Erstellen Sie eine Sicherheitsanalyse für jeden Tool-Aufruf, bevor Sie weitere Tools hinzufügen. Das Model Context Protocol (MCP) ist ein Protokoll, das es einer KI-Anwendung ermöglicht, externe Tools und Datendienste zu entdecken und aufzurufen. Ein Tool-nutzender Agent ist eine KI-Anwendung, die ein Tool auswählt und die entsprechenden Argumente bereitstellt, um eine Aufgabe zu erledigen. Diese Verbindung steigert den Nutzen, macht aber auch Tool-Beschreibungen, Aufrufargumente, Zugangsdaten und Rückgabedaten zu sicherheitsrelevanten Bestandteilen eines Gesamtsystems.
Für ein Entwicklungsteam stellt sich nicht die Frage, ob ein MCP-Server remote oder lokal betrieben wird. Entscheidend ist vielmehr, welche Identität, Berechtigung und Nachvollziehbarkeit gelten, wenn der Agent ein Tool zur Ausführung einer Aktion veranlasst. Dieser Kurs unterstützt Sie dabei, diesen Grenzbereich sicher zu handhaben, ohne die Auditierbarkeit oder Kontrolle zu verlieren.
Bei Northbridge Health kann der CareOps-Agent auf JiraMCP, DriveMCP und ein lokales KubeAdminMCP zugreifen. Eine schädliche Anweisung kann über Metadaten eingeschleust werden, die wie gewöhnliche Tool-Informationen wirken; sie beeinflusst die Auswahl des Agenten und erreicht einen nachgelagerten Dienst unter Verwendung der Zugangsdaten des MCP-Servers. Das sichtbare Ergebnis mag wie ein gewöhnlicher Dateiabruf erscheinen, während der zugrundeliegende Autorisierungspfad die Zugriffsrechte des anfordernden Ingenieurs überschreitet. Verfolgen Sie nach, an welcher Stelle die Anfrage Berechtigungen erlangt und wo Nachweise verloren gehen:
Simulierte Angriffskette:
Tool-Metadaten umfassen die Beschreibung, das Parameterschema und die Anmerkungen, die dem Agenten die Funktionsweise eines Tools erläutern. Da der Agent diese Informationen als Kontext verarbeitet, kann ein Angreifer, der sie manipuliert, versuchen, Aktionen auf verbundenen Servern zu steuern. Dasselbe Risiko besteht bei Tool-Ausgaben und kopierten Ticket-Texten, sobald diese in den Kontext des Agenten gelangen.
Ein Server mit weitreichenden Dienstberechtigungen schafft ein weiteres Problem. Der vorgeschaltete Dienst erkennt möglicherweise die Identität des Servers anstelle der des Technikers, der die Aktion angefordert hat. Hierbei handelt es sich um das „Confused Deputy“-Problem (Problem des verwirrten Stellvertreters): Eine Komponente nutzt ihre eigenen Berechtigungen für eine Anfrage, die eigentlich durch die Berechtigungen des Aufrufers hätte eingeschränkt sein müssen. Der Vorfallbericht veranschaulicht das Zusammenspiel dieser Schwachstellen:
Simuliert – interner Vermerk zum Vorfall: