Sicherheitsaudit des MCP-Protokolls deckt kritische Schwachstellen auf, Prompt Injection umgeht Schutzmechanismen von 12 führenden LLMs, agentenbasierte DAST übertrifft manuelle Pentester
Trail of Bits und NCC Group decken Toolchain-Poisoning im MCP-Protokoll von Anthropic auf, das mehr als 40.000 Implementierungen betrifft. CRESCENDO-2 der ETH Zürich umgeht die Schutzmechanismen von 12 führenden LLMs. Eine Stanford-Studie zeigt, dass AI-Agenten menschliche Pentester bei der systematischen Erkennung von Schwachstellen übertreffen. Angriffe auf die Lieferkette von AI-Modellen nehmen um 340 % zu.
🔴 Kritisch: Sicherheitsaudit des MCP-Protokolls deckt Toolchain-Poisoning-Angriffsvektor auf
Ein umfassendes Sicherheitsaudit des Model Context Protocol (MCP) von Anthropic — das inzwischen von mehr als 40.000 AI-Agenten-Implementierungen eingesetzt wird — deckt eine Klasse von Schwachstellen auf, die es Angreifern ermöglicht, Tool-Beschreibungen zu manipulieren, schädliche Anweisungen über Parameterschemata einzuschleusen und die Entscheidungsfindung von Agenten durch sogenanntes „Toolchain-Poisoning“ zu übernehmen.
Das gemeinsam von Trail of Bits und NCC Group im Rahmen einer Vereinbarung zur koordinierten Offenlegung durchgeführte Audit identifizierte drei verschiedene Angriffskategorien:
Injection über Tool-Beschreibungen (TDI)
MCP-Servermanifeste enthalten menschenlesbare Beschreibungen für jedes Tool. Da LLM-basierte Agenten diese Beschreibungen als Teil ihres Schlussfolgerungskontexts verarbeiten, kann ein Angreifer, der einen MCP-Server kontrolliert oder kompromittiert, gegnerische Anweisungen direkt in Tool-Beschreibungen einbetten. In Tests erreichten die Forscher eine Erfolgsquote von 94 % bei der Umleitung des Agentenverhaltens.
Einschleusen über Schemaparameter
JSON-Schema-Definitionen für Tool-Parameter können die Felder description, default und examples enthalten. Diese Felder werden vom LLM bei der Parametererstellung verarbeitet, jedoch nur selten validiert. Die Forscher demonstrierten die Exfiltration sensibler Daten, indem sie Anweisungen in Parameterbeschreibungen einbetteten, die den Agenten dazu veranlassten, Gesprächsverläufe, System-Prompts und Zugangsdaten in ausgehende API-Aufrufe aufzunehmen.
Serverübergreifende Rechteausweitung
Wenn Agenten gleichzeitig eine Verbindung zu mehreren MCP-Servern herstellen, kann ein schädlicher Server den Agenten anweisen, Tools auf anderen verbundenen Servern aufzurufen. Der MCP-Spezifikation fehlt derzeit eine ursprungsübergreifende Isolation — kein Mechanismus auf Protokollebene verhindert, dass die Tools eines Servers Aufrufe an einen anderen Server beeinflussen.
Auswirkungen: Die Schwachstellen betreffen jede Implementierung, bei der MCP-Server von Drittanbietern stammen oder Servermanifeste nicht kryptografisch verifiziert werden. Dazu gehört die Mehrheit der in öffentlichen Verzeichnissen aufgeführten Community-MCP-Server.
Gegenmaßnahmen: Implementieren Sie die feste Bindung von Tool-Beschreibungen durch das Hashing von Tool-Manifesten und Warnmeldungen bei Änderungen, die Validierung von Parameterschemata auf Clientebene sowie die Serverisolation durch separate Agentenkontexte für jede MCP-Serververbindung. Anthropic hat die Ergebnisse bestätigt und erklärt, dass Version 2026.04 der MCP-Spezifikation verpflichtende Signaturen für Tool-Manifeste und einen optionalen Serverisolationsmodus einführen wird.
🔴 Kritisch: Universelle Prompt Injection umgeht Schutzmechanismen von 12 führenden LLMs
Forscher des AI Security Lab der ETH Zürich haben „CRESCENDO-2“ veröffentlicht, ein weiterentwickeltes Framework für Prompt Injection, das die Sicherheitsschutzmechanismen von 12 führenden LLM-Systemen systematisch umgeht, darunter GPT-4o, Claude 3.5, Gemini 1.5 Pro, Llama 3.1 405B und Mistral Large.
Im Gegensatz zu früheren Techniken, die auf bestimmten Formatierungstricks beruhten, verwendet CRESCENDO-2 einen gradientenfreien Optimierungsansatz, der den Gesprächskontext schrittweise über fünf bis acht Interaktionen umformt. Jede einzelne Interaktion wirkt vollkommen harmlos, doch der kumulative Kontext erzeugt ein semantisches Umfeld, in dem das Sicherheitstraining des Modells weniger Einfluss hat als der etablierte Gesprächsverlauf.
Wichtigste Ergebnisse
- Umgehungsquote: durchschnittlich 78 % über alle 12 Modelle hinweg (von 62 % bei Claude 3.5 Sonnet bis zu 91 % bei zwei nicht genannten Open-Source-Modellen)
- Umgehung der Erkennung: Bestehende Erkennungssysteme erkannten CRESCENDO-2 nur in 12 % der Fälle, gegenüber 89 % bei bekannten Jailbreak-Mustern
- Übertragbarkeit: Für ein Modell optimierte Angriffssequenzen ließen sich ohne Änderungen mit einer Erfolgsquote von 45 % auf andere Modelle übertragen
- Automatisierungspotenzial: Die gesamte Angriffssequenz kann von einem separaten LLM erzeugt werden, wodurch eine vollständig automatisierte Umgehung von Schutzmechanismen in großem Maßstab möglich wird
Mehrere Anbieter, darunter Anthropic und OpenAI, haben teilweise Gegenmaßnahmen implementiert, die die Umgehungsquoten bei vorläufigen erneuten Tests um etwa 20 % reduzierten.
Auswirkungen auf die Branche: Diese Forschung stellt die Annahme infrage, dass LLM-Schutzmechanismen als primäre Sicherheitskontrolle dienen können. Unternehmen sollten mehrschichtige Sicherheitsmaßnahmen implementieren: Ausgabefilterung, Ebenen zur Autorisierung von Aktionen und deterministische Sicherheitsprüfungen, die unabhängig von der Beurteilung des Modells arbeiten.
🟠 Hoch: Agentenbasierte DAST übertrifft manuelle Pentester in Stanford-Studie
Eine wegweisende Studie des Computer Security Lab der Stanford University vergleicht in Zusammenarbeit mit OWASP drei führende agentenbasierte DAST-Plattformen direkt mit erfahrenen menschlichen Penetrationstestern. Untersucht wurden 15 eigens entwickelte Webanwendungen, die jeweils 20 bekannte Schwachstellen aus den OWASP Top 10 enthielten.
| Kennzahl | Menschliche Pentester (Durchschnitt) | Agentenbasierte DAST (Bestwert) | Agentenbasierte DAST (Durchschnitt) |
|---|---|---|---|
| Gefundene Schwachstellen (von 20) | 14,2 | 17 | 15,8 |
| Zeit bis zum Abschluss | 8,5 Stunden | 47 Minuten | 1,2 Stunden |
| Fehlalarme | 2,1 | 3 | 4,2 |
| Gefundene Geschäftslogikfehler | 4,8 von 5 | 2 von 5 | 1,4 von 5 |
| Gefundene Umgehungen der Authentifizierung | 3 von 3 | 3 von 3 | 2,6 von 3 |
| Berichtsqualität (1–10) | 8,7 | 7,2 | 6,1 |
Die agentenbasierten Systeme überzeugten bei der systematischen Abdeckung — insbesondere bei Injection-Schwachstellen, Fehlkonfigurationen und Problemen mit der Zugriffskontrolle. Bei Schwachstellen in der Geschäftslogik, die ein anwendungsspezifisches Verständnis der Abläufe erfordern, schnitten menschliche Pentester deutlich besser ab als AI.
Zentrale Erkenntnis: Das hybride Mensch-AI-Modell fand durchschnittlich 19,1 von 20 Schwachstellen — eine Verbesserung von 35 % gegenüber Menschen allein und von 21 % gegenüber AI allein. Dies bestätigt den Nutzen der Kombination automatisierter AI-Scans mit fachkundiger menschlicher Analyse.
🟡 Forschung: Angriffe auf die Lieferkette von AI-Modellen steigen im 1. Quartal 2026 um 340 %
Der vierteljährliche AI/ML-Sicherheitsbericht von JFrog zeigt für das 1. Quartal 2026 einen Anstieg schädlicher Pakete, die auf AI-Modellverzeichnisse und Abhängigkeiten von ML-Pipelines abzielen, um 340 %:
- Typosquatting auf Hugging Face: 847 schädliche Modell-Repositorys identifiziert (gegenüber 198 im 4. Quartal 2025), die beliebte Modellnamen nachahmen und Pickle-basierte Schadlasten enthalten
- PyPI-Poisoning: 1.243 schädliche Pakete, die auf ML-Arbeitsabläufe abzielen, darunter gefälschte Versionen von
transformers,datasetsundaccelerate - Exploits über Gradientendateien: Fehlerhaft formatierte SafeTensors- und GGUF-Dateien, die Pufferüberläufe in llama.cpp, vLLM und Hugging Face Transformers auslösen
Empfehlungen: Implementieren Sie die Verifizierung von Modellsignaturen (Sigstore für ML), prüfen Sie Modelldateien vor dem Laden mit ModelScan/Picklescan, legen Sie Modellversionen und Prüfsummen fest und isolieren Sie die Inferenz in Sandbox-Umgebungen.
🟡 Aufkommender Trend: Zero-Knowledge-Beweise für AI-Audit-Trails gewinnen an Bedeutung
Unternehmen setzen zunehmend Zero-Knowledge-Proof-Systeme (ZKP) ein, um überprüfbare AI-Audit-Trails zu erstellen, ohne geschützte Modelldetails offenzulegen. Drei Fortune-100-Unternehmen gaben in diesem Quartal Implementierungen von ZKP-basierten AI-Audits bekannt, angetrieben durch die im August 2026 in Kraft tretenden Transparenzanforderungen des EU AI Act.
Die Technologie ermöglicht es Unternehmen, bestimmte Eigenschaften ihrer AI-Systeme nachzuweisen — etwa die Einhaltung von Schwellenwerten für Verzerrungen und Anforderungen an die Datenverarbeitung — ohne Modellgewichte, Architektur oder Trainingsdaten offenzulegen.
Empfehlungen von Kensai
- AI/ML-Teams, die MCP einsetzen: Überprüfen Sie alle verbundenen MCP-Server und implementieren Sie umgehend die feste Bindung von Tool-Beschreibungen sowie die Validierung von Parameterschemata
- LLM-Implementierungen in Unternehmen: Verlassen Sie sich nicht ausschließlich auf Schutzmechanismen — implementieren Sie Ausgabefilterung und eine deterministische Autorisierung von Aktionen
- Sicherheitsteams: Setzen Sie auf hybride Mensch-AI-Penetrationstests, um die Abdeckung zu maximieren
- ML-Betrieb: Wenden Sie auf Modellverzeichnisse dieselbe Sorgfalt bei der Lieferkettensicherheit an wie auf Codeabhängigkeiten
- Compliance-Teams: Bewerten Sie ZKP-Lösungen für die Transparenzanforderungen des EU AI Act
Schützen Sie Ihre AI-Infrastruktur
Die AI-gestützte Sicherheitsplattform von Kensai identifiziert MCP-Fehlkonfigurationen, Prompt-Injection-Schwachstellen und Lieferkettenrisiken in Ihren AI-Implementierungen.
Kostenlosen Sicherheitsscan startenKENSAI — AI-gestützte Sicherheitsinformationen