Agenten-Sicherheit · Protocol Pivoting
MCP unter Beschuss: Strukturelle Lücke in Agenten-Netzwerken hebelt Sicherheitsgrenzen aus
Das trügerische Fundament vernetzter KI-Systeme. Das Model Context Protocol (MCP), ursprünglich von Anthropic initiiert und inzwischen der De-facto-Standard zur Anbindung von Sprachmodellen an externe Datenquellen und Werkzeuge, steht vor seiner ersten schweren Sicherheitskrise. Eine am Montag von Ars Technica veröffentlichte Untersuchung des unabhängigen Sicherheitsforschers Syed Anas Mohiuddin belegt, dass die Kombination aus Agenten-Kaskaden und standardisierten Schnittstellen ein dramatisches Einfallstor für Angreifer öffnet. Betroffen sind nicht nur experimentelle Open-Source-Skripte, sondern produktive Implementierungen globaler Technologiekonzerne und Finanzschwergewichte – darunter Google, JP Morgan Chase, Weaviate und Rapid7 sowie IT-Systeme der französischen und US-amerikanischen Verwaltung. Die Tragweite des Befunds ist enorm: In allen untersuchten Umgebungen gelang es, über scheinbar unverdächtige Nutzereingaben Sicherheitsgrenzen auszuhebeln und sensible interne Systeme zu kapern.
Die Mechanik des „Protocol Pivoting“. Die von Mohiuddin entdeckte Angriffsklasse trägt die Bezeichnung Protocol Pivoting. Sie nutzt eine fundamentale Fehlannahme moderner Multi-Agenten-Architekturen aus: das blinde Vertrauen zwischen internen Systemkomponenten. Während Eingaben menschlicher Nutzer an der Außengrenze durch Web Application Firewalls (WAFs) und Prompt-Filter streng überwacht werden, agieren Agenten hinter der Fassade oft völlig unreguliert. Schleust ein Angreifer eine präparierte Nachricht in einen harmlosen Agenten ein – etwa einen Lese-Assistenten für Kundenfeedback oder Übersetzungen –, interpretiert dieser die manipulierte Anweisung als legitimen Auftrag, eine Teilaufgabe an einen mächtigeren Kollegen zu delegieren. Dieser nachgelagerte Agent, der über weitreichende Datenbank- und Administrationsrechte verfügt, führt den Befehl ungeprüft aus, weil die Anfrage von einem vertrauenswürdigen internen Partner stammt. Markus Vervier von X41 D-Sec stuft die Methode als besonders tückische Variante indirekter Prompt Injections ein, da sie Protokollgrenzen wie MCP, Googles Agent-to-Agent (A2A) und das Agent Network Protocol (ANP) nahtlos überspringt.
Schwere Schwachstelle in Googles Datenbank-Toolbox. Wie gravierend die praktischen Folgen sind, illustriert eine von Google bestätigte Sicherheitslücke in der offiziellen Komponentenbibliothek googleapis/mcp-toolbox, die von Analysten mit einem hohen CVSS-Schweregrad von 8,0 eingestuft wurde. Der integrierte HTTP-Client der Toolbox verzichtete auf eine strikte CheckRedirect-Richtlinie und validierte Ziel-IP-Adressen nicht. Angreifer konnten über maßgeschneiderte Pfadparameter interne Cloud-Endpunkte ansteuern und im Namen des Google-Systems vertrauliche Anfragen absetzen – ein klassisches Server-Side Request Forgery (SSRF) im Gewand eines modernen KI-Werkzeugs. Google behob das Problem durch restriktive IP-Allowlists und strikte Startup-Validierungen unsicherer Basis-URLs. Bei Rapid7 wiederum ermöglichte die Lücke CVE-2026-97228 das unautorisierte Abrufen von Daten über verkettete Agentenpfade, bevor der Hersteller im September ein Sicherheitsupdate einspielte.
Der ungesicherte Flur zwischen den Haustüren. Sicherheitsexperten schlagen Alarm, weil die Schwachstelle ein konzeptionelles Dilemma der Branche offenbart. „Jedes Protokoll wurde unter der Annahme gebaut, dass es isoliert existiert“, erklärte Douglas McKee, Director of Vulnerability Intelligence bei Rapid7, gegenüber Ars Technica. „Jedes System kontrolliert seine eigene Haustür, während niemand beobachtet, was auf dem Flur dazwischen geschieht.“ Da MCP-Server Zugangsdaten für Datenbanken, APIs und Cloud-Speicher zentral vorhalten und Agenten standardmäßig als vertrauenswürdig einstufen, genügt ein einziger erfolgreicher Hebel an einem schwach geschützten Rand-Agenten, um das gesamte Unternehmensnetzwerk aufzurollen. Die Industrie habe im Rausch der autonomen Automatisierung das elementare Zero-Trust-Prinzip sträflich vernachlässigt.
Was das für Unternehmens-Architekturen bedeutet. Für Chief Information Security Officers (CISOs) und Engineering Leads markiert der Vorfall einen dringenden Weckruf. Wer Multi-Agenten-Systeme in Produktion betreibt, darf Berechtigungen nicht länger statisch an Agenten delegieren. Erforderlich sind kurzlebige, feingranulare Token (Scoped Ephemeral Credentials), Default-Deny-Netzwerkregeln an allen ausgehenden Schnittstellen und semantische Firewalls, die auch den internen Datenverkehr zwischen Agenten auf bösartige Injections analysieren. Ausführliche Hintergründe und einen praxiserprobten Architektur-Blueprint gegen Protocol Pivoting lesen Sie in unserer heutigen Titel-Reportage.