Schwachstellen im Model Context Protocol setzen KI-Agenten systemübergreifenden Angriffen aus

Die schnelle Einführung von KI-Agenten in Unternehmen hat kritische Sicherheitslücken durch Kommunikationsprotokolle geschaffen. In den letzten fünf Monaten identifizierten Forscher systemische Vertrauenslücken im Model Context Protocol (MCP), einem Standard für die interne KI-Kommunikation. Der unabhängige Forscher Syed Anas Mohiuddin demonstrierte, dass Angreifer diese Protokolle durch indirekte Prompt-Injection ausnutzen können. Dabei wird ein kompromittierter Agent genutzt, um bösartige Befehle an nachgelagerte Tools weiterzuleiten, was Datenexfiltration und unbefugten Netzwerkzugriff ermöglicht.

Tests bei Unternehmen wie Google und JP Morgan Chase zeigten weit verbreitete Schwachstellen. Ein Fehler in Googles Datenbank-Toolbox erhielt eine Kritikalitätsbewertung von 8,0 von 10, da IP-Adressen nicht validiert wurden, was Server-Side Request Forgery (SSRF)-Risiken schuf. Douglas McKee von Rapid7 erklärt: „KI-Agenten bieten Angreifern neue Wege; der zweite Agent führt den Befehl aus, weil er dem Absender vertraut.“

Mohiuddin nennt diesen Mechanismus „Protokoll-Pivotierung“, bei dem ein Angreifer über ein System eindringt und Befehle durch Zwischenprotokolle übersetzt. Da KI-Tools oft keine internen Schutzmechanismen besitzen, führen MCP-Server bösartige Routinen aus.

Sicherheitsanalysten betonen, dass die Eile beim Aufbau autonomer Ökosysteme dazu geführt hat, Zero-Trust-Prinzipien zu vernachlässigen. Experten fordern, Eingaben externer Tools als nicht vertrauenswürdigen Netzwerkverkehr zu behandeln und strikte Schutzmaßnahmen zu implementieren.