Tabularis v0.22.0 ― MCP内蔵のSQLクライアントは、AIエージェントに何を渡し何を渡さないか

AIエージェントに社内データベースへのアクセスを持たせたい。けれど、接続用のパスワードをそのままAIに渡すのは気が引ける——意図しないDELETE文が実行されたらどうするか、認証情報がどこかに流出したらどうするか。この迷いに正面から答える設計のツールがあります。Tabularis は Model Context Protocol(MCP)サーバーを標準搭載したデスクトップ SQL クライアントで、公式サイトはこれを「MCP サーバーを内蔵する初のオープンソース・デスクトップ SQL クライアント」と説明しています。

Tabularis は Apache License 2.0 で公開されている完全無料のツールで、有料プランはありません。対応OSはWindows・macOS・Linux。GitHub上では個人開発者「Debba」が "Crafted by" として記載されており、OpenAI・DigitalOcean・Vercel・JetBrains など複数企業がスポンサーに名を連ねています。技術スタックはフロントエンドが React 19 + TypeScript、バックエンドが Rust + Tauri v2 + SQLx です。

Tabularisとは何か ― 対応データベースと開発体制

Tabularis は標準で PostgreSQL・MySQL/MariaDB・SQLite に対応し、プラグイン形式で ClickHouse・DuckDB・DynamoDB・Elasticsearch・Firestore・MongoDB・Redis・Google Sheets・Oracle・SQL Server(開発中)など15以上のデータベースに接続できます。1つのデスクトップアプリから、性質の異なる複数のデータベースに接続できる設計です。

GitHub 上では注目度の高まりが観測されているプロジェクトで、ある調査時点(2026年7月)でのスター数は約3,700でした。個人開発者が中心となりながら複数企業がスポンサーに付いている点も特徴です。

最新版は2026年9月1日に公開された v0.22.0 です。OSのライト/ダークモード設定に追従する外観や、スプレッドシート形式のキーボード選択機能が追加されました。直前の v0.21.0 は2026年8月25日の公開で、直近は1週間ほどの間隔で新しいバージョンが出ています。

AIにDBを渡す不安の正体

AIエージェントにデータベース操作を任せる場合、不安の中身はだいたい2つに分かれます。ひとつは認証情報そのものの扱い——接続文字列やパスワードをAIプロバイダのサーバーに渡すことへの抵抗感です。もうひとつは操作の中身——AIが解釈を誤り、意図しない更新や削除を実行してしまうリスクです。

どちらも、AIエージェントに「何を渡すか」を設計する側の問題です。Tabularis の MCP 統合は、この2つの不安に対して複数の仕組みを組み合わせて応えています。

MCPサーバーを内蔵するという設計 ― AIエージェントに渡すのは4つのツールだけ

Tabularis の MCP サーバーは、Claude Desktop・Claude Code・Cursor・Windsurf・Antigravity・Codex といったAIクライアントから利用できます。ここで渡される権限は、データベースそのものではありません。渡されるのは list_connections・list_tables・describe_table・run_query という4種類のツールだけです。

接続の一覧を見る、テーブルの一覧を見る、テーブルの構造を調べる、クエリを実行する——AIエージェントができることは、この4つの動作の組み合わせに限定されます。データベース全体を無制限に触れる万能の鍵ではなく、決まった形の扉を4つ渡す設計だと捉えると分かりやすくなります。ただし、この4つのうち run_query は任意のSQLを実行できるツールです。書き込みを許すかどうかは、後述する接続ごとの権限設定で別に絞り込む仕組みになっています。

実行までに通る3つの関所

Tabularis のセキュリティ設計を公式サイトの説明に沿って整理すると、AIエージェントの操作が実際のデータに触れるまでに、3段構えの仕組みが用意されています。

1つ目は、認証情報そのものがローカルから出ない設計です。公式サイトは「認証情報はローカルから出ない(Your credentials never leave your machine)」と明記しており、接続用のパスワードや接続文字列がAIプロバイダのサーバーに送信されることはありません。この関所は常に働きます。

2つ目は、接続ごとの読み取り専用モードです。データベース接続を作成する際に読み取り専用として設定できるため、そもそも書き込み系の操作自体を許可しない選択肢があります。ただし、この関所は接続を作成する側が自分で設定して初めて働くものです。設定しなければ、その接続は書き込み可能なまま残ります。

3つ目は、実行直前の確認ゲートです。クエリを実行する前にEXPLAINによるプレビューを挟み、内容を確認できるようにしています。さらに、複数のSQL文を連結して実行させるタイプの攻撃に対しては、判定に失敗した場合に処理を止めるfail-closed(失敗時は拒否する)設計を採用しています。この関所も常に働きます。

3つの仕組みは役割が違います。1つ目は「鍵をAIに渡さない」設計、2つ目は「書き込みを許すかどうかを自分で絞る」設計、3つ目は「実行の直前にもう一度確認する」設計です。1つ目と3つ目は常に働き、2つ目は接続を作る側が設定して初めて働きます。この違いを踏まえたうえで、AIエージェント専用の接続は読み取り専用で作るのが安全な使い方になります。

セットアップは3ステップ

導入の手順は公式サイトによれば3段階です。まず Tabularis をダウンロードし、対象のデータベースに接続します。次に、アプリの Settings 内にある MCP Server Integration で「Install Config」をクリックします。最後に、Claude や Cursor など利用するAIクライアントを再起動すれば、MCPサーバー経由でのDBアクセスが有効になります。

新しい接続用のサーバーを立てたり、AIクライアント側に個別の設定ファイルを書いたりする作業は不要です。既存のデスクトップSQLクライアントに、MCP統合という機能が1つ増えたという体感に近い導入です。

まとめ

AIエージェント用に読み取り専用のデータベースユーザーを新しく1つ作り、そのユーザーでTabularisの接続を設定することが、今日から着手できる最初の一歩です。Tabularis の読み取り専用モードは接続単位で設定できるため、AI用の接続とあなた自身が使う接続を最初から分けておけば、権限設計のミスがあっても被害の範囲を限定できます。

AIエージェントにDBアクセスを渡すかどうかは、機能の有無ではなく、渡す範囲をどう区切るかという設計の問題です。Tabularis の3つの関所は、その区切り方の一つの実装例として読むことができます。

関連

AI エージェントを業務で回すときの設計と運用については、CTO の note に書いています。

• Leadeas CTO｜note

出典: Tabularis(GitHub リポジトリ) / Tabularis Releases / Tabularis 公式サイト / Tabularis ― MCP Database Client

※ この記事は AI を使用しています。Leadeas が自社開発した AI エージェント基盤で下書きを作成し、人間のレビューを経て公開しています。AI ネイティブ開発会社として自社の技術をそのまま実演する目的で、この手法を用いています。(詳しくは AI 利用ポリシー)