月、15 分ごとに同期）を出荷しました。Clay と Chili Piper には、文書化された MCP コールログが見つかりませんでした。そのため、何が変更されたかの記録は引き続き Salesforce の項目履歴が担います。
- Slack は統制しません。 Slack の API 規約は 2025 年以降、一括エクスポートと API データでの LLM 学習を禁止しています。これは別のレビューの対象です。
注意点と、それぞれのガード
- Gong の access mode と registration type は、送信後に変更できません。 ガード： クリックする前に決めてください。ここでのデフォルトは Personal と Manual の組み合わせです。組織全体の通話検索を本当に必要とするチームがあるなら、最初のインテグレーションを広げるのではなく、そのチーム専用に別の名前をつけた Shared インテグレーションを 2 つ目として作成してください。
- Clay では 1 人分の MCP 接続だけを失効させることはできません — 唯一の手段は、その人をワークスペースから外すことです。ガード： Clay ワークスペースからの削除をオフボーディングのチェックリストに入れ、ワークスペースのデフォルト上限を低く設定して、忘れられたアカウントが使えるのはその月の割り当て分だけになるようにしてください。
- エージェントの読み取りは Salesforce の 1 日あたりの API 割り当てを消費します — Enterprise Edition では 24 時間のローリングで 100,000 リクエストに加えてライセンスあたり 1,000 で、実行しているすべての同期と共有されます。ガード： クライアントごとに 1 つの External Client App を用意してください。そうすれば、エンリッチメントの同期が失敗し始める前に、どのエージェントが割り当てを消費しているかを API 使用状況レポートで確認できます。
- Chili Piper の API キーは共有の認証情報です。 ガード： すべての人に OAuth を使い、API キーは名前のあるサービスアカウントが所有する 1 本だけにして、他のインテグレーションのシークレットと同じスケジュールでローテーションしてください。
- 2025 年 9 月以降、Salesforce は、ユーザーが「Approve Uninstalled Connected Apps」を持っていない限り、未インストールの接続アプリケーションをブロックします。 System Administrator には自動的に付与されます。ガード： この権限を持っているのが誰かを監査してください。これは、承認されていないエージェントクライアントを誰かが接続できてしまうスイッチです。
sobject-allはsobject-readsからクリック 1 回の距離にあります。 ガード： CRM への MCP 書き込みアクセスに従い、mutations や deletes の有効化は名前のある責任者を立てた変更依頼として扱ってください。
適合ルール
適している条件： Salesforce を運用していて Gong、Chili Piper、LeanData、Clay のうち少なくとも 2 つを使っており、営業担当者が 20〜150 人で、担当者がすでに各自で Claude、ChatGPT、Copilot を接続している。先月のエンリッチメント支出を誰が承認したのかと CFO が尋ね、その答えが想定外の請求ではなく上限である — その最初の 1 回で、このスタックは価格分の働きをします。
適さない条件： 営業担当者がおよそ 15 人未満で、Gong、LeanData、Chili Piper のいずれも所有しておらず、読み取り専用の CRM 接続だけで用が足りる場合。エージェントが背後に人間のアイデンティティを持たずに無人で動いており、ブローカーが必要な場合。あるいは HubSpot だけを使っており、単一の書き込みツールがこれらの判断の大半を代わりに下してしまう場合。
1 つだけやるなら： Salesforce の Setup を開き、有効になっているのが sobject-reads だけであることを確認し、「Approve Uninstalled Connected Apps」を持っている人を一覧にしてください。所要時間は 15 分で、組織全体に及ぶトークンを、他の誰かに見つけられる前にその正体どおりに見抜くためのチェックです。