n8nとAIのつなぎ方：MCP（クライアントとサーバー）、AIノード、Gateway credits、API、コミュニティノードを、公式が運営するものと第三者のものに分けて、データの流れ先まで確かめる

3行でいうと

外のAIからn8nを使うには、n8nが持つ「インスタンスレベルのMCPサーバー」があります。公式の表記では、Claude Code、Codex、Gemini CLI、Claude.ai、ChatGPT、Cursor、VS Codeなどが、接続の候補として並びます。
n8nの中から外のMCPサーバーを使うには、「MCP Client」ノードと「MCP Client Tool」ノードがあります。公式が持つ「MCP servers registry」から、1クリックでつなげるものもあります。
n8n Cloud（Starter、Pro）では、AIモデルを自分のAPIキーなしで呼べる「Gateway credits」があります。n8nを経由して、モデルの会社に、リクエストの内容だけが渡る、と公式に書かれています。
「n8n Assistant」と「Agents」は、公式が「Preview」と書いています。インスタンスレベルのMCPサーバーでも、エージェントの管理はPreviewで、公式は「変わりうる」と書いています。
コミュニティ製のノードは、公式の説明では、n8nが「検証済み」としたものだけが、クラウド版で使えます。検証されていないものは、セルフホスト限定です。

この記事は、公式の資料を2026年10月23日に読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。画面名・メニュー名・コマンドは公式の表記を写しています。公式ページは要約の形で取得したため、読めていない部分は「公式の資料では確認できていない」「読んだ範囲では見つからなかった」と書きます。僕らの見立て（おすすめや使い分け）は、必ず「見立て」と書いて事実と分けます。

先に結論

n8nは、MCPの「両側」に立てる。 外のAIがn8nを呼ぶ側（サーバー）にも、n8nが外のMCPサーバーを呼ぶ側（クライアント）にもなれる、というのが公式の整理です。
外のAIから使うなら、まず「Settings > Instance-level MCP」。 オーナーか管理者が「Enable MCP access」を押すと使えます。ただし、ワークフローは1本ずつ「公開してよい」と指定しないと、中身は見えません。
AIモデルの鍵は、3通り。 自分の鍵（認証情報）を使う、クラウド版のGateway creditsを使う、セルフホストなら自分でモデルの接続先を決める、です。
データの流れ先は、使う入口ごとに違う。 MCPクライアントでつないだ先の会社には、ツールを呼ぶときの内容が届きます。n8nのAI機能の規約は、顧客のデータをモデルの学習に使わない、と書いています。
公式が運営するものと、第三者のものを分けて考える。 公式の資料は、MCPレジストリに並ぶサーバーや、コミュニティノード、クライアント側の補助ツールについて、「n8nが運営しているか」は、必ずしも書いていません。

前提：用語をそろえる

MCP（Model Context Protocol）：AIのツールが、外のデータや機能につながるための共通の規格です。
MCPクライアント／MCPサーバー：ツールを「使う側」がクライアント、「提供する側」がサーバーです。
ツール（tool）：AIが呼び出せる機能です。n8nでは、ノードや、ほかのワークフローがツールになります。
認証情報（Credentials）：外のサービスにつなぐ鍵やログイン情報を、n8nの中に保管する仕組みです。
OAuth／APIキー：つなぐ相手に許可を出す方法です。OAuthは、画面で承認する方式です。APIキーは、合言葉の文字列を渡す方式です。
コミュニティノード：n8n以外の人が作って、npmで公開するノードです（これは僕らの整理で、公式の定義の文は読んだ範囲では見つかりませんでした）。
クレジット（credit）：n8n Cloudで、AIの利用などに使う前払いの残高です。「Gateway credits」と「Assistant credits」の2種類があります。

たとえ話：事務所の「受付」と「外線」

n8nの事務所に、受付の窓口（MCPサーバー）と、外線電話（MCPクライアント）があると考えます。受付は、外の取引先（AIのツール）が来たときに、「この仕事なら引き受けます」と一覧を見せます。どの仕事を見せるかは、事務所が決めます。外線は、事務所の人が、外の専門家（外のMCPサーバー）に電話する手段です。誰の番号にかけるか、何を話すかで、情報が外に出ます。これは僕らのたとえで、公式の表現ではありません。

向き1：外のAIが、n8nを呼ぶ（公式が運営）

インスタンスレベルのMCPサーバー

公式の「Connect to n8n MCP server」のページによると、次のとおりです。

何ができるか：Claude Desktop、Claude Code、Codexなどが、n8nのワークフローを、作る・編集する（n8n 2.13以降）、データテーブルを管理する、動かして試す、手持ちのワークフローを探して動かす、ことができます。
有効にする人と場所：インスタンスのオーナーか管理者が、「Settings > Instance-level MCP」で「Enable MCP access」。無効にすると、すべてのクライアントが切れ、アクセスが取り消されます。セルフホストでは、環境変数 N8N_DISABLED_MODULES=mcp で、機能ごと外せます。
認証は2通り：
OAuth（推奨）：「Connect」から、クライアントの種類（CLI：Claude Code、Codex、Gemini CLI。Web：Claude.ai、ChatGPT、Mistral Vibe。IDE：Cursor、VS Code、Windsurf）を選び、承認します。
API key：「API key」のタブで、自分のユーザーに紐づく個人のアクセストークンが作られます。作り直すと、古いものはすぐ無効になります。このやり方でつないだクライアントは、「Connected clients」の一覧に出ません。
見える範囲：公式は、アクセスは「インスタンス全体」で、クライアントごとに見せるワークフローを分けられない、と書いています。見えるのは、そのユーザーに権限のあるワークフローのうち、MCPを有効にしたものです。ただし search_workflows は、権限のある全ワークフローの「プレビュー」を返す、とも書かれています。
ワークフローの公開のしかた：「Workflows enabled」、エディタの「Available in MCP」、プロジェクトやフォルダ単位の「Manage MCP access」など。新しいワークフローを自動で公開する「Auto-expose new workflows」は、既定でオフで、オーナーと管理者だけが変えられます（n8n 2.36.0から順次提供、と書かれています）。
コールバックURLの制限：「Allowed callback URLs」の既定は「All callback URLs」（どのURLでも可。公式は「less secure」と書く）です。「Only trusted URLs」にすると、リストのURLだけに絞れます。
動作の決まり：ツールの多くは、公開前の（下書きの）ワークフローでも動きます。execute_workflow の既定は本番（公開された版）で、「manual」で、公開前の現在の版を動かします。
ツールの例（公式のツール一覧）：search_workflows（最大200件）、get_workflow_details、execute_workflow、test_workflow、publish_workflow、unpublish_workflow、search_workflow_executions、list_credentials（秘密の値は返さない）、ワークフローを作るための search_nodes、get_node_types など。execute_workflow は、複数ステップのフォームや、人の確認が要る流れには対応していない、と書かれています。
エージェントの管理（Preview）：MCPクライアントからエージェントを管理できます（n8n 2.34.0から、とされています）。公式は、エージェントはPreviewで変わりうると書いています。
読めていない所：そのページは、インスタンスレベルのMCPがn8n Cloudとセルフホストの両方に当てはまると書いています。プランやエディションごとの可否は、そのページには書かれていませんでした。

つなぎ方の例（公式の接続例のページ）

公式は、サーバーのURLが、/mcp-server/http で終わる形だと書いています。

クライアント	OAuth（推奨）	APIトークン
Claude Desktop	「Settings > Connectors」の「Add custom connector」で、名前を `n8n MCP`、URLにn8nのサーバーURLを入れる	`claude_desktop_config.json` に、`npx` で `supergateway` を起動する設定を書く
Claude Code	`claude mcp add --transport http n8n https://<your-n8n-domain>/mcp-server/http` を実行し、Claude Codeの中で `/mcp` から認証	同じコマンドに `--header "Authorization: Bearer <トークン>"` を付ける
Codex CLI	`codex mcp add n8n --url "https://<your-n8n-domain>/mcp-server/http"`、そのあと `codex mcp login n8n`	`~/.codex/config.toml` に、`http_headers` でトークンを書く

ここで、Claude Desktopの「APIトークン」の例が使う supergateway は、npx で取ってくる外部のパッケージです。公式の資料の中では、誰が作ったものかは、読んだ範囲では説明が見つかりませんでした。第三者の補助ツールとして扱うのが安全です。

「MCP Server Trigger」ノード：1本のワークフローを、外に出す

公式の「MCP Server Trigger」のページによると、このノードは、n8nをMCPサーバーにして、n8nのツールやワークフローを、MCPクライアントに見せる部品です。

使い方：公開したいワークフローを、「Custom n8n Workflow Tool」のノードでつなぎます。
認証：「None」「Bearer auth」「Header auth」のどれか。
対応：SSEとストリーミングHTTP。標準入出力（stdio）には対応していません。
制限：複数のWebhook用のレプリカ（キューモード）では、/mcp* のリクエストを、1つの専用レプリカに集めないと、接続が頻繁に切れる、と警告があります。リバースプロキシの後ろでは、バッファリングを切るなどの設定が要る、とも書かれています。
claude.aiについての注記：claude.aiのカスタムコネクタは、認証が「None」でも、n8nへのサインインを求める、と書かれています。
Claude Desktopの例：公式は、npx で mcp-remote という外部のパッケージを使い、SSEを標準入出力に変換する例を示しています。これも第三者の補助ツールです。
インスタンスレベルのMCPとの違い：公式の「Use n8n MCP server」のページは、MCP Server Triggerを「1本のワークフローのツールを出すもの」と説明しています。インスタンスレベルのMCPサーバーは、権限のあるワークフローを、インスタンス単位で扱います。

向き2：n8nの中で、AIを使う（n8nの機能。つなぐ先は別）

AIのモデルを、ノードとして呼ぶ

公式の「Integrate AI」は、OpenAI、Anthropic、Googleなどの言語モデルをつなぎ、ツールとメモリーを足し、複数のモデルを1つのワークフローで組み合わせられる、と書いています。公式のノード一覧には、アプリのノードとして、Anthropic、Google Gemini、Qwen Cloudなどの名前が並び、「LangChain in n8n」には、Ollama Chat Modelも言語モデルの例として出ています。「Ollama」は、自分のパソコンなどでAIを動かすツールです。

鍵の扱いは、2通りです。

自分の認証情報：モデルの会社のAPIキーを、n8nの「認証情報」に入れます。
Gateway credits（n8n Cloudの「Starter」「Pro」のみ）：ノードで「Use Gateway credits」を選ぶと、自分のAPIキーなしで、n8nがモデルの会社へのリクエストを代行し、料金は前払いの残高から引かれます。n8n 2.36.0以降が要ります。セルフホストと、Cloud Enterpriseでは使えません。

Gateway creditsの決まり（公式の「Gateway credits」のページ）は次のとおりです。

対象：AIモデル（例にOpenAI、Anthropic、Google Gemini）と、ウェブ検索、スクレイピング、ブラウザの自動化、文書の解析のサービス（例にBrave Search、Firecrawl）。品目は増えていきます。
残高：1つのCloudインスタンスに、1つの残高で、全員で共有します。残高がゼロになると、Gateway creditsを使うノードは止まり、自分の認証情報のノードは影響を受けません。
追加：有料プランで、手動または自動で追加できます。追加分は購入から12か月で失効します。返金は、法律で必要な場合を除き、しません。
データ：公式は、リクエストは、n8nのアカウントでモデルの会社に送られ、モデルの会社は、リクエストの内容（プロンプトなど）を受け取るが、利用者の身元やn8nのアカウント情報は受け取らない、と書いています。

MCPクライアント：外のMCPサーバーを、ツールとして使う

MCP Clientノード：外のMCPサーバーのツールを、ワークフローの普通の1ステップとして動かします。認証は、Bearer、ヘッダー、複数ヘッダー、OAuth2のいずれか、または「None」。入力は「Manual」か「JSON」。画像や音声を、バイナリにするかを選べます。
MCP Client Tool ノード：AI Agentにつなぐ版で、「Tools to Include」を「All」「Selected」「All Except」から選びます。
MCPレジストリ（公式が持つ一覧）：公式の「MCP servers」のページは、ノードのパネルに、1クリックでAI Agentにつなげるサーバーが並び、選んでサインインすると、そのツールが使える、と書いています。サインインすると、MCPの認証情報が自動で作られます。一覧は頻繁に変わるので、ノードのパネルで見る、とされています。
使い分け（公式の整理）：組み込みのツールは、操作を固定し、パラメーターを固定でき、モデルが埋めるのは空けた項目だけです。MCPサーバーは、ツールと引数をエージェントが自由に選べる分、制御しにくく、1回の呼び出しの情報量も増える、と書かれています。
読んだ範囲での食い違い：「MCP Clientノード」のページは「Server Transport」の設定、「MCP Client Toolノード」のページは「SSE Endpoint」の設定と書いています。どの通信方式に対応するかは、ページ間で書き方が違い、読んだ範囲では1つにまとまりませんでした。

公式の関連機能

n8n Assistant（Preview）：n8n Cloud（Starter、Pro）と、セルフホスト（Community、Registered Community、Business）で、チャットからワークフローを作ります。セルフホストでは、自分のAIモデルの契約で動き、公式の設定ページは、Anthropic、OpenAI、OpenRouter、およびOpenAI互換の接続先（自分のサーバーも可）を挙げています。動かすには「サンドボックス」が必要です。
Agents（Preview）：エージェントのツールに、ワークフロー、MCPサーバー、組み込みの連携を足せます（公式の「Build and manage agents」）。通知のチャンネルは、Slack、Telegram、Linearです。
ワークフローからエージェントを呼ぶ：「Message an Agent」ノードと、AI Agentのツールにつなぐ「Message an Agent Tool」があります。
Chat Trigger：チャットの入力で、ワークフローを始めます。
LangSmith（セルフホストのみ）：環境変数を設定すると、AIの流れの記録を、LangChainのLangSmithに送れます。n8n Cloudでは使えません。送り先は、https://api.smith.langchain.com です。

向き3：プログラムから、n8nを呼ぶ（公式が運営）

n8n API：公式の「n8n API」のページは、GUIでできることの多くを、プログラムからできるREST APIと説明しています。n8n CloudのStarter、Pro、Enterprise、セルフホストの全エディションで使えます。無料トライアルでは使えません。「API playground」は、セルフホストのみです。
n8n CLI：公開APIを包んだコマンドで、開発者向けに勧められています。
n8n packages（Preview）：ワークフローと、その周りの構造（フォルダ、プロジェクト、タグ、データテーブルの定義、変数）を、.n8np の1ファイルに入れて、別のインスタンスに移します。n8n 2.27.0以降で、エディタからではなく、APIかCLI（n8n-cli）で行います。認証情報の秘密の値は入りません（04で扱います）。

第三者・コミュニティが作るもの（公式が運営しないもの）

種類	公式の説明	注意
コミュニティノード	公式の資料には定義の文が見つからない（公式は導入と公開の案内ページを用意している）。n8n以外の人が作って、npmで公開するもの（これは僕らの整理）	検証済みのものは、ノードのパネルから入れられる。検証されていないものは、n8n Cloudでは使えず、セルフホストが必要
MCPレジストリのサーバー	n8nのノードのパネルに並ぶ、1クリックの候補	並べているのはn8nだが、各サーバーを誰が運営するかは、読んだ範囲では書かれていない
外のMCPサーバー（URLを自分で入れる）	MCP Clientノードに、サーバーのURLと認証を入れる	n8nの外の運営者のもの。送った内容は、その運営者に届く
`supergateway`、`mcp-remote`（npxで取る補助ツール）	公式の接続例の中に出る	公式の資料では、作った人は確認できていない
Ollama、Qdrant、PostgreSQL（AI starter kitの部品）	「Self-hosted AI starter kit」に入る	キット自体はn8nが管理。各部品は、公式の説明では、n8n以外の別の製品として並ぶ
テンプレート	n8nとコミュニティの人が作った流れ	認証情報や設定を、自分で直す必要がある場合がある

コミュニティノードについて、公式の導入のページには、危険についての詳しい警告や、誰が入れられるか（権限）は、読んだ範囲では書かれていませんでした。

「Self-hosted AI starter kit」は、n8n、Ollama、Qdrant、PostgreSQLをまとめて、自分のパソコンで動かすDocker Composeの雛形です。公式のGitHubのREADMEは、「本番向けには十分に最適化されていない」とし、概念実証向きと説明しています。ライセンスは、このリポジトリ自体はApache License 2.0と書かれています（n8n本体のライセンスとは別です）。ドキュメントは、本番の前に、安全に固めるよう案内しています。

データの流れ先：まとめ

つなぎ方	データが流れる先	公式の説明
n8nのMCPサーバーに、AIのツールをつなぐ	n8nのインスタンス → つないだAIのツールの運営者	ワークフローの一覧のプレビュー、公開したワークフローの中身、実行結果などが、クライアントに見える。権限は接続したユーザー本人のもの
MCPクライアントで、外のMCPサーバーを使う	n8n → そのMCPサーバーの運営者	ツールを呼ぶ内容が届く。送り先の扱いは、その運営者の規約による
Gateway credits	n8n → n8n経由でモデルの会社	リクエストの内容は届く。利用者の身元やn8nのアカウント情報は渡らない
自分の認証情報でモデルを呼ぶ	n8n → 自分が選んだモデルの会社	n8nのAI規約は、「bring your own LLM」の機能では、顧客のデータが、利用者の設定に応じて、選んだ提供元に送られうると書いている
n8n Assistant	n8n → Assistantの裏のAIモデル	送られるもの：プロンプト、ワークフローの構造と設定、選んだ実行とエラーの詳細、認証情報の名前・種類・説明・接続状態など。認証情報の秘密の値は送られない
AI Workflow Builder	n8n → LLM	送られるもの：プロンプト、ノードの定義、パラメーター、つながり、今のワークフロー、読み込んだ模擬データ。認証情報の詳細と過去の実行は送られない
Ask n8n AI	n8n → AIの助手	画面に見えているものは見えるが、実際の入出力のデータ値は、既定では見えない。「Send actual data values」で変えられる
セルフホストのテレメトリー	n8n → n8nのサーバー	匿名の利用情報が既定で送られる。止め方は04

n8nの「AI Terms」（AI機能の規約）は、顧客の内容と出力を、機械学習のモデルの学習には使わないと書いています。一方で、利用情報とプロンプトを、「集計し、個人を特定できない形」で、AIサービスの改善に使うことがある、とも書いています。内容の保管は、AI機能の処理に必要な時間より長くしない、とされていますが、具体的な期間は、そのページには書かれていませんでした。この規約に、改善への利用を断る（オプトアウト）仕組みは、読んだ範囲では見つかりませんでした。

守り方：公式が書いていること

MCPのアクセスを絞る：公開するワークフローを、1本ずつ選ぶ。「Auto-expose new workflows」はオフのままにする。コールバックURLを「Only trusted URLs」にする。接続したクライアントの権限は、「Connected clients」で見て、「Revoke access」で取り消せます。
トークンの扱い：APIキー方式のトークンは、ユーザーに紐づきます。作り直すと、古いものは即座に無効になります。
MCP Server Triggerの認証：「None」にすると、URLを知る人は誰でも呼べます。認証を付ける設定は、「Bearer auth」「Header auth」です。
AIの実行前の承認：「Human review」を、取り消せない操作のツールに付けられます（02）。
認証情報の範囲：「Allowed HTTP Request Domains」で、認証情報を使えるドメインを絞れます（HTTP Requestノードのとき）。
AIには秘密を渡さない：n8n Assistantは、認証情報の秘密の値を、AIに送らないと書いています。公式は、秘密は、チャットではなく、n8nの認証情報の画面に入れるよう案内しています。

今日からできること

外のAIからn8nを呼びたいときは、まず「Settings > Instance-level MCP」で状態を確かめます。有効にするのは、必要になってからで構いません。
試すワークフローは、公開してよいものを1本だけ選び、「Available in MCP」を入れます。
n8nから外のMCPサーバーを使うなら、MCPレジストリに並ぶものから始め、自分でURLを入れるものは、運営者を確認してからにします。
AIの出力が外に出る流れには、承認や、Guardrailsを挟みます。

気をつけること

この記事は、実際に使って確かめた記録ではありません。公式のドキュメントなどを読んだ範囲です。
「n8n Assistant」「Agents」「n8n packages」は、公式が「Preview」と書いています。公式は、Previewは間違えることがあり、動きが変わりうると書いています。
公式の資料の内容は、n8nのバージョンによって変わります。MCPサーバーの設定画面は2.33.0以降、ツールの名前は2.34.0で複数が改名された、とツール一覧に書かれています。自分のバージョンで確かめてください。
「コミュニティノード」「MCPレジストリのサーバー」「補助のnpmパッケージ」は、n8nが内容を保証するものとは限りません。「検証済み」の意味や基準は、読んだ範囲では説明が見つかりませんでした。
規約や契約の解釈は、必要なら専門家や公式に確認してください。この記事は法律の助言ではありません。