Das versteckte Risiko in KI-Konnektoren

Der gefährliche Teil eines KI-Konnektors muss nicht der Code sein, den Ihr Team geprüft hat. Er kann in einem unscheinbaren Satz stecken, in der Beschreibung des Tools, der dem Agenten sagt, was er zu befolgen hat.

Das ist die unbequeme Lehre aus einer MCP-Sicherheitsanalyse, die am 5. Mai 2026 veröffentlicht wurde. Ein Threat-Modeling-Paper im Journal of Cybersecurity and Privacy kam zu dem Ergebnis, dass Tool Poisoning die häufigste und folgenreichste clientseitige Schwachstelle in sieben großen MCP-Clients war. Nicht Ransomware, nicht spektakuläre Schadsoftware, sondern Metadaten: Beschreibungen, Schemata, Beispiele und Anweisungen.

MCP, das Model Context Protocol, wird zur Infrastruktur, über die KI-Agenten mit Kalendern, Datenbanken, Repositories, Browsern und internen Werkzeugen sprechen. Das Versprechen ist verständlich: Das Modell bekommt nützliche Hände. Das Risiko ist ebenso verständlich: Jede neue Hand kann dem Agenten etwas zuflüstern.

Die Schwachstelle entsteht vor dem ersten API-Aufruf

Tool Poisoning funktioniert, weil Agenten nicht nur die Anfrage des Nutzers sehen. Sie verarbeiten auch Tool-Beschreibungen, Schemas, Namen, Beispiele und Hinweise, die erklären, wie ein Konnektor genutzt werden soll. Enthält diese Ebene eine bösartige Anweisung, kann der Agent sie als operativen Kontext behandeln.

Damit verschiebt sich die übliche Sicherheitsgeschichte. Ein Unternehmen kann einen Konnektor freigeben, weil der Endpoint normal aussieht, der OAuth-Umfang vernünftig wirkt und der Anbieter seriös erscheint. Der Angriff sitzt währenddessen in der weichen Schicht um das Tool herum: in den Worten, die das Verhalten des Modells prägen.

Wer bereits gelesen hat, wie hidden web prompts hijack AI browser agents, erkennt das Muster. Nur rückt es näher an den Unternehmensalltag. Der Prompt wartet nicht mehr auf irgendeiner Webseite. Er steckt in dem Konnektor, den das Team absichtlich installiert hat.

Die Lieferkette besteht nun auch aus Anweisungen

Digitale Lieferkette bedeutete lange: Pakete, Abhängigkeiten, Build-Skripte und Container. KI-Agenten fügen eine ungewohnte Kategorie hinzu: vertrauenswürdige Anweisungen aus nur halb vertrauenswürdigen Werkzeugen.

Stackloks Überblick über das MCP-Ökosystem 2026 zeigt die Größenordnung. In einem Scan von 15.923 MCP-Servern und AI Skills fand das Unternehmen nach eigenen Angaben 757 Fälle, in denen API-Schlüssel über Tool-Ausgaben durchsickerten; 36% erhielten eine mangelhafte Bewertung. Die Richtung ist klar: Die Hygiene der Konnektoren hält mit ihrer Einführung nicht Schritt.

Der Bezug zu AI agent servers that are hackable and rarely checked liegt nahe. Doch die Pointe ist eine andere: exponierte Server sind ein Perimeterproblem; vergiftete Metadaten sind ein Problem der Vertrauensgrenze.

Die langweilige Governance zählt

IBM X-Force warnte im April 2026, dass die Einführung agentischer KI schneller voranschreitet als das Schwachstellenmanagement, während Agenten mehr Autonomie und Tool-Zugriff erhalten. Das klingt nach Konzernsprache, doch die praktische Antwort beginnt mit einfachen Fragen.

Bevor ein MCP-Server echte Zugangsdaten erhält, sollten Teams klären: Wer darf Beschreibung, Schema oder Beispiele nach der Freigabe ändern? Zeigt der Client Änderungen an Metadaten vor dem nächsten Lauf an? Dürfen Tool-Ausgaben Geheimnisse oder systemähnliche Anweisungen enthalten? Kann der Agent dieses Tool ohne frische Bestätigung aufrufen? Gibt es Protokolle, die zeigen, welches Tool eine sensible Handlung beeinflusst hat?

Das ist kein Grund zur Panik. Es ist ein Grund, Konnektor-Text als ausführbaren Einfluss zu behandeln. Wer Code prüft, aber Tool-Beschreibungen ignoriert, kontrolliert das Schloss und übersieht den Zettel am Schlüssel.

Was Teams diese Woche tun können

Beginnen Sie mit einem MCP-Inventar. Listen Sie jeden Konnektor, die erreichbaren Zugangsdaten, den zuständigen Eigentümer und die Frage, ob das Tool nur Daten liest oder auch Handlungen auslösen kann. Danach trennen Sie reine Lesewerkzeuge von Tools, die Nachrichten senden, Datensätze ändern, Tickets erstellen, Geld bewegen oder Produktionssysteme berühren.

Bei handlungsfähigen Tools gehört menschliche Bestätigung an den Punkt der Folge, nicht nur in die Installation. Ein vergifteter Konnektor ist besonders riskant, wenn eine einmalige Freigabe dauerhaft Autorität verleiht.

Schließlich lohnt eine Lehre aus prompt injection defense programs: Rechnen Sie damit, dass Anweisungen kollidieren. Systemprompt, Nutzer, Webseite, Konnektor und Tool-Ausgabe können um Autorität konkurrieren. Die Architektur muss entscheiden, wer gewinnt, bevor ein Agent vor Produktionszugängen steht.

MCP-Sicherheit ist nicht verloren. Sie ist nur jünger als das Vertrauen, das Unternehmen ihr bereits geben. Erfolgreich werden nicht die Teams mit den meisten Konnektoren sein, sondern jene, die wissen, welcher Konnektor flüstern darf und welcher handeln darf.

Weiterlesen:

• Ihr KI-Agent ist leichter zu täuschen als Sie
• Why 88% of enterprise AI agents fail before going live