Toxic Combinations entstehen selten aus einer einzelnen Fehlentscheidung. Sie treten auf, wenn ein KI-Agent, eine Integration oder ein MCP-Server zwei oder mehr Anwendungen über OAuth-Freigaben, API-Berechtigungen oder verkettete Tool-Aufrufe verbindet – und jede Seite der Brücke für sich genommen unauffällig wirkt. Geprüft wird die Brücke selbst nämlich von niemandem.
Ein anschauliches Beispiel: Ein Entwickler installiert einen MCP-Konnektor, damit seine Entwicklungsumgebung auf Anfrage Code-Schnipsel in einen Slack-Kanal posten kann. Der Slack-Administrator gibt den Bot frei, der IDE-Administrator die ausgehende Verbindung – doch niemand autorisiert die Vertrauensbeziehung zwischen Quellcode-Bearbeitung und geschäftlicher Kommunikation, die in dem Moment entsteht, in dem beide Seiten aktiv sind. Das wirkt in beide Richtungen: Prompt-Injektionen in der IDE können vertraulichen Code nach Slack schieben, und in Slack platzierte Anweisungen fließen in der nächsten Sitzung zurück in den Kontext der IDE.
Dasselbe Muster zeigt sich überall dort, wo ein KI-Agent etwa Drive und Salesforce verbindet oder ein Bot ein Quellcode-Repository an einen Team-Kanal koppelt. Herkömmliche Zugriffsprüfungen erkennen diese Konstellation kaum. Sie geraten an ihre Grenzen bei nicht-menschlichen Identitäten wie Dienstkonten, Bots und KI-Agenten ohne Person dahinter, bei Vertrauensbeziehungen, die zur Laufzeit statt bei der Bereitstellung entstehen, und bei OAuth- und MCP-Brücken, von denen der Governance-Katalog nichts weiß.
Die Frage „Wer hält diese Berechtigung zusammen mit jenen beiden anderen – und was lässt sich damit gemeinsam anstellen?" wird umso schwerer zu beantworten, wenn die fraglichen Berechtigungen auf einem Token liegen, das nie über ein Identitätssystem bereitgestellt wurde.
KI-Agenten, MCP-Server und Drittanbieter-Konnektoren erstrecken sich heute standardmäßig über zwei oder drei benachbarte Anwendungen, und nicht-menschliche Identitäten überwiegen in den meisten SaaS-Umgebungen die menschlichen. Laut dem Bericht „State of SaaS Security 2025" der Cloud Security Alliance sind 56 Prozent der Organisationen bereits besorgt über überprivilegierten API-Zugriff in ihren SaaS-zu-SaaS-Integrationen.
Die Lücke lässt sich vor allem dadurch schließen, dass die Prüfung von innerhalb einzelner Anwendungen zwischen die Anwendungen verlagert wird. Dabei handelt es sich eher um prozedurale Disziplinen als um Produktentscheidungen, und sie funktionieren mit jedem vorhandenen Prüfwerkzeug. Manuelle Prüfung skaliert allerdings nicht über die ersten paar Dutzend Integrationen hinaus.
Dynamische SaaS-Sicherheitsplattformen automatisieren die anwendungsübergreifende Sicht. Während IGA-Lösungen Rollen für bereits eingebundene Systeme inventarisieren, beobachten sie den Laufzeit-Graphen fortlaufend: welche Identitäten existieren, welche Anwendungen sie berühren, welche Berechtigungen auf welchen Tokens liegen und welche Vertrauensbeziehungen nach der letzten Prüfung hinzugekommen sind. Die Überwachung muss kontinuierlich laufen, weil die zu erkennenden Brücken im Tempo einer MCP-Installation oder eines OAuth-Zustimmungsklicks entstehen.
Reco wird als ein Anbieter dieser Kategorie genannt. Die Plattform verknüpft Identitäten, Berechtigungen und Datenflüsse über die gesamte SaaS-Umgebung, sodass eine Kombination von Berechtigungen in Slack, Drive und Salesforce als eine einzige Exposition bewertet wird statt als drei getrennte Freigaben. Im ersten Schritt werden alle KI-Agenten, Integrationen und OAuth-Identitäten entdeckt; Recos Knowledge Graph ordnet anschließend jede menschliche und nicht-menschliche Identität den erreichten Anwendungen und den Brücken dazwischen zu und markiert auffällige Kombinationen automatisch. Erkennt die Plattform, dass eine Integration außerhalb des Genehmigten agiert, entzieht sie den riskanten Zugriff.
Der nächste Sicherheitsvorfall in vielen Organisationen wird sich laut der Quelle nicht über einen neuen Zero-Day ankündigen. Er werde aussehen wie ein Agent, der genau das tut, wozu er autorisiert wurde – bis hin zur Datenexfiltration. Ob das bei der Freigabe auffällt oder erst im Nachhinein aufgearbeitet wird, hänge davon ab, ob jemand die gesamte Kette überblicken kann.