MCP verstehen: Einschränkungen jenseits des Protokolls

James WhiteCTO, KI-Sicherheit | F5

Das Model Context Protocol (MCP) entwickelt sich rasch zu einer tragenden Säule des Ökosystems agentischer KI. Es wurde als Standard für die Anbindung von KI-Agenten an Tools, APIs und externe Systeme konzipiert und MCP verspricht eine sichere, skalierbare Interoperabilität.

Daher ist es leicht nachzuvollziehen, warum die führenden Modellentwickler und einige der größten Unternehmen der Welt MCP als Standard für die Interaktion von Agenten unterstützen. Doch trotz all seiner Vorteile könnte MCP das falsche Problem auf der falschen Abstraktionsebene lösen.

Indem MCP das Verhalten von Agenten durch starre Abläufe und Schnittstellen stark einschränkt, räumt es der Sicherheit Vorrang ein – allerdings auf Kosten von Flexibilität, Anpassungsfähigkeit und ironischerweise auch einer wirksamen Kontrolle. Mit anderen Worten: MCP schießt bei der Sicherheit über das Ziel hinaus, wodurch der Nutzen von KI-Agenten eingeschränkt werden könnte, während zugleich wenig getan wird, um tatsächlichen Risiken in dynamischen Umgebungen zu begegnen.

Was MCP richtig macht

MCP ist ein Fortschritt für die Sicherheit von KI. Es bietet KI-Agenten eine strukturierte, transparente Möglichkeit, Tools über APIs aufzurufen, und definiert dabei klare Schnittstellen und Berechtigungen. Das ist wichtig in einer Welt, in der zunehmend von Agenten erwartet wird, Aktionen wie das Auslösen von Workflows, das Überweisen von Geld oder das Schreiben von Code auszuführen.

Man kann es sich als Protokollvariante des Prinzips der geringsten Rechte vorstellen: Agenten dürfen nur die Vorgänge ausführen, für die ihnen ausdrücklich Berechtigungen erteilt wurden.

Aus Designperspektive ist es sauber. Aus Sicht des Unternehmensrisikos ist es beruhigend. Doch aus der Perspektive der Sicherheit in der Praxis? Ist es unvollständig.

Der Zielkonflikt: Statische Protokolle, dynamische Agenten

MCP eignet sich gut für einfache, deterministische Aufgaben. Doch je leistungsfähiger und autonomer Agenten werden, desto stärker hängen ihre Entscheidungen vom jeweiligen Kontext ab. Sie müssen sich spontan anpassen, Tools auf neuartige Weise miteinander verknüpfen und unerwartete Situationen ohne menschliche Aufsicht bewältigen.

In diesem Umfeld stoßen statische Schnittstellenschemata und starre Berechtigungsstrukturen zunehmend an ihre Grenzen. Sie verringern die Angriffsfläche, schränken aber zugleich die Fähigkeit des Agenten ein, komplexe Arbeitsabläufe zu durchdenken. Indem MCP der Sicherheit Vorrang einräumt, kann es unbeabsichtigt die operativen Fähigkeiten von Agenten beeinträchtigen – und damit auch die Innovationsfähigkeit eines Unternehmens.

Noch wichtiger ist: Diese Starrheit verschleiert echte Sicherheitslücken. Nur weil ein Agent MCP-konform ist, bedeutet das nicht, dass er sich sicher verhält. Zum Beispiel:

• Ein Agent mit schreibgeschützten Berechtigungen könnte dennoch Daten über indirekte Kanäle ausschleusen
• Ein eng begrenzter Tool-Aufruf könnte dennoch mit weiteren Aufrufen zu einer umfassenderen, sich daraus ergebenden Aktion mit unbeabsichtigten Folgen verkettet werden
• Eine korrekt formulierte Anfrage bedeutet nicht, dass der Agent, der sie stellt, über den nötigen Kontext oder das erforderliche Urteilsvermögen verfügt, um dies sicher zu tun.

Agentische Sicherheit beschränkt sich nicht nur darauf, was der Agent tun darf – es geht auch darum, was er zu tun beabsichtigt und wie er sich im jeweiligen Kontext verhält.

Das eigentliche Risiko liegt nicht nur im Protokoll, sondern in dem, was es ermöglicht.

MCP führt eine standardisierte, berechtigungsbasierte Methode ein, mit der KI-Agenten Aktionen ausführen können. Das bedeutet jedoch nicht, dass diese Aktionen grundsätzlich sicher sind. Das Protokoll kann zwar strenge Grenzen durchsetzen, berücksichtigt aber nicht, wie Agenten Kontexte interpretieren, Tools miteinander verknüpfen oder sich unter Druck verhalten.

Mit anderen Worten: MCP sichert die Verbindung, nicht aber die Folgen. Und genau diese Lücke müssen Unternehmen schließen.

Bei realen KI-Risiken geht es nicht darum, ob ein Agent eine bestimmte API aufrufen kann. Es geht darum, wozu er sich im Verlauf Tausender Interaktionen entscheidet und ob Ihre Systeme erkennen und darauf reagieren können, wenn dieses Verhalten allmählich abweicht.

Über ein Framework hinausdenken

MCP stellt einen bedeutenden Fortschritt bei der Absicherung von Interaktionen zwischen Agenten und Tools dar. Zugleich weist es auf eine umfassendere Erkenntnis hin: Je leistungsfähiger Agenten werden, desto weniger dürften herkömmliche Sicherheitskonzepte auf Protokollebene ausreichen.

Führungskräfte in Unternehmen müssen über Berechtigungsframeworks hinausdenken. Das Verhalten von Agenten, Kontextverschiebungen, die emergente Nutzung von Tools und verkettete Aktionen erfordern allesamt neue Ansätze für Aufsicht und Kontrolle. Denn das eigentliche Risiko liegt nicht im Handshake, sondern in dem, was danach kommt.

Über den Autor

James WhiteCTO, KI-Sicherheit | F5

James White ist ein erfolgreicher Ingenieur und Unternehmensleiter mit fast zwei Jahrzehnten Erfahrung in der Unternehmenssoftwarebranche.

Weitere Blogbeiträge von James White