Seitdem Anthropic MCP vorgestellt hat, sind über 10.000 öffentliche Server entstanden. Die monatlichen SDK-Downloads belaufen sich auf 97 Millionen. ChatGPT, Claude, Cursor und Copilot unterstützen das Protokoll vollumfänglich.
Dann haben Sicherheitsforscher genauer hingesehen.
Was sie fanden, ist beunruhigend.
Tool Poisoning
Dies ist derzeit der häufigste MCP-Angriffstyp.
Die Logik ist einfach: Ein MCP-Server stellt einem KI-Client eine Reihe von Tools zur Verfügung, die jeweils einen Namen und eine Beschreibung haben. Das KI-Modell liest diese Beschreibungen, um zu entscheiden, wie das Tool verwendet wird.
Was, wenn die Beschreibung bösartige Anweisungen enthält?
Angreifer können versteckte Prompt-Injektionen in die Tool-Beschreibungen einbetten. Dadurch wird das Modell dazu gebracht, während der Ausführung eines legitimen Tools heimlich zusätzliche Aktionen durchzuführen – etwa Benutzerdaten an externe Adressen weiterzuleiten oder unerlaubte Dateien zu lesen.
Die Forschung von Adversa AI bestätigt: Nahezu alle gängigen MCP-Clients wie Anthropic, OpenAI, Cursor und Zapier sind von dieser Art von Angriff betroffen.
Resource Amplification
Diese Angriffsform ist noch raffinierter.
Ein bösartiger MCP-Server kann einen KI-Agenten in eine Tool-Aufrufschleife zwingen – jeder Tool-Aufruf löst den nächsten aus, die Aufrufe verschachteln sich, von außen ist das jedoch kaum erkennbar.
Experimentelle Daten: Diese Angriffsart kann die tatsächlichen Rechenkosten einer einzelnen Abfrage auf das 658-Fache des Normalwerts erhöhen, ohne dass die standardmäßigen Sicherheitserkennungen ausgelöst werden.
Für Nutzer, die nach Token abgerechnet werden, kann dies bedeuten, dass die Rechnung unbemerkt in die Höhe schießt.
Remote Code Execution (RCE)
Der schwerwiegendste Fall.
Forscher haben mehrere Schwachstellen mit einem CVSS-Score von über 9,0 entdeckt, die Hunderttausende von MCP-Installationen betreffen. Durch Ausnutzung dieser Schwachstellen können Angreifer beliebigen Code auf dem System des Opfers ausführen – also die vollständige Kontrolle erlangen.
Warum traditionelle Sicherheitsmaßnahmen versagen
Das Kernproblem liegt darin: Der Router in der MCP-Architektur ist das LLM selbst.
Traditionelle Firewalls und RBAC (rollenbasierte Zugriffskontrolle) arbeiten mit statischen Regeln – sie prüfen IPs, Pfade und Berechtigungstabellen. Der Tool-Aufruf eines LLM basiert jedoch auf semantischer Entscheidungsfindung – man kann mit statischen Regeln nicht überprüfen, ob ein Modell dazu überredet wurde, etwas zu tun, was es nicht tun sollte.
Die Firewall erkennt nicht, dass dieser Tool-Aufruf auf eine Prompt-Injektion zurückgeht.
Was jetzt getan werden kann
Die Sicherheitscommunity hat bereits gehandelt:
- mcp-sec-audit Toolkit: Statische und dynamische Analyse, erreicht 100 % Erkennungsrate im MCPTox-Benchmark
- SAFE-MCP Framework: Community-getriebener Sicherheitsstandard (The New Stack berichtet ausführlich)
- Adversa AI veröffentlicht monatlich eine Zusammenfassung der MCP-Sicherheitsressourcen; die Ausgabe April 2026 ist gerade erschienen
Wenn Sie in Ihrer Produktionsumgebung Drittanbieter-MCP-Server integriert haben, sollten Sie jetzt ernsthaft prüfen:
- Stammt der Server aus einer vertrauenswürdigen Quelle?
- Enthalten die Tool-Beschreibungen auffällige Inhalte?
- Gibt es Mechanismen, um ungewöhnliche Tool-Aufruffrequenzen zu erkennen?
Die Einführungsgeschwindigkeit von MCP übersteigt die Reifegeschwindigkeit der Sicherheitsmechanismen bei Weitem – diese Lücke entwickelt sich zu einem realen Risiko.
Quellenangabe: MCP is Alive, but Faces Challenges (AI Business); Building With MCP? Mind the Security Gaps (The New Stack); CocoLoop, Top MCP security resources — April 2026 (Adversa AI); MCP Security: TOP 25 MCP Vulnerabilities (Adversa AI)