Was ist das Model Context Protocol (MCP)?

MCP-Sicherheit erklärt #

Das Model Context Protocol wurde nicht mit einer Sicherheitswarnung veröffentlicht. Es kam als Produktivitätsdurchbruch auf den Markt, als ein standard Dadurch können KI-Assistenten über das Chatfenster hinausgehen und direkt mit Tools, Dateien, APIs und ... interagieren. pipelineAls die Sicherheitsteams anfingen zu fragen, was MCP ist, war es bereits in großem Umfang in Entwicklerumgebungen im Einsatz.

Genau diese Lücke zwischen der Einführung und der Steuerung von Lieferketten ist ein Angriffspunkt. Zu verstehen, was das Model Context Protocol (MCP) ist, wie MCP-Server funktionieren und welche Risiken sie bergen, ist daher unerlässlich. Grundvoraussetzung für jedes DevSecOps-Team, das in einer KI-nativen Umgebung arbeitet.

Was ist das Model Context Protocol? Definition #

Das Model Context Protocol (MCP) ist ein offenes standard Dies definiert, wie große Sprachmodelle mit externen Tools, Datenquellen und Diensten kommunizieren. Während ein herkömmlicher KI-Assistent nur mit Text antwortet, kann ein MCP-fähiger Assistent Aktionen ausführen (Dateien lesen, APIs abfragen, Befehle ausführen, Abhängigkeiten installieren und mit anderen interagieren). CI/CD pipelines) durch eine strukturierte Schnittstelle, die das Modell mit der Entwicklungsumgebung verbindet.

MCP wurde von Anthropic im November 2024 eingeführt und wird seither von führenden KI-Programmierwerkzeugen wie Claude, Cursor, Windsurf und GitHub Copilot eingesetzt. Es bietet eine gemeinsame Sprache für die Kommunikation zwischen KI und Werkzeugen, ähnlich wie HTTP ein gemeinsames Protokoll für die Webkommunikation bereitstellt.

Wenn der KI-Assistent das Gehirn ist, dann ist der MCP-Server das Nervensystem, das ihn mit dem Körper der Entwicklerwerkzeuge verbindet.

Wie funktioniert er? #

MCP arbeitet mit einer Client-Server-Architektur, die aus drei Komponenten besteht:

• Der MCP-Moderator Die Anwendung, in der der Entwickler arbeitet – eine IDE wie VS Code, Cursor oder Windsurf oder ein KI-Assistent wie Claude – wird vom Host verwaltet. Dieser steuert die Verbindungen zu den MCP-Servern und die Zugriffsrechte des Modells.
• Der MCP-Klient Es befindet sich innerhalb des Hosts und unterhält eine Eins-zu-Eins-Verbindung zu jedem MCP-Server. Es übersetzt Modellanfragen in strukturierte Toolaufrufe und gibt die Ergebnisse an das Modell zurück.
• Der MCP-Server ist die Brücke zu externen Funktionen. Sie stellt Werkzeuge, Ressourcen und Eingabeaufforderungen bereit, die das Modell aufrufen kann. Ein MCP-Server kann sich beispielsweise mit einem Dateisystem, einem GitHub-Repository, einer Datenbank oder einem anderen System verbinden. CI/CD Plattform oder Sicherheitsscanner. Jeder Toolaufruf des Modells läuft über den MCP-Server, der ihn ausführt und das Ergebnis zurückgibt.

Wenn ein Entwickler einen KI-Assistenten bittet, ein Projekt zu scannen, eine Sicherheitslücke zu beheben oder eine Abhängigkeit zu installieren, führt das Modell diese Aktionen nicht direkt aus. Es sendet eine strukturierte Anfrage an den entsprechenden MCP-Server, der die Aktion mithilfe autorisierter lokaler Tools ausführt und das Ergebnis zurückgibt.

MCP vs. traditionelle KI-Assistenten: Was hat sich geändert? #

Vor MCP waren KI-Programmierassistenten im Grunde passiv. Sie konnten zwar den in den Chat eingefügten Code lesen und Änderungen vorschlagen, aber sie konnten nicht direkt in die Umgebung eingreifen. MCP ändert dieses Modell grundlegend.

Dieser Unterschied ist aus Sicherheitsgründen relevant, da er die Reichweite eines KI-Assistenten beeinflusst. Ein herkömmlicher Assistent, der falsche Ratschläge gibt, kostet einen Code-Review-Zyklus. Ein MCP-fähiger Assistent, der eine schädliche Aktion ausführt (z. B. eine bösartige Abhängigkeit installiert, ein kompromittiertes Build-Skript ausführt oder Anmeldeinformationen an einen externen Endpunkt weiterleitet), verursacht einen Sicherheitsvorfall.

MCP wandelt KI-Assistenten von Beratern in Bediener um. Dieser Wandel erfordert dieselben Sicherheitskontrollen, die Sie für jeden Bediener mit Zugriff auf Ihre Infrastruktur anwenden.

Was ist ein MCP-Server? #

Ein MCP Der Server ist ein leichtgewichtiger Prozess, der Funktionen bereitstellt. für MCP-kompatible KI-Clients. Es definiert eine Reihe von Werkzeugen (einzelne Aktionen, die das Modell aufrufen kann) sowie Ressourcen, die das Modell lesen kann, und Vorlagen, die es verwenden kann.
MCP-Server existieren für eine breite Palette von Integrationen: Dateisystemzugriff, GitHub, Slack, Datenbanken, Sicherheitsscanner und CI/CD Plattformen. Entwickler können MCP-Server lokal innerhalb der Infrastruktur ihrer Organisation betreiben oder sich mit von externen Anbietern bereitgestellten, gehosteten MCP-Servern verbinden.
In dieser letzten Kategorie wird das Sicherheitsrisiko konkret. Ein MCP-Server eines Drittanbieters ist ein externer Prozess mit Zugriff auf die Entwicklerumgebung. Untersuchungen zeigen, dass 5.5 % der öffentlich verfügbaren MCP-Server Schwachstellen aufweisen, die Tool-Poisoning ermöglichen, und 43 % Schwachstellen für Command-Injection besitzen. Dies bedeutet, dass ein erheblicher Anteil öffentlich verfügbarer MCP-Server missbraucht werden kann, um das Verhalten von KI zu manipulieren, Daten zu exfiltrieren oder unautorisierte Befehle auszuführen.

MCP-Sicherheitsrisiken: Was DevSecOps-Teams wissen müssen #

MCP schafft eine neue Angriffsfläche, die herkömmliche AppSec-Tools nicht abdecken konnten. Die wichtigsten Risiken sind:

Schatten-MCP-Server. Entwickler konfigurieren MCP-Server lokal ohne formale Genehmigung oder Governance, wodurch eine Sicherheitslücke entsteht. Sicherheitsteams können nur schützen, was sie sehen.

Werkzeugvergiftung. Ein bösartiger MCP-Server stellt Werkzeuge bereit, die zwar legitim erscheinen, aber beim Aufruf durch das Modell schädliche Aktionen ausführen. Da das Modell den empfangenen Werkzeugdefinitionen vertraut, kann es ein manipuliertes Werkzeug aufrufen, ohne dass dies offensichtlich erkennbar ist.

Sofortige Injektion über MCP. Schadsoftware in Dateien, Dokumenten oder API-Antworten kann Anweisungen in den Kontext des Modells einschleusen und so dessen Verhalten manipulieren. Ein MCP-Server, der externe Inhalte liest und ungeprüft an das Modell weiterleitet, stellt einen direkten Einschleusungsvektor dar.

Manipulation der Abhängigkeit. MCP-Server, die die Paketinstallation oder die Auflösung von Abhängigkeiten verwalten, können kompromittiert werden, um schädliche Pakete zu installieren. Wenn ein KI-Agent eine Abhängigkeit autonom über einen MCP-Server installiert, gibt es keine menschliche Überprüfung zwischen dem schädlichen Paket und dem System. pipeline.

Offenlegung von Zugangsdaten. MCP-Server verwalten häufig Authentifizierungstoken, API-Schlüssel und Umgebungsvariablen. Eine unsichere MCP-Konfiguration kann diese Anmeldeinformationen über den Kontext des Modells oder über Protokolle offenlegen.

Nicht autorisierte Tool-Ausführung. Ohne strikte Zulassungslisten kann ein MCP-fähiger Assistent Tools aufrufen, die über seinen vorgesehenen Umfang hinausgehen, Produktionsinfrastrukturen verändern, auf sensible Repositories zugreifen oder API-Aufrufe an externe Dienste tätigen.

Best Practices für die Sicherheit #

Die Absicherung von MCP erfordert, dass jeder MCP-Server als privilegierte Integration und nicht als Entwicklervergünstigung behandelt wird.

• Schädliche Abhängigkeiten am Endpunkt blockieren. Wenn ein MCP-fähiger Agent eine Abhängigkeit installiert, sollte diese Installation vor der Ausführung abgefangen und gescannt werden. Signaturbasierte Erkennung ist nicht ausreichend; schädliche Pakete, die auf KI-Tools abzielen, werden schneller veröffentlicht, als Signaturen sie erfassen können.

• Inventarisieren Sie jeden MCP-Server. Wissen Sie, welche MCP-Server in Ihren Entwicklungsumgebungen lokal konfiguriert sind? CI/CD pipelineund in Ihren IDE-Konfigurationen. Shadow MCP ist dasselbe Problem wie Shadow IT, mit direktem Zugriff auf Ihre Tools.

• Eine MCP-Zulassungsliste erzwingen. Nur zugelassene MCP-Server dürfen ausgeführt werden. Jeder nicht zugelassene Server, der versucht, eine Verbindung herzustellen, muss am Endpunkt blockiert werden, bevor er mit dem Modell interagieren kann.

• Bei MCP-Tooldefinitionen gilt das Prinzip der minimalen Berechtigungen. Jeder MCP-Server sollte nur die für seine spezifische Funktion erforderlichen Werkzeuge bereitstellen. Ein Server, der lediglich Dateien liest, sollte keine Funktionen zur Paketinstallation anbieten.

• Über MCP übermittelte Inhalte validieren und bereinigen. Jeglicher externe Inhalt (Dateien, API-Antworten, Datenbankergebnisse), der über einen MCP-Server in den Kontext des Modells gelangt, stellt ein potenzielles Einfallstor für Prompt-Injection dar. Behandeln Sie ihn als nicht vertrauenswürdige Eingabe.

• Überwachen Sie die MCP-Interaktionen zur Laufzeit. Protokollieren Sie jeden Toolaufruf, den das Modell über die MCP-Server tätigt. Anomale Muster (unerwartete Toolaufrufe, ausgehende Verbindungen aus Build-Umgebungen, Toolaufrufe außerhalb der regulären Arbeitszeiten) sind frühe Anzeichen für eine Kompromittierung.

Sicherheitsvorfälle aus der realen Welt #

Die Sicherheit von MCP-Stacks ist nicht theoretisch. Anfang 2026 dokumentierte eine Studie der Queen’s University, dass MCP-Stacks über … verfügen. 92% Ausnutzungswahrscheinlichkeit Wenn mehrere Plugins kombiniert werden, kann dies zu Problemen führen. Die PromptMink-Kampagne (zugeschrieben der nordkoreanischen, staatlich geförderten Gruppe Famous Chollima) entwickelte gezielt schädliche npm-Pakete, um KI-Programmieragenten, die über MCP-ähnliche Schnittstellen operieren, zur Installation von Malware zum Diebstahl von Zugangsdaten zu verleiten. Die Pakete waren so gestaltet, dass sie für KI-Agenten legitim erschienen, selbst wenn ein menschlicher Prüfer sie erkannt hätte.

Im Juni 2026, Xygeni bestätigte die Cluster ollama-helpers und openai-agents-helpers. (Über 35 kombinierte Versionen, die in koordinierten Wellen veröffentlicht wurden) zielen direkt auf Pakete ab, die in agentenbasierten Entwicklungs-Workflows verwendet werden, in denen MCP-Verbindungen üblich sind. Wenn ein KI-Agent eine Abhängigkeit autonom über einen MCP-Server installiert, gibt es keine menschliche Überprüfung zwischen dem schädlichen Paket und seiner Ausführung.

Was ist MCP im Kontext von KI-gestützter Lieferkettensicherheit? #

MCP befindet sich an der Schnittstelle von KI-Sicherheit und software supply chain securityEs ist die Schicht, die KI-Modelle mit den Werkzeugen, Repositories und der Infrastruktur verbindet, die die moderne KI definieren. SDLC, was es gleichzeitig zum leistungsstärksten Integrationspunkt und zur exponiertesten Angriffsfläche in der KI-nativen Entwicklung macht.

Traditionelle Anwendungssicherheit endet beim Repository. EDR überwacht das Betriebssystem. Beide Ansätze wurden nicht entwickelt, um MCP-Server, Tool-Aufrufe oder KI-gesteuerte Abhängigkeitsinstallationen zu verstehen. Genau diese Lücke ist der Angriffspunkt für MCP-basierte Angriffe.

Die Absicherung von MCP erfordert Einblick in die auf den MCP-Servern laufenden Systeme, die von ihnen bereitgestellten Tools, die aufgerufenen Modelle und die Validierung der Abhängigkeiten und verarbeiteten Dateien. Es handelt sich also um eine Kombination aus KI-Inventarisierung, Verhaltensüberwachung und Lieferkettensicherheit – ein komplexes Problem.

MCP-Sicherung mit Xygeni
#

Die Sicherheit des Model Context Protocol (MCP) erfordert mehr als Richtliniendokumente und Best-Practice-Checklisten. Sie bedarf kontinuierlicher Transparenz darüber, welche MCP-Server in Ihren Entwicklungsumgebungen laufen, der Verhaltensüberwachung jedes Tool-Aufrufs des Modells und der Fähigkeit, schädliche Abhängigkeiten am Endpunkt zu blockieren, bevor sie ausgeführt werden und bevor eine Signatur erstellt wird. Ein umfassendes Verständnis des Model Context Protocol ist dabei unerlässlich.

Xygenis KI-Sicherheitsplattform Deckt die gesamte Angriffsfläche von MCPs ab: Inventarisierung jedes MCP-Servers mittels AI-SPM, Erkennung von Tool-Poisoning, Prompt-Injection und unsicheren MCP-Konfigurationen durch AI-Security-Scanning gemäß den OWASP MCP Top 10 und Durchsetzung von Richtlinien am Entwicklerendpunkt durch Shield, wodurch nicht genehmigte MCP-Server und schädliche Abhängigkeiten blockiert werden, bevor sie die Entwickler erreichen. pipeline.

Wenn Ihre Teams KI-gestützte Programmierassistenten einsetzen, ist die MCP-Schicht bereits Teil Ihrer Angriffsfläche. Die Frage ist, ob Sie sie erkennen können.

FAQ #