Der Model Context Protocol erweitert die Rolle von KI-Agenten deutlich. Statt nur vorhandenes Wissen zu nutzen, können sie über MCP auf Live-Systeme zugreifen, etwa einen Datensatz aus einer Datenbank abrufen, eine Datei öffnen oder eine API aufrufen. Der MCP-Server fungiert dabei als Vermittler und legt fest, welche Aktionen der Agent ausführen darf. Laut Quelle liegt gerade dort das größte Risiko, weil der Server die Zugangsdaten der Systeme benötigt, auf denen er handeln soll.
Mit MCP werden KI-Agenten zu aktiven Identitäten, die mit sogenannten nicht-menschlichen Identitäten wie API-Schlüsseln und Tokens über Unternehmenssysteme hinweg arbeiten. Wenn ein solches Geheimnis abfließt, sind laut Quelle nicht nur Daten gefährdet. Ein Angreifer kann damit auch selbst auf den betroffenen Systemen handeln.
Ein häufiges Problem ist die Speicherung von Tokens und Schlüsseln in lokalen Konfigurationsdateien, oft im Klartext. In vielen Umgebungen besteht die Inbetriebnahme eines Servers laut Quelle schlicht darin, eine Konfigurationszeichenfolge mit den eigentlichen Zugangsdaten einzufügen. Bleibt diese Datei auf einem Datenträger liegen, kann sie leicht übersehen, zwischen Rechnern kopiert oder versehentlich in ein Git-Repository übertragen werden. Erreicht ein Angreifer den Server, sind alle dort hinterlegten Informationen lesbar.
Fehlt ein zentraler Ort für Geheimnisse, verwaltet jeder KI-Agent seine eigenen Kopien. Dadurch verteilen sich API-Schlüssel und Tokens über Konfigurationsdateien und Umgebungsvariablen, oft mehrfach über Entwicklung, Test und Produktion hinweg. Da laut Quelle meist kein vollständiges Inventar dieser Geheimnisse existiert, werden sie selten rotiert und bleiben auf unbestimmte Zeit gültig. Jedes verstreute, langlebige Geheimnis schafft damit einen zusätzlichen möglichen Einstiegspunkt.
Nicht jede Preisgabe setzt einen Einbruch voraus. Weil KI-Agenten die ihnen vorgelegten Inhalte lesen und darauf reagieren, können Angreifer Anweisungen in Dokumenten, Support-Tickets oder Webseiten verstecken, auf die der Agent zugreift. Die Quelle beschreibt dieses Muster als Prompt Injection: Der Agent behandelt verborgene Anweisungen wie legitime Befehle und kann so dazu gebracht werden, Werkzeuge falsch zu nutzen oder Geheimnisse offenzulegen, die er eigentlich schützen sollte.
Auch zu weit gefasste Berechtigungen verschärfen das Risiko. Entwickler vergeben laut Quelle beim Aufbau eines MCP-Servers oft großzügige Rechte, um Autorisierungsfehler zu vermeiden. Werden diese Rechte später nicht eingeschränkt, gelangen sie leicht in die Produktion. Ohne das Prinzip der geringsten Rechte kann ein KI-Agent weit mehr erreichen als für seine Aufgabe nötig wäre, sodass ein einzelner Vorfall deutlich größere Auswirkungen hätte.
Hinzu kommt ein Lieferkettenaspekt: Jeder kann einen MCP-Server veröffentlichen. Die Quelle verweist dazu auf CVE-2025-6514. In mcp-remote, einem mehr als 400.000 Mal heruntergeladenen OAuth-Proxy, der auf dem Client-System läuft, konnte ein bösartiger Server eine Betriebssystem-Befehlsinjektion auslösen. Das führte laut Quelle zu Remotecodeausführung auf dem Rechner, auf dem der Proxy lief, und eröffnete Angreifern den Zugriff, um dort gespeicherte Zugangsdaten zu stehlen.
Der Quelltext betont, dass MCP eine zusätzliche Ebene in Unternehmen geschaffen hat, die zwischen KI-Agenten und fast allen schützenswerten Systemen sitzt und die dafür nötigen Zugangsdaten hält. Entsprechend müssten Organisationen auf diese Ebene dieselbe Sorgfalt anwenden wie auf andere Produktivsysteme mit Geheimnissen.