MCP-Protokoll: Chancen und Risiken für KI-Sicherheit

MÜNCHEN (IT BOLTWISE) – Die rasante Entwicklung der Künstlichen Intelligenz (KI) bringt nicht nur Fortschritte, sondern auch neue Herausforderungen mit sich. Jüngste Forschungen zeigen, wie das Model Context Protocol (MCP) sowohl für Angriffe als auch zur Verteidigung genutzt werden kann.

Die Künstliche Intelligenz (KI) entwickelt sich in rasantem Tempo weiter, und mit ihr die Technologien, die sie unterstützen. Eine der neuesten Entwicklungen ist das Model Context Protocol (MCP), das von Anthropic im November 2024 eingeführt wurde. Dieses Protokoll verbindet große Sprachmodelle (LLMs) mit externen Datenquellen und Diensten, um die Genauigkeit und Relevanz von KI-Anwendungen zu verbessern. Doch mit diesen Fortschritten kommen auch neue Risiken, wie eine aktuelle Studie von Tenable zeigt.

Das MCP folgt einer Client-Server-Architektur, die es ermöglicht, dass Hosts mit MCP-Clients wie Claude Desktop oder Cursor mit verschiedenen MCP-Servern kommunizieren. Diese Server bieten spezifische Werkzeuge und Fähigkeiten an. Während das offene Standardprotokoll eine einheitliche Schnittstelle bietet, um auf verschiedene Datenquellen zuzugreifen und zwischen LLM-Anbietern zu wechseln, birgt es auch Risiken wie übermäßige Berechtigungen und indirekte Prompt-Injection-Angriffe.

Ein Beispiel für eine solche Bedrohung ist ein MCP für Gmail, das mit Googles E-Mail-Dienst interagiert. Ein Angreifer könnte bösartige Nachrichten mit versteckten Anweisungen senden, die, wenn sie vom LLM verarbeitet werden, unerwünschte Aktionen auslösen, wie das Weiterleiten sensibler E-Mails an eine unter ihrer Kontrolle stehende Adresse. Darüber hinaus ist MCP anfällig für sogenannte Tool-Poisoning-Angriffe, bei denen bösartige Anweisungen in Werkzeugbeschreibungen eingebettet werden, die für LLMs sichtbar sind.

Ein weiteres Risiko besteht in der Möglichkeit von Rug-Pull-Angriffen, bei denen ein MCP-Tool zunächst harmlos funktioniert, sein Verhalten jedoch später durch ein zeitverzögertes bösartiges Update ändert. SentinelOne weist darauf hin, dass die Berechtigungen, die einem Tool gewährt werden, ohne erneute Aufforderung des Benutzers wiederverwendet werden können. Schließlich besteht auch die Gefahr der Kreuzkontamination zwischen Tools oder der Schattenwirkung von Tools über verschiedene Server hinweg, was zu neuen Wegen der Datenexfiltration führen kann.

Die neuesten Erkenntnisse von Tenable zeigen jedoch auch, dass das MCP-Framework genutzt werden kann, um ein Tool zu erstellen, das alle MCP-Tool-Funktionsaufrufe protokolliert, indem es eine speziell gestaltete Beschreibung enthält, die das LLM anweist, dieses Tool vor allen anderen Tools einzufügen. Dies bedeutet, dass die Prompt-Injection für einen guten Zweck manipuliert wird, nämlich um Informationen über das Tool zu protokollieren, das ausgeführt werden sollte, einschließlich des MCP-Servernamens, des MCP-Toolnamens und der Benutzeraufforderung, die das LLM veranlasste, dieses Tool auszuführen.

Ein weiterer Anwendungsfall besteht darin, eine Beschreibung in ein Tool einzubetten, um es in eine Art Firewall zu verwandeln, die das Ausführen nicht autorisierter Tools blockiert. Sicherheitsforscher Ben Smith betont, dass Tools in den meisten MCP-Host-Anwendungen eine ausdrückliche Genehmigung erfordern sollten. Dennoch gibt es viele Möglichkeiten, wie Tools verwendet werden können, um Dinge zu tun, die nicht strikt durch die Spezifikation verstanden werden. Diese Methoden basieren auf LLM-Prompting über die Beschreibung und Rückgabewerte der MCP-Tools selbst.

Die Offenlegung erfolgt zu einem Zeitpunkt, an dem Trustwave SpiderLabs enthüllt hat, dass das neu eingeführte Agent2Agent (A2A) Protokoll, das die Kommunikation und Interoperabilität zwischen agentischen Anwendungen ermöglicht, anfällig für neuartige Angriffe ist, bei denen das System so manipuliert werden kann, dass alle Anfragen an einen bösartigen KI-Agenten weitergeleitet werden, indem über seine Fähigkeiten gelogen wird.

A2A wurde von Google als Möglichkeit angekündigt, damit KI-Agenten über isolierte Datensysteme und Anwendungen hinweg arbeiten können, unabhängig vom verwendeten Anbieter oder Framework. Während MCP LLMs mit Daten verbindet, verbindet A2A einen KI-Agenten mit einem anderen. Sie sind also komplementäre Protokolle. Sicherheitsforscher Tom Neaves erklärt, dass, wenn ein Agent durch eine andere Schwachstelle kompromittiert wurde, der kompromittierte Knoten genutzt werden kann, um eine Agentenkarte zu erstellen und die Fähigkeiten zu übertreiben, sodass der Host-Agent diesen bei jeder Aufgabe auswählt und alle sensiblen Benutzerdaten sendet, die dann analysiert werden sollen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!