MCP-Sicherheit: Risiken, Architektur und Best Practices

Das Model Context Protocol, kurz MCP, verändert die Art und Weise, wie künstliche Intelligenz mit Unternehmenssystemen interagiert.

Anstatt für jede Datenquelle, Anwendung oder jedes Tool eine separate, benutzerdefinierte Integration zu erstellen, können Entwickler MCP verwenden, um KI-Anwendungen eine standardisierte Methode zur Verfügung zu stellen:

• Kontextdaten abrufen
• Verfügbare Tools entdecken
• Genehmigte Funktionen aufrufen
• mit externen Diensten interagieren
• Unterstützung mehrstufiger agentenbasierter Arbeitsabläufe

Dies macht MCP wertvoll für Copiloten, Programmierassistenten, Sicherheitsworkflows, Analysen, Kundensupport und autonome KI-Agenten.

Dadurch wird auch eine neue Sicherheitsgrenze geschaffen.

Ein MCP-fähiger Agent kann möglicherweise Dateien lesen, Datenbanken abfragen, APIs aufrufen, Datensätze aktualisieren, Scans auslösen, Tickets öffnen oder andere schwerwiegende Aktionen ausführen. Sind die umgebenden Kontrollmechanismen schwach, können Angreifer den Agenten manipulieren, seine Zugangsdaten missbrauchen, sensible Informationen offenlegen oder ihn dazu veranlassen, das falsche Tool aufzurufen.

MCP standardisiert die Konnektivität, sorgt aber nicht automatisch für deren Sicherheit.

Organisationen müssen das gesamte MCP-Ökosystem als Teil eines umfassenderen Ansatzes sichern. KI-Sicherheits- und Governance-Strategie, einschließlich der Host-Anwendung, Clients, Server, Tools, Ressourcen, Eingabeaufforderungen, Anmeldeinformationen, Transportkanäle, Unternehmensdaten und Agentenverhalten.

Was ist das Model Context Protocol?

Modellkontextprotokoll ist ein offenes Protokoll, das standardisiert, wie KI-Anwendungen Verbindungen zu externen Datenquellen und Tools herstellen.

MCP bietet eine gemeinsame Schnittstelle, über die eine KI-Anwendung verfügbare Funktionen ermitteln, Kontext abrufen und genehmigte Aktionen ausführen kann. Dadurch reduziert sich der Bedarf, für jedes Modell, Tool oder jede Datenquelle eine separate proprietäre Integration zu erstellen und zu pflegen.

Das Protokoll unterstützt Verbindungen zu:

• Dateisysteme und Dokumentenablagen
• Datenbanken und Datenplattformen
• Quellcode-Repositories
• Cloud-Dienste
• Geschäftsanwendungen
• Sicherheitsplattformen
• Ticketsysteme
• Enterprise-APIs

MCP ist besonders wichtig für autonome Agenten. Agenten benötigen mehr als ein Sprachmodell, um reale Aufgaben zu erledigen. Sie benötigen Kontext, Anmeldeinformationen, Werkzeuge und Berechtigungen zur Interaktion mit externen Systemen.

Jede neue Verbindung kann jedoch auch einen weiteren Weg zu sensiblen Daten oder privilegierten Aktionen eröffnen. MCP muss daher als Teil der Sicherheitsarchitektur für Anwendungen, Identitäten, Daten und KI der Organisation betrachtet werden.

Funktionsweise der MCP-Architektur

MCP verwendet eine Host-Client-Server-Architektur.

Ein Host kann mehrere MCP-Clients erstellen, wobei jeder Client eine Verbindung zu einem MCP-Server aufrechterhält. Die Sicherheit der gesamten Umgebung hängt von den vom Host, jedem Client und jedem verbundenen Server implementierten Sicherheitsmaßnahmen ab.

MCP-Host

Der MCP-Host ist die KI-Anwendung, die die Benutzererfahrung, das Sprachmodell, die MCP-Clients, die Berechtigungen und die Sicherheitsrichtlinien koordiniert.

Der Gastgeber entscheidet:

• welche Server sich verbinden können
• welche Werkzeuge und Ressourcen zur Verfügung stehen
• Welche Nutzereinwilligung ist erforderlich?
• Welche Aktionen erfordern eine Genehmigung?
• wie Kontext geteilt und isoliert wird

Sicherheitsbedenken: Ein Host, der zu viele Tools bereitstellt oder Aktionen mit hoher Auswirkung automatisch genehmigt, kann einem Agenten mehr Befugnisse geben, als seine Aufgabe erfordert.

MCP-Client

Ein MCP-Client läuft innerhalb des Hosts und hält eine Verbindung zu einem bestimmten MCP-Server aufrecht. Er verhandelt Berechtigungen, tauscht Protokollnachrichten aus, ruft Ressourcen ab, stellt Werkzeuge bereit und sendet Ergebnisse an den Host zurück.

Sicherheitsbedenken: Ein Client, der Serverantworten, Werkzeugdefinitionen, angeforderte Bereiche oder Ergebnisse nicht validiert, kann bösartige Anweisungen oder unsichere Inhalte in das Sprachmodell einschleusen.

MCP-Server

Ein MCP-Server stellt einem Client Ressourcen, Eingabeaufforderungen oder ausführbare Tools zur Verfügung. Server können lokal oder remote ausgeführt werden und Verbindungen zu Unternehmensdaten, Geschäftsanwendungen, APIs oder Sicherheitssystemen herstellen.

Sicherheitsbedenken: Ein MCP-Server kann Anmeldeinformationen speichern, privilegierte Funktionen bereitstellen, auf sensible Systeme zugreifen oder das Verhalten von Agenten beeinflussen. Unternehmen sollten Server als Komponenten von Produktionsanwendungen behandeln und nicht als einfache Plugins, die ohne Überprüfung installiert werden können.

Daten- und Transportschicht

MCP verwendet JSON-RPC-Nachrichten zum Austausch von Tools, Ressourcen, Eingabeaufforderungen, Anfragen, Benachrichtigungen und Ergebnissen.

Das aktuelle Protokoll definiert:

• stdio: Kommunikation mit einem lokalen Serverprozess über Standardeingabe und -ausgabe.
• Streambares HTTP: HTTP-basierte Kommunikation, die Fernverbindungen und optionales Streaming unterstützt.

Der Offizielle MCP-Transportspezifikation Erfordert Streamable-HTTP-Server zur Validierung eingehender Origin-Header. Es wird außerdem empfohlen, lokale Server an localhost zu binden und Verbindungen zu authentifizieren.

Sicherheitsbedenken: Offengelegte Endpunkte, schwache Authentifizierung, ungültige Ursprungsbehandlung oder durchgesickerte Bearer-Token können eine unautorisierte Interaktion mit einem MCP-Server ermöglichen.

Was sind MCP-Primitive?

MCP-Primitive definieren die Fähigkeiten, die Clients und Server einander anbieten können.

Serverseitige Primitive

Ressourcen Kontextbezogene Daten bereitstellen, wie z. B. Dateien, Datenbankeinträge, Schemas oder API-Antworten.

Werkzeuge Es handelt sich um ausführbare Funktionen, die Systeme abfragen, Datensätze ändern, Tickets erstellen, Scans starten oder andere Aktionen durchführen können.

Aufforderungen sind wiederverwendbare Vorlagen, die die Interaktion mit einem Sprachmodell strukturieren.

Clientseitige Funktionen

Probenahme ermöglicht es einem Server, über den Client die Vervollständigung eines Modells anzufordern.

Wurzeln Die Dateisystem- oder URI-Grenzen mitteilen, innerhalb derer ein Server operieren kann.

Ermittlung ermöglicht es einem Server, zusätzliche Informationen oder eine Bestätigung von einem Benutzer anzufordern.

Diese Funktionen sind zwar leistungsstark, doch ihren Beschreibungen und Ausgaben sollte man nicht automatisch vertrauen. Werkzeuganmerkungen sollten als nicht vertrauenswürdig behandelt werden, es sei denn, sie stammen von einem vertrauenswürdigen Server. Eingaben sollten validiert, Ausgaben bereinigt und die daraus resultierenden Aufrufe den Benutzern vor der Ausführung angezeigt werden.

Warum MCP-Sicherheit wichtig ist

Herkömmliche KI-Chat-Schnittstellen geben in erster Linie Text zurück.

MCP-fähige KI-Systeme können handeln.

Ein kompromittierter oder manipulierter Agent kann möglicherweise:

• Kundendatensätze abrufen
• Dateien ändern oder löschen
• Nachrichten senden
• Berechtigungen ändern
• Trigger-Workflows
• Code ausführen
• nachgelagerte APIs aufrufen
• mehrere Werkzeuge zu einer Aktionskette kombinieren

Eine böswillige Anweisung kann daher nicht nur den Text einer Musterantwort, sondern auch eine mit legitimen Unternehmenszugangsdaten durchgeführte Aktion beeinflussen.

Organisationen benötigen Verwaltung des Datenzugriffs um zu verstehen, welche Benutzer, Agenten, Anwendungen und Tools Zugriff auf sensible Unternehmensinformationen haben können.

Die Sicherheit von MCP erfordert außerdem Transparenz hinsichtlich:

• Welche Server und Tools sind verbunden?
• wer sie genehmigt hat und besitzt sie
• welche Identitäten und Anmeldeinformationen sie verwenden
• auf welche Daten sie zugreifen können
• welche Aktionen sie durchführen können
• wie diese Maßnahmen überwacht werden
• wie riskante Zugriffsrechte widerrufen werden können

Wesentliche Sicherheitsrisiken von MCP

1. Übermäßige Beauftragtenberechtigungen

Der schnellste Implementierungsweg könnte darin bestehen, einem MCP-Server weitreichende Berechtigungen zu erteilen oder eine große Sammlung von Tools bereitzustellen. Im Laufe der Zeit werden diese Berechtigungen können über die ursprünglichen Geschäftsanforderungen hinausgehen..

Ein überprivilegierter Agent könnte Folgendes tun:

• sensible Dateien lesen, das ist nicht nötig
• Datensätze ändern oder löschen
• administrative APIs aufrufen
• einzeln sichere Werkzeuge werden zu einem gefährlichen Arbeitsablauf kombiniert.
• Zugriff über ein Benutzer- oder Dienstkonto erben

KI-Agenten fungieren als nicht-menschliche Identitäten die sich bei Unternehmenssystemen authentifizieren, Berechtigungen erben und Aktionen im Namen von Benutzern oder Geschäftsprozessen ausführen.

Organisationen sollten jeden Agenten, Server, jedes Tool, jede Identität, jede Berechtigung und jede zugängliche Datenquelle erfassen, bevor sie die autonome Ausführung ermöglichen.

2. Prompt-Injektion und Kontextmanipulation

Sofortige Injektion Tritt auf, wenn bösartige oder nicht vertrauenswürdige Inhalte die Anweisungen eines KI-Systems beeinflussen.

In einem MCP-Workflow kann die Anweisung folgende Herkunft haben:

• ein als Ressource abgerufenes Dokument
• eine Webseite
• ein Datenbankeintrag
• eine Werkzeugantwort
• ein kompromittierter Server
• ein vom Benutzer übermitteltes Feld

Ein Angreifer könnte beispielsweise eine Anweisung in ein Dokument einfügen, die einen Agenten anweist, seine Beschränkungen zu ignorieren und sensible Datensätze an ein externes Ziel zu übertragen.

Dies wird als indirekte Prompt-Injektion bezeichnet, da der Angreifer Inhalte manipuliert, die der Agent später abruft, anstatt direkt mit dem Modell zu kommunizieren.

KI-gestützte Sicherheit, Inhaltsprüfung, Werkzeugbeschränkungen und Genehmigungen auf Aktionsebene tragen dazu bei, dass nicht vertrauenswürdige Kontexte nicht zu ausführbaren Anweisungen werden. Auch der Schutz vor Fehlalarmen ist ein wichtiger Bestandteil von AI TRiSM.

3. Anhaltende Kontextvergiftung

Kontextvergiftung tritt auf, wenn ein Angreifer eine Quelle kompromittiert, auf die ein Agent wiederholt angewiesen ist, wie zum Beispiel:

• ein Grundsatzdokument
• eine Wissensbasis
• Agentenspeicher
• eine Vektordatenbank
• ein Konfigurationseintrag
• eine vom Server bereitgestellte Eingabeaufforderung

Anders als bei einer einzelnen bösartigen Eingabeaufforderung kann ein vergifteter Kontext zukünftige Interaktionen beeinflussen, bis die betroffenen Informationen entdeckt und korrigiert werden.

Organisationen sollten die Herkunft ihrer Daten überprüfen, vertrauenswürdige Quellen auf Änderungen überwachen, den Zugriff auf abgerufene Daten einschränken und die Nachvollziehbarkeit von KI-Workflows gewährleisten. Diese Kontrollmechanismen sollten Teil eines umfassenderen Ansatzes sein. Sicherheitsstrategie für KI-Modelle.

4. Werkzeugvergiftung und Werkzeugschatten

Ein bösartiger oder kompromittierter Server kann ein Tool mit folgenden Funktionen offenlegen:

• ein irreführender Name
• eine irreführende Beschreibung
• verstecktes Verhalten
• unsichere Standardparameter
• Anweisungen zur Steuerung der Werkzeugauswahl

Tool Shadowing tritt auf, wenn ein unsicheres Werkzeug einem legitimen Werkzeug so ähnlich sieht, dass ein Host, ein Modell oder ein Benutzer die falsche Funktion auswählt.

Clients sollten Tool-Metadaten als nicht vertrauenswürdig behandeln, Änderungen an der Tool-Definition überwachen, sensible Eingaben vor der Ausführung anzeigen, Ausgaben validieren und für Folgeaktionen eine Bestätigung verlangen.

5. Token-Passthrough und Exposure

Ein Token-Passthrough liegt vor, wenn ein MCP-Server ein Token von einem Client akzeptiert und dasselbe Token an eine nachgelagerte API weiterleitet.

Die offizielle MCP-Autorisierungsspezifikation verlangt, dass Token für ihre beabsichtigte Zielgruppe validiert werden und verbietet ausdrücklich die Weitergabe von Token.

Ein MCP-Server, der einen nachgelagerten Dienst aufruft, sollte ein separates, speziell für diesen Dienst ausgestelltes Token erhalten. Andernfalls können Zugriffskontrollen, Ratenbegrenzungen, Überwachungs- und Prüfmechanismen umgangen werden.

Token können auch auf folgende Weise offengelegt werden:

• Debug-Protokolle
• URLs oder Abfragezeichenfolgen
• unsicherer lokaler Speicher
• Fehlermeldungen
• Werkzeugparameter
• nicht vertrauenswürdige nachgelagerte Dienste

Zugriffstoken sollten kurzlebig sein, sicher gespeichert, zielgruppengebunden, gegebenenfalls rotiert und nur über Autorisierungs-Header auf sicheren Kanälen gesendet werden.

6. Angriffe eines verwirrten Stellvertreters

Ein sogenannter „Confused Deputy“-Angriff liegt vor, wenn ein privilegierterer Dienst eine Aktion für einen weniger privilegierten Anfragenden ausführt, ohne die Berechtigung des Anfragenden ausreichend zu überprüfen.

Ein MCP-Proxy kann beispielsweise über Anmeldeinformationen für ein Drittsystem verfügen. Wenn er nur seine eigenen Berechtigungen anstatt der Berechtigungen des initiierenden Benutzers prüft, kann ein Angreifer ihn dazu bringen, Informationen abzurufen oder zu ändern, auf die er direkt keinen Zugriff hat.

Zu den Minderungsmaßnahmen gehören:

• Einwilligung pro Klient
• Validierung der exakten Umleitungs-URI
• Zustandsvalidierung
• Token-Publikumsprüfungen
• separate Downstream-Zugangsdaten
• Überprüfung der Berechtigung des initiierenden Benutzers

7. Bösartige oder kompromittierte MCP-Server

Ein MCP-Server kann absichtlich bösartig sein, nach der Bereitstellung kompromittiert oder durch eine anfällige Abhängigkeit geschwächt sein.

Ein bösartiger Server könnte:

• vergifteter Kontext
• falsche Darstellung des Werkzeugverhaltens
• Eingabeaufforderungen oder sensible Daten erfassen
• Daten exfiltrieren
• übermäßige Umfangsanforderungen
• Ergebnisse des Änderungswerkzeugs

Organisationen sollten ein genehmigtes Serverinventar führen und die Identität des Herausgebers, die Eigentumsverhältnisse, den Quellcode, die Abhängigkeiten, die Berechtigungen, die Speicherung von Anmeldeinformationen, das Netzwerkverhalten, die Protokollierung und die Aktualisierungsprozesse bewerten.

8. Lokales Server- und Lieferkettenrisiko

Lokale MCP-Server können über Paketmanager, Konfigurationsdateien, Quellcode-Repositories oder Ein-Klick-Setup-Workflows installiert werden.

Da sie auf dem Rechner des Benutzers ausgeführt werden, kann ein bösartiges Paket oder ein bösartiger Startbefehl die lokalen Berechtigungen des MCP-Clients erben.

Zu den potenziellen Risiken gehören:

• Ausführung von beliebigem Code
• Diebstahl von Zugangsdaten und Geschäftsgeheimnissen
• unbefugter Zugriff auf das Dateisystem
• Abhängigkeitskompromisse
• Datenexfiltration
• dauerhafter Endpunktzugriff

Organisationen sollten Herausgeber überprüfen, Installationsbefehle prüfen, genehmigte Versionen festlegen, Abhängigkeiten scannen, eine ausdrückliche Zustimmung verlangen und neue lokale Server mit minimalem Datei-, Anmeldeinformations- und Netzwerkzugriff in einer Sandbox betreiben.

9. Unzureichende menschliche Aufsicht

Nicht jeder Toolaufruf erfordert eine manuelle Genehmigung, aber Operationen mit hoher Auswirkung sollten nicht allein deshalb ausgeführt werden, weil ein Modell vorhersagt, dass sie angemessen sind.

Eine Genehmigung durch die zuständige Person oder eine politische Entscheidung sollte in Betracht gezogen werden für:

• Daten löschen
• Berechtigungen ändern
• Übertragung sensibler Daten
• Ausführung des Produktionscodes
• Finanztransaktionen durchführen
• Modifizierung kritischer Infrastruktur

Die Genehmigungsanforderungen sollten auf Risiko und Auswirkungen basieren. Organisationen können nutzen KI-Risikomanagement um festzustellen, welche Systeme und Maßnahmen einer stärkeren Überwachung bedürfen.

10. Unvollständige Protokollierung und Nachvollziehbarkeit

Agenten können mehrere Tools in schneller Folge aufrufen. Ohne detaillierte Telemetriedaten können Sicherheitsteams den Ablauf möglicherweise nicht rekonstruieren:

• Welcher Benutzer hat eine Anfrage initiiert?
• Welcher Akteur und welche Identität handelten?
• Welcher Auslöser beeinflusste die Handlung?
• welche Ressourcen abgerufen wurden
• Welches Werkzeug wurde ausgewählt?
• Welche Parameter wurden übermittelt?
• welche nachgelagerten Systeme sich geändert haben

Protokolle sollten die gesamte Aktivitätskette aufrechterhalten und gleichzeitig die unnötige Speicherung von Anmeldeinformationen, Geheimnissen und sensiblen Inhalten vermeiden.

Sicherheitsrisiken und Gegenmaßnahmen für MCP

MCP-Sicherheits-Best Practices

Starke Authentifizierung und Autorisierung erforderlich

Remote MCP-Server sollten jede Verbindung authentifizieren und überprüfen, ob die Token speziell für den jeweiligen Server ausgestellt wurden, der sie empfängt.

Für die HTTP-basierte Autorisierung verwenden Sie:

• zielgruppengebundene Zugriffstoken
• Autorisierungsheader statt Abfrageparameter
• PKCE zum Schutz von Autorisierungscodes
• HTTPS für Autorisierungsendpunkte
• validierte Umleitungs-URIs
• sichere Token-Speicherung
• kurze Token-Lebensdauern, wo angebracht

Die Autorisierung bleibt auf Protokollebene optional, da lokale oder eingeschränkte Bereitstellungen andere Sicherheitsmodelle verwenden können. Für vernetzte Server, die auf Unternehmenssysteme zugreifen, sollten starke Authentifizierung und Autorisierung jedoch als obligatorisch gelten.

Token-Passthrough eliminieren

Ein von einem MCP-Client empfangenes Token darf nicht direkt an eine nachgelagerte API weitergeleitet werden.

Der MCP-Server sollte das für ihn bestimmte Token validieren und sich separat beim nachgelagerten Dienst mit einem ordnungsgemäß ausgestellten Benutzerkonto authentifizieren. Dadurch bleiben Zielgruppengrenzen, Benutzereinwilligung, Ratenbegrenzungen, Anforderungsvalidierung, Nachvollziehbarkeit und dienstspezifische Richtlinien gewahrt.

Das Prinzip der minimalen Privilegien überall anwenden

Geringste Privilegien sollte gelten für:

• menschliche Nutzer
• KI-Agenten
• MCP-Clients und -Server
• Servicekonten
• Werkzeuge
• Downstream-APIs

Trennen Sie reine Lesefunktionen von Werkzeugen, die Daten verändern. Beschränken Sie die Werkzeuge auf bestimmte Ressourcen, Aktionen, Umgebungen und Zeiträume.

Regelmäßige Überprüfung geerbte Berechtigungen und veraltete oder unnötige Zugriffsrechte entfernen.

Werkzeuge validieren und risikobasierte Genehmigung einfordern

Server sollten jede Eingabe anhand eines strengen Schemas überprüfen und vor der Ausführung eine Autorisierung erzwingen.

Kunden sollten:

• Werkzeugdefinitionen und Herausgeber überprüfen
• Überwachung von Beschreibungen und Schemas auf Änderungen
• Sensible Eingaben vor der Ausführung anzeigen
• Ergebnisse bereinigen und validieren
• Zeitlimits und Ressourcenbeschränkungen festlegen
• Verwendung des Protokollierungstools

Für Aktionen mit hohem Risiko können außerdem eine Bestätigung durch den Benutzer, die Genehmigung durch den Manager, eine Richtlinienbewertung, eine Zwei-Personen-Autorisierung oder eine zusätzliche Authentifizierung erforderlich sein.

Neue Server in einer Sandbox einrichten und Sitzungen schützen

Testen Sie neue oder nicht vertrauenswürdige MCP-Komponenten in isolierten Umgebungen mit eingeschränkten Bedingungen:

• Netzwerkverbindungen
• Dateisystemzugriff
• Umgebungsvariablen
• Zugangsdaten
• nachgelagerte Werkzeuge
• Produktionsdaten

Bei lokalen HTTP-Servern muss eine Bindung an localhost und eine Validierung der Origin-Header erfolgen.

Server sollten jede eingehende Anfrage authentifizieren und Sitzungs-IDs nicht als Identitätsnachweis verwenden. Generieren Sie unvorhersehbare IDs, binden Sie Sitzungen an authentifizierte Benutzer, lassen Sie diese ordnungsgemäß ablaufen und schützen Sie sich vor Replay- und Event-Injection-Angriffen.

Schützen Sie sensible Daten, bevor Sie den Kontext offenlegen.

Bevor Sie den Unternehmenskontext über MCP verfügbar machen, sollten Sie Folgendes verstehen:

• Welche Daten existieren
• wo sensible Daten gespeichert sind
• welche Ressourcen es offenlegen
• welche Agenten es abrufen können
• ob der Zugang notwendig ist
• wie die Informationen nach dem Abruf verwendet werden

Datenermittlung und -klassifizierung Den Kontext bereitstellen, der erforderlich ist, um den Zugriff entsprechend der Sensibilität, den Vorschriften, den Eigentumsverhältnissen und dem Geschäftszweck einzuschränken.

MCP-Laufzeitaktivität überwachen

Führen Sie ein Verzeichnis der Hosts, Clients, Server, Tools, Ressourcen, Identitäten, Anmeldeinformationen und Berechtigungen.

Überwachen Sie Folgendes:

• ungewöhnliche Werkzeugketten
• unerwarteter Zugriff auf sensible Daten
• neue oder nicht genehmigte Server
• geänderte Werkzeugbeschreibungen
• Rechteausweitung
• wiederholte Autorisierungsfehler
• Aktivitäten außerhalb des vom Agenten vorgesehenen Zwecks

Erstellen Sie einen MCP-Notfallplan

Die Verfahrensabläufe bei Vorfällen sollten Folgendes umfassen:

• Widerruf der Server- und Agentenzugangsdaten
• Deaktivierung kompromittierter Werkzeuge
• böswillige Server trennen
• Isolierung betroffener Wirte
• Überprüfung des Verlaufs von Eingabeaufforderungen und Werkzeugaufrufen
• Identifizierung offengelegter Daten
• Wiederherstellung eines vertrauenswürdigen Kontextes
• Dokumentation der Sanierungsmaßnahmen

Wie BigID den Zugriff auf Enterprise MCP sichert

Der MCP-Server von BigID ermöglicht KI-Agenten einen kontrollierten Zugriff auf Unternehmensdatenkontext und -informationen.

Anstatt ungeschützte Rohdaten von Unternehmen offenzulegen, stellt BigID autorisierten Agenten Metadaten und Erkenntnisse wie die folgenden zur Verfügung:

• Datenklassifizierungen
• Empfindlichkeit
• Abstammung
• Eigentum
• Risiko
• Selbstbehalt
• Compliance-Kontext
• Empfehlungen zur Sanierung

BigID nutzt tokenbasierte Authentifizierung und rollenbasierte Zugriffskontrolle, sodass Agenten nur die Metadaten und Erkenntnisse erhalten, die dem authentifizierten Benutzer zur Verfügung stehen. Dadurch werden bestehende Sicherheits- und Governance-Kontrollen in MCP-fähige Workflows integriert.

Mit BigID MCP Server können Unternehmen:

• KI-Agenten mit verwalteten Unternehmensdaten verbinden
• Datenkontext mithilfe natürlicher Sprache abfragen
• Risiken im Zusammenhang mit sensiblen Daten aufdecken
• Kontextbezogene Berichte und Dashboards erstellen
• Datenrichtlinien in KI-Workflows erweitern
• rollenbasierte Zugriffsbeschränkungen beibehalten
• Unterstützung von überprüfbaren KI-gestützten Abläufen

Durch Headless BigID, Genehmigte KI-Workflows können außerdem über APIs und MCP-Endpunkte gesteuerte Erkennungs-, Klassifizierungs-, Zugriffskontroll-, Kennzeichnungs-, Schwärzungs- und Behebungsfunktionen aufrufen, wobei sie weiterhin den RBAC- und Audit-Kontrollen unterliegen.

Das Fazit

MCP kann KI-Anwendungen nützlicher machen, indem es sie mit Unternehmenswerkzeugen und -daten verbindet.

Es kann KI-Systemen auch Zugang zu sensiblen Ressourcen und weitreichenden Konsequenzen verschaffen.

Die Sicherung von MCP erfordert mehr als die Verschlüsselung der Verbindung. Unternehmen müssen die Server, Tools, Identitäten, Berechtigungen, Token, Daten, Eingabeaufforderungen und das autonome Verhalten im Zusammenhang mit jeder Integration kontrollieren.

Die stärksten MCP-Sicherheitsprogramme kombinieren:

• genehmigte Server- und Werkzeuginventare
• starke Authentifizierung und Autorisierung
• Zielgruppenbezogene Anmeldeinformationen
• Zugriff mit geringsten Berechtigungen
• prompter und kontextbezogener Schutz
• menschliche Aufsicht
• kontinuierliche Laufzeitüberwachung
• datenbasierte Richtliniendurchsetzung

MCP sollte KI-Agenten den Kontext geben, den sie benötigen, und nicht uneingeschränkten Zugriff auf alles, was dem Unternehmen gehört.

Häufig gestellte Fragen zur MCP-Sicherheit

Was ist MCP-Sicherheit?

MCP-Sicherheit ist die Praxis, die Hosts, Clients, Server, Tools, Ressourcen, Anmeldeinformationen, Daten, Sitzungen und Agentenaktionen zu schützen, die an Model Context Protocol-Integrationen beteiligt sind.

Ist das Model Context Protocol sicher?

MCP bietet zwar ein standardisiertes Verbindungsprotokoll, garantiert aber allein keine Sicherheit. Sichere Implementierungen erfordern Authentifizierung, Autorisierung, das Prinzip der minimalen Berechtigungen, Tool-Validierung, Datenkontrollen, Überwachung und Benutzereinwilligung.

Was sind die größten Sicherheitsrisiken von MCP?

Zu den Hauptrisiken gehören prompte Injektion, Kontextvergiftung, übermäßige Agentenberechtigungen, bösartige Server, Tool-Vergiftung, Token-Offenlegung, Token-Passthrough, Confused Deputy-Angriffe, Kompromittierung der Lieferkette und unzureichende Überwachung.

Was ist Token-Passthrough in MCP?

Token-Passthrough tritt auf, wenn ein MCP-Server ein Client-Token akzeptiert und dasselbe Token an einen nachgelagerten Dienst weiterleitet. Die MCP-Spezifikation verbietet dieses Vorgehen, da es die Zielgruppenvalidierung, Sicherheitskontrollen, Einwilligung und Nachvollziehbarkeit schwächt.

Wie verbessert das Prinzip der minimalen Berechtigungen die MCP-Sicherheit?

Das Prinzip der minimalen Berechtigungen beschränkt jeden Benutzer, Agenten, Server und jedes Tool auf die Daten und Aktionen, die für eine genehmigte Aufgabe erforderlich sind. Dadurch wird der potenzielle Schaden durch kompromittierte Anmeldeinformationen, schädliche Eingabeaufforderungen und unbeabsichtigte autonome Aktionen reduziert.

Wie können Organisationen die sofortige MCP-Injektion verhindern?

Organisationen können das Risiko von Prompt-Injection reduzieren, indem sie externe Inhalte als nicht vertrauenswürdig behandeln, Anweisungen von Daten trennen, den abgerufenen Kontext überprüfen, den Zugriff auf Tools einschränken, Ausgaben validieren und für sensible Aktionen eine Genehmigung verlangen.

Was ist Werkzeugvergiftung in MCP?

Tool-Poisoning liegt vor, wenn ein bösartiger oder kompromittierter Server irreführende Tool-Namen, -Beschreibungen, -Parameter, -Anmerkungen oder -Verhaltensweisen bereitstellt, um eine KI-Anwendung dazu zu verleiten, eine unsichere Funktion aufzurufen.

Ist MCP sicher für den Unternehmenseinsatz?

MCP kann in Unternehmensumgebungen sicher eingesetzt werden, wenn Organisationen Server genehmigen und inventarisieren, strenge Identitätskontrollen durchsetzen, Werkzeugberechtigungen einschränken, sensible Daten schützen, Anmeldeinformationen validieren, Laufzeitaktivitäten überwachen und eine Aufsicht über Folgeaktionen vorschreiben.

Worin unterscheidet sich die MCP-Sicherheit von der API-Sicherheit?

Die traditionelle API-Sicherheit konzentriert sich hauptsächlich auf Endpunkte, Authentifizierung, Autorisierung, Eingabevalidierung und Datenverkehrsschutz. Die MCP-Sicherheit muss zusätzlich die modellgetriebene Werkzeugauswahl, nicht vertrauenswürdige abgerufene Kontexte, die Eingabeaufforderung, autonome Aktionsketten, die dynamische Fähigkeitserkennung und Agentenidentitäten berücksichtigen.

Wie unterstützt BigID die MCP-Sicherheit?

BigID ermöglicht KI-Agenten einen kontrollierten Zugriff auf Unternehmensdatenkontext und Metadaten und setzt dabei tokenbasierte Authentifizierung, rollenbasierte Zugriffskontrollen, Sensitivitätsanalysen, Richtlinienkontrollen und bestehende Datenverwaltungsberechtigungen durch.