Bitdefender
Das Model Context Protocol (MCP) für KI-Agenten schafft neue Risiken.
KI-Agenten übernehmen selbstständig Aufgaben. Dafür benötigen sie ein Höchstmaß an Konnektivität, das aber zugleich eine neue Angriffsoberfläche schafft. Cybersicherheit muss daher auch das Model Context Protocol (MCP) berücksichtigen, welches die Kommunikation zwischen Nutzer, Large Language Model (LLM) und MCP-Server übernimmt.
Zusammenfassung (TL; DR):
- Das Model Context Protocol (MCP) fungiert als einheitliche Schnittstelle für KI-Agenten, schafft jedoch durch weitreichende Konnektivität neue Sicherheitsrisiken wie mangelnde Authentifizierung und Prompt Injection.
- Zu den Hauptgefahren gehören zudem unzureichende Nachverfolgbarkeit sowie zu umfassende Rechtevergaben für KI-Agenten.
- Für eine resiliente Infrastruktur sind strenge Zugriffskontrollen, die Isolation von Servern und die Einbindung des Menschen als finale Kontrollinstanz essenziell.
Trotz seiner Schlüsselrolle für Kompatibilität und Funktionsvielfalt genießt das MCP in den Diskussionen um Cybersicherheit keinen hohen Stellenwert. Dabei bildet es die einheitliche Kommunikationsschnittstelle für KI-Anwendungen – ähnlich signifikant wie der USB-C-Anschluss in der IT. Für Large Language Models (LLM) erleichtert der offene Standard des Protokolls die Aneignung von Daten oder Werkzeugen aus dem Internet oder von anderen Netzwerken. Für Angreifer ist ein einzelner, weithin gebräuchlicher Port deshalb ein lukratives Ziel.
Angriffsfläche Konnektivität
Wie groß die Angriffsfläche des MCP-gesteuerten Informationsflusses ist, wird deutlich, wenn man die Verbindungen zwischen den unterschiedlichen Entitäten, einer LLM und dem Kunden ausmisst.
Grundsätzlich funktioniert MCP als ein Client-Server-Modell mit einem Client pro Server. Die Kommunikation eines LLM findet dabei nie direkt mit einem MCP-Server oder einer externen Webseite statt, sondern über den MCP-Host, der zwischen LLM und Client vermittelt. Dafür nutzt der MCP-Client eine Direkt-Verbindung zum MCP-Server.
Bei seiner Implementierung erfasst der MCP-Client zuerst die Eigenschaften des MCP-Servers. Der Host führt dem LLM die vorhandenen Werkzeuge vor. Schickt der Nutzer einen Prompt an den Host, versteht das LLM, dass eine externe Handlung notwendig ist. Somit handelt das LLM als Schlussfolgerungsmaschine („reasoner“). Es überprüft die eingegangene Anfrage und entscheidet sich für die geeigneten Werkzeuge und Argumente. Auf dieser Grundlage unterweist der Host den Client, damit dieser einen strukturierten JSON-RPC Call an seinen MCP-Server einrichtet und verschickt.
Der maschinenlesbare Output des Servers geht an den Client. Dieser übermittelt ihn weiter an den Host, von wo aus er zum LLM befördert wird. Es folgen die zugehörigen KI-Denkprozesse und Synthesen. Anschließend bietet das LLM sein Resultat dem Nutzer in natürlicher Sprache an.
Fünf Risiken für die neue Angriffsfläche
Flexibilität ist eine große Stärke des MCP-Protokolls. Gleichzeitig können sich aber genau daraus Konflikte mit klassischen Sicherheitsmodellen entwickeln. CISOs und IT-Sicherheitsteams sollten daher unbedingt folgende fünf Risiken im Blick haben:
Auf standardisierte Verfahren für Cybersicherheit achten
Viele Cybersicherheitswerkzeuge haben Probleme, mit den außerordentlichen Innovationsaktivitäten im Bereich der KI mitzuhalten. Sie bieten lediglich ein aufgesplittertes und unsystematisches Ökosystem, dem grundlegende Standards für Cybersicherheit fehlen. So verwenden nur wenige Implementierungen eine konsistente Authentifikation für Remote-MCP-Server. Ist die Verbindung zwischen MCP-Host (Client) und LLM noch sicher, weil das Kommunikationsprotokoll die Authentifikation zwingend durchsetzt, geht von der Konnektivität der Client-Server die größte Gefahr aus: Authentifikation und Sicherheitsrichtlinien sind zwischen diesen Partnern nur ein Vorschlag des MCP, dem der Nutzer folgen muss, um für Sicherheit zu sorgen.
Subtile Manipulation durch Prompt Injection
„Prompt Injection” ermöglicht in einem agentischen Modell komplexe und schädlichere Varianten von Angriffen wie das „context poisoining“: Hacker verändern beinahe unmerklich Dokument- oder Datenquellen und modifizieren das Verhalten des Agenten. Durch die Tool-Injektion können Cyberkriminelle Befehle für die Agenten manipulieren.
Kompromittierte Daten oder Tools entlang der Informationskette
Der Austausch von Informationen und Werkzeugen bietet Cyberkriminellen ein wirkmächtiges Einfallstor. Als ein Glied in einer Informationskette konsultiert ein MCP-Server Daten von unterschiedlichen Ausgangspunkten oder führt Funktionen mit Hilfe eines PDF-Dokuments aus, das der Nutzer zur Verfügung stellt. Ist nun ein Glied in der Kette kompromittiert oder manipuliert, kann das MCP-Protokoll verfälschte oder gefährliche Inhalte über eine verborgene Unicode-Attacke transportieren. Aufwändiger ist es für die Hacker, einem ungefährlichen Werkzeug eine zusätzliche toxische Funktion hinzuzufügen. Ohne eine offizielle Erlaubnis und Validierung von Code als Sicherheit nehmen IT-Verantwortliche mit MCP also neue Schwachstellen in Kauf.
Zu umfassende Rechte für KI-Agenten
Oft werden MCP-Servern und Agenten zu viele Privilegien eingeräumt, die lange Gültigkeit haben und nicht begrenzt werden. Ein weiteres Risiko entsteht, wenn ein Server mit umfassenden Rechten Handlungen für einen Nutzer mit eingeschränkten Befugnissen ausübt. Das MCP-Protokoll überträgt nicht automatisch die Kontextinformationen der Nutzer. Deshalb kann der Server nicht zwischen Nutzern und ihren Befugnissen differenzieren. So weist er allen unter Umständen die gleichen Zugangsrechte zu. In der Folge wächst das Risiko, dass Hacker Daten auslesen oder Handlungen ausüben. Cyberkriminelle müssen nicht selbst in die Netzwerke gelangen, sondern nur einen berechtigten KI-Agenten mit überprivilegierten Tokens steuern.
Transparenz durch Nachverfolgbarkeit gewährleisten
Ohne Transparenz verblassen die Spuren der Hacker. Wenn Agenten Fehler begehen oder Exploits ausnutzen, ist dies nur mühsam nachzuweisen. Schon ein konstanter und einheitlicher Weg, um die ganze Gedankenkette der KI nachzuvollziehen, ist nicht vorgezeichnet: Dieser beginnt bei der ersten Anfrage des Nutzers, führt weiter über die Wahl der KI eines bestimmten Werkzeuges und mündet in der letzten Handlung des MCP-Servers. Wo ist die Datenquelle? Warum hat der Agent dieses Werkzeug ausgewählt? Welchen genauen Status hatte die Umgebung, als eine Handlung durchgeführt wurde? Damit gibt es einen signifikanten blinden Fleck in der Compliance und der Verantwortlichkeit. Regularien werden aber von den IT-Verantwortlichen diese Rechenschaft und Transparenz einfordern. Bereits jetzt ist dies nicht DSGVO-konform möglich.
Die Gefahren durch KI-Agenten und durch deren Kommunikationswege wie MCP sollten die IT-Sicherheitsverantwortlichen unbedingt ernst nehmen. Eine resiliente MCP-Infrastruktur verlangt proaktive IT-Entscheider, einen Genehmigungsprozess für MCP-Server, die Entwicklung einer Datenbasis nur für interne MCP-Server und die Isolation der Server von öffentlichen Quellen. Alle Eingaben für eine KI sind zu kontrollieren und zu verifizieren. Die Berechtigungen für Schnittstellen für eine agentische KI sollten auf das erforderliche Maß reduziert werden. Gerade eine autonome KI ist auf ungewöhnliche Aktionen zu überwachen. Und eines bleibt: Der Mensch muss immer die letzte und damit die entscheidende Instanz sein.
