MCP-Tool-Poisoning: der neue Lieferketten-Angriff
Das Model Context Protocol (MCP, siehe „Was ist MCP (Model Context Protocol)?“) ist 2026 zur Standard-Infrastruktur geworden, über die KI-Agenten auf externe Werkzeuge und Datenquellen zugreifen. Genau das macht MCP-Server zu einem attraktiven Angriffsziel: Beim „Tool-Poisoning“ werden bösartige Anweisungen direkt in Werkzeugbeschreibungen, Parameter-Schemata oder Antwortinhalte eingebettet – Inhalte, die ein Agent routinemäßig als vertrauenswürdigen Betriebskontext behandelt, nicht als möglichen Angriff.
Warum das gefährlicher ist als klassische Prompt Injection
Der entscheidende Unterschied zur klassischen Prompt Injection ist Persistenz: Eine vergiftete Werkzeugbeschreibung steckt fest in einem Paket oder einem entfernten MCP-Server und wirkt bei jedem einzelnen Aufruf – still, über jede Sitzung, für jeden Nutzer, bis irgendjemand es bemerkt. OWASP hat dieses Muster inzwischen als eigene Kategorie in einem „MCP Top 10“ verankert, direkt neben verwandten Angriffen wie „Rug Pulls“ (nachträglich veränderte Tool-Beschreibungen) und „Tool Shadowing“ (ein bösartiges Tool täuscht ein vertrauenswürdiges vor).
Reale Fälle aus 2026
Diese Angriffsklasse ist keine Theorie: Ein als legitime E-Mail-Integration getarntes, bösartiges MCP-Paket wurde über einen öffentlichen Paket-Registry verbreitet. Eine etablierte Malware-Operation baute drei Monate lang ein gefälschtes Entwickler-Ökosystem auf, bevor sie einen trojanisierten MCP-Server für ein populäres Wearable einreichte – mit einer Schadsoftware, die Browser-Passwörter, Cloud-Sitzungs-Tokens, Zugangsdaten, SSH-Schlüssel und Kryptowährungs-Wallets abgriff. Ein separater Wurm zielte gezielt auf MCP-Server-Pakete, eine kompromittierte Bibliothek wurde innerhalb von drei Stunden rund 47.000-mal heruntergeladen. Eine Erhebung aus 2026 fand bei über 30 Prozent der eingesetzten MCP-Server mindestens eine ausnutzbare Schwachstelle.
Praxis-Teil: Werkzeuge wie Software-Abhängigkeiten behandeln
Der wichtigste Perspektivwechsel: ein MCP-Server oder ein KI-Werkzeug ist eine Software-Abhängigkeit wie jede andere – und verdient dieselbe Sorgfalt. Konkret bedeutet das: nur Werkzeuge aus vertrauenswürdiger, geprüfter Quelle einbinden, Werkzeugbeschreibungen bei Aktualisierungen erneut prüfen statt einmalig zu vertrauen, und – wie im Modul zu Prompt Injection beschrieben – jedem Werkzeug nur die minimal nötigen Rechte geben. Ein Werkzeug, das nur lesen darf, kann selbst bei erfolgreichem Poisoning keine Zugangsdaten abgreifen, die es nie hatte.