🧭 技術調査 - Google Cloud の Agentic Data Layer 5 シナリオ

出典: Google Cloud Blog (2026-05-19) Beyond the Query: 5 Scenarios Laying the Foundation for the Agentic Era
著者: Marco Liotta (Technical Account Manager), Lorenzo Caggioni (Data & AI Architect)
調査日: 2026-05-19

概要

Google Cloud が 2026-05-19 に公開した本記事は、企業データをエージェントに公開する際のアーキテクチャを Trust × Complexity の 2 軸で 5 段階に体系化したリファレンスです。静的レポートから自律システムへのデータアクセスの変化に対応するため、「LLM にデータベースを直接接続する」のではなく、段階的なアーキテクチャ選択の枠組みを提示することが本記事の中心的な狙いです。

Trust × Complexity の 2 軸

• Trust 軸 (信頼度): 環境の信頼水準によって自律度が変わります。信頼度が低い外部公開アプリは決定論的なハードコードロジックを必要とし、信頼度が高い内部ツールは LLM の確率的推論を許容します。
• Complexity 軸 (複雑度): クエリの複雑さによって求める能力が変わります。単純な照会はキャッシュによる即応を求め、複雑な横断分析はマルチツール・マルチソースのオーケストレーションを必要とします。

実運用においてこの 2 軸は「連続体」ではなく離散選択の組合せとして機能します。組織が S1 (KPI ダッシュボード)・S3 (内部分析)・S4 (開発者向け探索) を同時並走させるケースが実態に即しています。

関連技術と本記事の位置づけ

元記事との重要な差分

1. BigQuery MCP の実体は 6 ツール: 記事は list_dataset_ids / get_dataset_info / execute_sql の 3 ツールのみ言及。実際には list_table_ids / get_table_info / execute_sql_readonly (DML/DDL/Python UDF を除外する安全実行) が追加で存在します。
2. ADK と Agent Engine は別物: 記事の "Agent Platform SDK" 表記は正確ではありません。正式には Gemini Enterprise Agent Platform 配下に ADK (開発 SDK) と Agent Engine (Runtime) が並列で存在します。
3. Conversational Analytics API は Pre-GA で本番禁止: Pre-GA Offerings Terms の適用により 本番禁止 / PII 禁止 / SLA 対象外。5,000 行 / 500GB / 8,192 token の制約が存在します。
4. Google は Open Semantic Interchange (OSI) に不参加: OSI v1.0 (2026-01-27 finalize) は Snowflake / dbt Labs / Salesforce など多数が参加しますが、Google / BigQuery / Looker は不参加です。

特徴

5 シナリオの実装スタックと自律度

各シナリオの Trade-off 比較

主要な技術的特徴

• MCP による Data ⇄ Model の脱結合: S4/S5 は MCP 標準により LLM プロバイダを切り替えてもデータアクセスロジックを変更せずに済みます。クライアント (推論エンジン) とサーバ (ドメイン固有サービス) の分離が設計上の核心です。
• セマンティック束縛による hallucination 防止: S3 の Verified Queries と LookML、S5 の高レベル Tool 定義は、LLM が存在しないテーブルや不正な JOIN を生成する Spider 2.0 で実証されたリスク (GPT-4o: 86% → 6%) を緩和します。
• 決定論的実行との組合せ: S1 と S5 はともに「決定論的実行」を特徴とします。S1 は SQL を事前定義することで、S5 は Tool 定義に複雑なビジネスロジックをサーバサイドに封じ込めることで、確率的 LLM 生成の代わりに決定論的実行を実現します。
• BigQuery MCP 6 ツール構成の安全設計: execute_sql_readonly ツールは DML / DDL / Python UDF を排除した読み取り専用実行を提供します。
• Governance は autonomy の前提: 記事の結論部は "Garbage In, Garbage Out" を明示します。セキュリティ・クレデンシャル・データ品質・標準化されたガバナンスは、どのシナリオを選択しても必須の前提条件です。

構造

システムコンテキスト図

コンテナ図

S1: Static API Contract

S2: Custom Agent + SQL Gen

S3: Conversational Analytics

S4: Managed BQ MCP

S5: Custom Hosted MCP

コンポーネント図

S4: Managed BigQuery MCP — 6 ツール構成

S5: MCP Toolbox — sources / tools / toolsets 構造

データ

概念モデル

情報モデル

構築方法

前提条件

バージョン確認

S1: Static API — BigQuery Python Client + Parameterized SQL + Result Cache

pip install google-cloud-bigquery pandas

SA_NAME="bq-static-api-sa"
gcloud iam service-accounts create ${SA_NAME} --display-name="BigQuery Static API SA"
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member="serviceAccount:${SA_NAME}@YOUR_PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/bigquery.dataViewer"
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member="serviceAccount:${SA_NAME}@YOUR_PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/bigquery.jobUser"

Result Cache はデフォルト有効。クエリテキストが完全一致するとキャッシュが返るため、SQL 正規化処理が効きます。

S2: Custom Agent + SQL Gen — Vertex AI ADK + Agent Engine

ADK (OSS フレームワーク) と Agent Engine (マネージド実行基盤) は別物です。System instruction でテーブル名・カラム型・意味的説明 (semantic description) を明示します。

pip install google-cloud-bigquery vertexai google-adk
adk init my_data_agent
adk deploy --project YOUR_PROJECT_ID --location us-central1

S3: Conversational Analytics — API (Pre-GA) + Data Agent + Verified Queries

重要: Pre-GA Offerings Terms 適用。本番禁止 / PII 禁止 / SLA 対象外。制約値: 5,000 行 / 500GB / 8,192 token。社内 PoC・dogfooding のみに限定します。

gcloud services enable geminidataanalytics.googleapis.com
gcloud beta gemini data-agents create YOUR_AGENT_ID \
  --project=YOUR_PROJECT_ID --location=us --display-name="My Data Agent"

Verified Queries の登録は Console / REST API (POST https://geminidataanalytics.googleapis.com/v1beta/projects/{p}/locations/{l}/dataAgents/{a}/verifiedQueries)。

S4: Managed BigQuery MCP — クライアント設定

実体は 6 本 (元記事は 3 本記述)。エージェント安全設計には execute_sql_readonly を優先使用します。

{
  "mcpServers": {
    "bigquery": {
      "httpUrl": "https://bigquery.googleapis.com/mcp",
      "authProviderType": "google_credentials",
      "oauth": {
        "scopes": ["https://www.googleapis.com/auth/bigquery"]
      }
    }
  }
}

制約: クエリタイムアウト 3 分 / 結果行数上限 3,000 行 / クエリ / Google Drive 外部テーブル非対応。

S5: Custom Hosted MCP — Cloud Run + MCP Toolbox v1.2.0

Cloud Run は streamable HTTP のみサポート (stdio 不可)。認証は Invoker IAM パターンまたは OIDC ID Token パターンの 2 種類。

注意: googleapis/mcp-toolbox#2212 (open) — DB scope 指定が無視され instance 全体が可視化されるバグ。本番投入前に再現テスト必須。

docker pull gcr.io/cloud-toolbox-images/mcp-toolbox:v1.2.0

gcloud run deploy mcp-toolbox \
  --image gcr.io/cloud-toolbox-images/mcp-toolbox:v1.2.0 \
  --service-account mcp-toolbox-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com \
  --set-env-vars PROJECT_ID=YOUR_PROJECT_ID,BQ_LOCATION=us \
  --port 5000 --region us-central1 --no-allow-unauthenticated

利用方法

API 必須パラメータ一覧

S1: BigQuery Python Client — parameterized クエリ

from google.cloud import bigquery

def fetch_products(limit=10):
    client = bigquery.Client()
    sql = """
    SELECT id, name FROM `bigquery-public-data.thelook_ecommerce.products`
    LIMIT @limit
    """
    job_config = bigquery.QueryJobConfig(
        query_parameters=[
            bigquery.ScalarQueryParameter("limit", "INT64", limit)
        ]
    )
    return client.query(sql, job_config=job_config).to_dataframe()

query_parameters の値が変化しても、SQL テキスト自体が一致すればキャッシュが効きます。

S2: Vertex AI ADK + BigQuery — 自然言語→SQL

from google.cloud import bigquery
from vertexai.generative_models import GenerativeModel

def ai_query(user_prompt):
    model = GenerativeModel("YOUR_LLM_MODEL")
    system_instruction = (
        "You are a BigQuery SQL expert. Output ONLY raw SQL code without markdown backticks. "
        "Context: The 'products' table in 'bigquery-public-data.thelook_ecommerce' "
        "contains: id (INT), name (STRING), and category (STRING)."
    )
    full_prompt = f"{system_instruction}\n\nUser request: {user_prompt}"
    response = model.generate_content(full_prompt)
    sql_code = response.text.strip().replace("```sql", "").replace("```", "")
    client = bigquery.Client()
    return client.query(sql_code).to_dataframe()

注意: Spider 2.0 ベンチマークで GPT-4o は 86% → 6% に精度が落ちます。生成 SQL をそのまま本番実行する設計は避け、Verified Queries / semantic 束縛 / 人手レビューによる検証層を必ず設けます。

S3: Conversational Analytics API — Data Agent

from google.cloud import geminidataanalytics_v1beta as gda

def chat_data(user_query):
    client = gda.DataAgentServiceClient()
    agent_path = "projects/YOUR_PROJECT_ID/locations/us/dataAgents/YOUR_AGENT_ID"
    request = gda.ExecuteDataAgentRequest(name=agent_path, query=user_query)
    response = client.execute_data_agent(request=request)
    return response.answer

S4: Managed BigQuery MCP — Gemini CLI からの実行

gemini --mcp-config ~/.gemini/mcp_bigquery.json
> list the datasets in project my-project
> show me the schema of dataset analytics table sessions
> run a readonly query: SELECT COUNT(*) FROM `my-project.analytics.sessions` WHERE DATE(created_at) = CURRENT_DATE()

エージェント安全設計: 探索フェーズは execute_sql_readonly を使用。書き込みが必要な場合のみ execute_sql を許可します。

S5: Custom Hosted MCP — tools.yaml + Cloud Run + クライアント接続

sources:
  bq-thelook-ecommerce:
    kind: "bigquery"
    project: "${PROJECT_ID}"
    location: "${BQ_LOCATION}"

tools:
  bigquery_get_table_info:
    kind: bigquery-get-table-info
    source: bq-thelook-ecommerce
    description: Retrieves table metadata and schema details.

  thelook_get_user_orders_summary:
    kind: bigquery-sql
    source: bq-thelook-ecommerce
    statement: |
      SELECT
        orders.user_id,
        COUNT(DISTINCT orders.order_id) AS count_of_orders,
        COUNT(order_items.id) AS count_of_items,
        SAFE_DIVIDE(COUNT(order_items.id), COUNT(DISTINCT orders.order_id)) AS avg_items_per_order
      FROM `bigquery-public-data.thelook_ecommerce.orders` AS orders
      INNER JOIN `bigquery-public-data.thelook_ecommerce.order_items` AS order_items
        ON orders.order_id = order_items.order_id
        AND orders.user_id = order_items.user_id
      WHERE orders.status = "Complete"
        AND orders.user_id = @user_id
      GROUP BY orders.user_id;
    parameters:
      - name: user_id
        type: integer
        description: The unique identifier of the user.

toolsets:
  thelook_core_insights_toolset:
    - bigquery_get_table_info
    - thelook_get_user_orders_summary

OIDC ID Token パターンでの接続:

import google.auth
import google.auth.transport.requests
import google.oauth2.id_token
import requests

def get_id_token(audience: str) -> str:
    credentials, _ = google.auth.default()
    auth_req = google.auth.transport.requests.Request()
    id_token_credentials = google.oauth2.id_token.fetch_id_token_credentials(
        audience=audience
    )
    id_token_credentials.refresh(auth_req)
    return id_token_credentials.token

service_url = "https://mcp-toolbox-xxxx-uc.a.run.app"
token = get_id_token(audience=service_url)
headers = {"Authorization": f"Bearer {token}", "Content-Type": "application/json"}
response = requests.post(
    f"{service_url}/mcp",
    headers=headers,
    json={
        "jsonrpc": "2.0",
        "id": 1,
        "method": "initialize",
        "params": {
            "protocolVersion": "2025-11-25",
            "clientInfo": {"name": "my-client", "version": "1.0"},
            "capabilities": {}
        }
    }
)
print(response.json())

運用

BigQuery クエリログ・コスト監視

• INFORMATION_SCHEMA.JOBS を Data Studio / Looker で日次可視化し、ジョブ別・ユーザー別のスキャン量を追います。
• プロジェクト単位の月次予算アラート (Billing > Budgets & alerts) を設定します。
• Cloud Audit Log を Cloud Logging → BigQuery にエクスポートし、30日以上保存します。
• BQ Result Cache はクエリテキスト完全一致が必要。動的に WHERE 句の値を埋める設計だとキャッシュが効きません。

MCP Server (S4 Managed) の稼働監視

• OAuth 2.0 トークン有効期限 3,600 秒。長時間セッションではリフレッシュが入る設計を確認します。
• 1 セッションの上限: 3 分 / 3,000 行。超えそうな場合は BQ Jobs API 直接呼び出しに切り替えます。
• 疎通確認は execute_sql_readonly に SELECT 1 を投げます。

Cloud Run + MCP Toolbox (S5) の稼働監視

• ヘルスチェックエンドポイント /healthz を Cloud Run のスタートアップ/ライブネスプローブに設定します。
• Cloud Monitoring で Request latency p99 と 5xx Error rate にアラートポリシーを作成します。
• tools.yaml 更新時は Traffic split (旧リビジョン 10% 残留) で動作確認します。

Vertex AI Agent Engine のセッション管理

• バッチ分析ワークフローは都度セッションをクローズしてコストを抑えます。
• 利用可能リージョン・SLA は Agent Engine deploy で確認します。

Verified Queries / Data Agent の更新運用 (S3)

• 更新オーナーをデータエンジニアリング or データガバナンスチームに集約し、Pull Request ベースでレビューします。
• KPI 定義の変更チケットに「Verified Queries 更新」を必須タスクとして紐付けます。
• Verified 集合外への fallback 発生率を定期計測し、高頻度カテゴリを優先的に Verified 化します。

BigQuery Result Cache の無効化条件

• 参照テーブルに DML (INSERT/UPDATE/DELETE/MERGE) が実行された場合即時無効化
• テーブルのパーティション・クラスタリング変更時
• クエリテキストが 1 文字でも異なる場合

ベストプラクティス

IAM 設計と最小権限

• エージェントへの IAM ロールは roles/bigquery.dataViewer (dataset 単位) + roles/bigquery.jobUser を基本とします。admin / dataEditor は付与しません。
• S4 では execute_sql_readonly を優先使用し、プロンプトインジェクション経由のデータ破壊リスクを構造的に下げます。
• S5 では tools.yaml の source で接続先 DB・スキーマを限定しますが、P0 Issue #2212 (DB scope 無視) が open のため scope 制限の実効性を検証してから本番投入します。
• Cloud Run では Workload Identity、ローカル開発では Application Default Credentials (ADC) を使い、サービスアカウントキーをイメージに含めません。

Verified Queries の Git 管理

• Verified Queries 定義を Git で管理し、Pull Request + コードレビューで承認します。
• レビュアーにビジネスアナリスト (意味の正しさ) と技術者 (SQL 安全性・パフォーマンス) の両方を含めます。
• CI で BigQuery --dry_run を実行し、構文と推定スキャン量を自動チェックします。

MCP tool description のセキュリティレビュー

• Tool poisoning (Invariant Labs): tool description に隠し命令を埋め込む攻撃。GitHub MCP 経由のプライベートデータ漏洩 PoC が公開済み。
• Sampling 攻撃 (Unit 42): MCP sampling 機能を悪用してプロンプトを exfiltrate。
• Rug-pull (Cisco arXiv 2506.01333): 承認済み tool 定義を後から差し替える攻撃。
• 対策: tool description を Git 管理・ハッシュ検証 / MCP server イメージを固定 / ETDI (OAuth-Enhanced Tool Definitions) 動向を追跡。

Cloud Run + MCP Toolbox の OIDC ID Token 検証 (S5)

• 外部直接アクセスを防ぐため Invoker (roles/run.invoker) を内部 SA のみに限定します。
• クライアントは OIDC ID Token を取得し Authorization: Bearer で呼び出します。Cloud Run が自動検証します。
• streamable HTTP のみ。クライアント側 MCP ライブラリの対応状況を事前確認します。

Semantic Layer の選定

• Looker LookML は Google エコシステムに閉じます (OSI v1.0 に Google 不参加)。
• 将来的なマルチクラウド共有が視野にあれば、dbt Semantic Layer (MetricFlow ベース、OSI 標準) を経由する選択肢を検討します。BigQuery は dbt adapter で接続可能。

Text-to-SQL の限界認識

• Spider 2.0 (arXiv 2411.07763): GPT-4o は Spider 1.0 で 86% → Spider 2.0 で 6%。o1-preview ベース code agent でも 21.3%。
• 実運用スキーマは学術ベンチを上回ります。S2 で自由生成 SQL を検証なしに本番実行する設計は採用しません。

複数シナリオ並走パターン

各シナリオで IAM・モニタリング・コスト上限を独立設計し、サービスアカウントを共有しません。

トラブルシューティング

まとめ

Google Cloud の Agentic Data Layer 記事は、エージェントへのデータ公開を Trust × Complexity の 2 軸で 5 段階に整理し、決定論的な Static API から MCP 標準による脱結合まで段階的な選択を提示します。本稿では一次ソース確認で記事の差分 (BigQuery MCP 6 ツール / ADK と Agent Engine の分離 / Conversational Analytics API Pre-GA 制約 / OSI 不参加) を補正し、Spider 2.0 ギャップや MCP Toolbox の P0 Issue など現場制約まで踏み込みました。

この記事が少しでも参考になった、あるいは改善点などがあれば、ぜひリアクションやコメント、SNSでのシェアをいただけると励みになります！

参考リンク

Google Cloud 公式

• Beyond the Query: 5 Scenarios Laying the Foundation for the Agentic Era (Google Cloud Blog, 2026-05-19)
• BigQuery MCP Server リファレンス
• Use the BigQuery MCP server
• Host MCP servers on Cloud Run
• Conversational Analytics API Overview
• Conversational Analytics API known-limitations
• Conversational Analytics API troubleshooting
• Gemini Enterprise Agent Platform
• BigQuery Cached Results
• Agent Engine deploy
• ADK 公式

MCP / 標準

• MCP Specification 2025-11-25
• GitHub: googleapis/mcp-toolbox (v1.2.0, 2026-05-07, Apache-2.0)
• Open Semantic Interchange v1.0 (Google 不参加)
• open-semantic-interchange/OSI

セキュリティ・反証エビデンス

• Invariant Labs: MCP tool poisoning PoC (Simon Willison 解説)
• Unit 42 (Palo Alto Networks): MCP sampling 攻撃
• arXiv 2411.07763: Spider 2.0 benchmark
• arXiv 2506.01333: MCP rug-pull / ETDI (Cisco)

MCP Toolbox P0 Issues

• #2212 DB scope 無視
• #1826 IAM error -32000
• #553 array parameter 未サポート

MCP 仕様未確定

• #1046 OAuth client credentials 未確定
• #952 OAuth browser redirect 前提問題
• #1963 MCP Registry 認証仕様外

国内事例

• Zenn (Google Cloud Japan): メダリオン 2.0 / プラチナレイヤー提案
• Sansan Tech Blog: AI エージェントのための段階的セマンティックレイヤの育て方
• Findy Tools: LayerX BigQuery → Snowflake 移行事例