Kein gewöhnlicher Bug
Am 15. April veröffentlichte das Sicherheitsunternehmen OX Security einen Bericht zur Lieferkettensicherheit, der sich auf das MCP-Protokoll von Anthropic konzentriert.
Anders als bei typischen Schwachstellenberichten liegt das Problem diesmal auf der Design-Ebene des Protokolls, nicht in einem fehlerhaften Paket einer bestimmten Version. Einfach ausgedrückt: Jeder, der Anwendungen auf der STDIO-Transportschicht (Standard-Ein-/Ausgabe) von MCP aufbaut, kann unwissentlich eine Schwachstelle zur Remote-Code-Ausführung (RCE) erben.
Betroffener Umfang:
- Über 150 Millionen Downloads betroffen
- Rund 200.000 Server mit potenziellem Risiko
- 11 CVE zugewiesen, die wichtige Tools wie LiteLLM, Windsurf, Flowise und LangChain abdecken
- Forscher bestätigten erfolgreiche Befehlsausführung auf 6 realen Produktionsplattformen
Wie der Angriff eindringt
OX Security fasste 4 Angriffspfade zusammen:
Pfad 1: Direkte Injektion
Viele MCP-Plattformen erlauben Benutzern, MCP-Server über JSON-Konfigurationen hinzuzufügen. Angreifer injizieren direkt bösartige OS-Befehle in die Felder command und args, umgehen StdioServerParameters und führen sie als untergeordnete Prozesse aus.
Pfad 2: Umgehung der Whitelist
Einige Plattformen haben Schutzmaßnahmen implementiert, die Befehle auf python, npm oder npx beschränken. Forscher fanden jedoch einen Weg, dies zu umgehen: durch die Verwendung von npx -c <bösartiger Befehl>, wobei ein Parameter-Flag die Whitelist umgeht.
Pfad 3: Zero-Click-Prompt-Injektion
In IDEs wie Windsurf kann der KI-Assistent die JSON-Konfigurationsdatei von MCP ohne explizite Benutzererlaubnis ändern. Angreifer nutzen Prompt-Injektion, um die KI zur automatischen Registrierung eines bösartigen STDIO-Servers zu veranlassen.
Pfad 4: MCP-Registry-Vergiftung
Forscher untersuchten 11 große MCP-Server-Registries, von denen 9 erfolgreich vergiftet wurden – selbst sicherheitsbewusste Entwickler könnten beim Installieren "offiziell empfohlener" Tools hereingelegt werden.
Wer ist betroffen
Nahezu die gesamte KI-Entwicklungstoolkette ist abgedeckt:
- Entwicklungstools: Windsurf (CVE-2026-30615), Claude Code, GitHub Copilot, Gemini-CLI, Cursor
- KI-Frameworks: LangChain, FastMCP, browser-use
- KI-Anwendungen: LiteLLM (CVE-2026-30623), Flowise (CVE-2026-40933), DocsGPT (CVE-2026-26015)
- Cloud-Infrastruktur: AWS Lambda MCP-Runner, NVIDIA NeMo Agent Toolkit
LiteLLM und Bisheng haben bereits Patches veröffentlicht. Der Reparaturstatus von LangFlow, LangBot, Agent Zero und anderen Projekten wird noch verfolgt.
Anthropics Antwort: Erwartetes Verhalten
Nachdem die Forscher ihre Ergebnisse erhalten hatten, informierten sie Anthropic gemäß dem verantwortungsvollen Offenlegungsprozess und schlugen eine Lösung auf Protokollebene vor – wenn umgesetzt, könnte sie Millionen nachgelagerter Benutzer sofort schützen.
Anthropics Antwort war: Dieses Verhalten sei "erwartetes Verhalten" und werde nicht behoben.
Die offizielle Aussage lautet: Der STDIO-Transport von MCP sollte in einer Sandbox-Umgebung wie Docker ausgeführt werden, daher stelle dieses Verhalten "keine Bedrohung dar".
OX Security widersprach in seinem Bericht ausdrücklich: Selbst in einer Sandbox könnten Angreifer es nutzen, um:
- Kryptowährung zu schürfen
- Den Server als Proxy-Sprungbrett zu verwenden
- Rechenressourcen kostenlos zu nutzen
"Dies ist eine systemische Schwachstelle auf der Kernebene des MCP-Protokolls, kein Bug in einer bestimmten Implementierung." – OX Security Forschungsbericht
Der Zeitpunkt der Veröffentlichung dieses Berichts ist interessant: Im gleichen Zeitraum bewarb Anthropic aktiv die Cybersicherheitsfähigkeiten von Claude Mythos und betonte die bahnbrechenden Fortschritte der KI bei der Schwachstellensuche. Einerseits zu sagen, KI könne Ihnen helfen, Schwachstellen zu finden, andererseits einen Designfehler im eigenen Protokoll als "erwartetes Verhalten" zu bezeichnen – das ist etwas widersprüchlich.
Warum das schwerwiegend ist
Das Python-SDK des MCP-Protokolls hat über 160 Millionen Downloads pro Monat und ist zum De-facto-Standard für die Integration von KI-Tools geworden. Das Problem ist: Je erfolgreicher, desto größer die Auswirkungen dieses Designfehlers.
Jeder MCP-Server, der die STDIO-Transportschicht integriert hat, jede KI-Anwendung, die auf LangChain oder LiteLLM angewiesen ist, steht im Schatten dieser Schwachstelle. Anthropics Entscheidung, nicht zu reparieren, bedeutet, die Verantwortung für die Behebung vollständig auf die nachgelagerten Entwickler im Ökosystem abzuwälzen.
Wenn Sie MCP-Dienste in der Produktion betreiben, lautet der Rat von OX Security:
- Überprüfen Sie, ob Ihre MCP-Konfiguration externen Benutzern das Hinzufügen von Servern erlaubt
- Schränken Sie den STDIO-Transport auf eine Whitelist vertrauenswürdiger Befehle ein
- Installieren Sie keine Tools aus nicht verifizierten MCP-Registries
- Stellen Sie sicher, dass Ihr MCP-Server in einer wirklich isolierten Sandbox läuft
MCP ist ein gutes Protokoll, aber Sicherheit fällt nicht vom Himmel. Dass Anthropic sich entscheidet, das Problem nicht auf Protokollebene zu lösen, bedeutet, dass diese Bombe weiterhin im Ökosystem liegt und darauf wartet, dass ahnungslose Entwickler darauf treten.
Quellenangabe: MCP Supply Chain Advisory: RCE Vulnerabilities Across the AI Ecosystem (OX Security); Anthropic MCP Design Vulnerability Enables RCE, Threatening AI Supply Chain (The Hacker News); CocoLoop; Systemic Flaw in MCP Protocol Could Expose 150 Million Downloads (Infosecurity Magazine); Critical Anthropic's MCP Vulnerability Enables Remote Code Execution Attacks (CybersecurityNews)