Sicherheit von AI-Agenten im Jahr 2026: Tool-Poisoning, Prompt-Leaks und Ausbrüche aus MCP-Sandboxes

Umfassende Analyse der wichtigsten Angriffsvektoren auf AI-Agenten in Produktivumgebungen: Tool-Poisoning über MCP-Server, Prompt-Extraktion über Seitenkanäle und Techniken zum Ausbruch aus Sandboxes. Dazu ein Abwehr-Framework zur Absicherung Ihrer Agentenbereitstellungen.

---

Die explosionsartige Vergrößerung der Angriffsfläche von Agenten

2026 ist das Jahr, in dem AI-Agenten den Mainstream erreicht haben. Claude Code, Codex, Devin, OpenClaw und Dutzende weitere werden inzwischen in Produktivumgebungen mit echtem Tool-Zugriff eingesetzt — auf Dateisysteme, Datenbanken, APIs, Browser und Cloud-Infrastruktur. Mit großer Macht geht eine gewaltige Angriffsfläche einher.

Im vergangenen Quartal haben wir die kritischsten Schwachstellen bei der Bereitstellung von AI-Agenten katalogisiert und getestet. Das haben wir herausgefunden.

Angriffsvektor 1: Tool-Poisoning über MCP-Server

So funktioniert es

1. Köder: Der Angreifer veröffentlicht einen MCP-Server mit einem Namen wie mcp-github-enhanced oder mcp-aws-tools-v2
2. Falle: In den Tool-Beschreibungen werden mithilfe von Unicode-Steuerzeichen oder eingeschleusten Markdown-Kommentaren unsichtbare Anweisungen eingebettet
3. Ausführung: Wenn der Agent die Tool-Beschreibungen liest, veranlassen ihn die eingeschleusten Anweisungen dazu, Umgebungsvariablen, API-Schlüssel oder Dateiinhalte zu exfiltrieren
4. Persistenz: Einige Varianten ändern die Konfiguration des Agenten, um den bösartigen Server dauerhaft hinzuzufügen

Praxisbeispiel

Im März 2026 wurde ein als mcp-jira-sync veröffentlichter bösartiger MCP-Server von mehr als 340 Entwicklern installiert. Die Beschreibung des Tools list_issues enthielt eine versteckte Anweisung, durch die Agenten den Inhalt von ~/.aws/credentials bei jedem API-Aufruf an den C2-Server des Angreifers mitsendeten.

Angriffsvektor 2: Prompt-Extraktion über Seitenkanäle

Die Bedrohung

System-Prompts, benutzerdefinierte Anweisungen und Tool-Konfigurationen enthalten wertvolles geistiges Eigentum und sicherheitskritische Informationen. Angreifer haben ausgefeilte Techniken entwickelt, um diese zu extrahieren:

• Einschleusen von Markdown-Bildern — Erstellen von Eingaben, die den Agenten dazu bringen, ein Bild-Tag darzustellen, in dessen URL der System-Prompt codiert ist
• Datenlecks über Fehlermeldungen — Auslösen bestimmter Fehlerzustände, durch die Teile des System-Prompts in Fehlermeldungen wiedergegeben werden
• Verhaltensbasierte Fingerabdrücke — Senden gezielt formulierter Prompts und Analysieren der Antwortmuster, um Systemanweisungen zu rekonstruieren
• Tool-Ausgabekanäle — Ausnutzen von Tools, die in Dateien oder URLs schreiben, um Prompt-Inhalte über diese Kanäle zu exfiltrieren

Angriffsvektor 3: Techniken zum Ausbruch aus Sandboxes

Ausbrüche aus Containern

Die meisten Agenten-Sandboxes werden in Containern ausgeführt. Wir haben mehrere Ausbruchsvektoren identifiziert, die speziell die Bereitstellung von AI-Agenten betreffen:

• Ausnutzung eingebundener Volumes — Agenten mit Dateisystemzugriff können eingebundene Volumes durchqueren, um auf Ressourcen des Hosts zuzugreifen
• Missbrauch des Netzwerk-Namespace — Agenten, die HTTP-Anfragen stellen können, könnten zur Entwendung von Zugangsdaten auf Cloud-Metadatendienste (169.254.169.254) zugreifen
• Prozessinjektion über /proc — in nicht gehärteten Containern können Agenten in /proc/[pid]/mem anderer Prozesse schreiben
• Symlink-Angriffe — Erstellen symbolischer Links, die vor Dateioperationen auf Ziele außerhalb der Sandbox verweisen

Abwehr-Framework: KENSAI Agent Shield

Empfehlungen

1. Alle MCP-Server sorgfältig prüfen — prüfen Sie Tool-Beschreibungen manuell, bevor Sie Agenten mit neuen MCP-Servern verbinden. Verwenden Sie ausschließlich verifizierte Quellen.
2. Prompt-Isolation implementieren — halten Sie System-Prompts von für Benutzer zugänglichen Speicherbereichen getrennt. Nutzen Sie architektonische Barrieren und nicht nur anweisungsbasierte Schutzmechanismen.
3. Container härten — verwenden Sie gVisor- oder Firecracker-MicroVMs anstelle von Standardcontainern. Blockieren Sie den Zugriff auf Metadatendienste.
4. Ausgehenden Datenverkehr überwachen — protokollieren Sie alle ausgehenden Verbindungen aus Agentenumgebungen und lösen Sie bei Auffälligkeiten Warnmeldungen aus. Erstellen Sie eine Positivliste der erwarteten Ziele.
5. Zugangsdaten rotieren — speichern Sie niemals langlebige Zugangsdaten in Agentenumgebungen. Verwenden Sie kurzlebige Tokens mit minimalen Berechtigungsumfängen.

---