🤖 AI

Secure Tool Manifest and Digital Signing Solution for Verifiable MCP and LLM Pipelines

Dieses Paper schlägt ein Framework für sichere Tool-Manifeste und digitale Signaturen vor, das Model Context Protocols (MCP) durch die Implementierung kryptografisch signierter Manifeste und transparenter Verifizierungslogs erweitert, um die Integrität, Verifizierbarkeit und sichere Ausführung von Large Language Model-Pipelines in sensiblen Bereichen zu gewährleisten.

Ursprüngliche Autoren: Saeid Jamshidi, Kawser Wazed Nafi, Arghavan Moradi Dakhel, Foutse Khomh, Amin Nikanjam, Mohammad Adnan Hamdaqa

Veröffentlicht 2026-02-02

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Saeid Jamshidi, Kawser Wazed Nafi, Arghavan Moradi Dakhel, Foutse Khomh, Amin Nikanjam, Mohammad Adnan Hamdaqa

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie leiten eine Hochleistungsküche, in der ein sehr kluger, aber manchmal unberechenbarer Chefkoch (das Large Language Model oder LLM) komplexe Gerichte basierend auf Bestellungen von Kunden zubereitet. Der Chefkoch kann verschiedene Werkzeuge verwenden – Messer, Öfen, Mixer (die externen Werkzeuge) – um die Aufgabe zu erledigen.

Das Problem ist, dass in der aktuellen Konfiguration jeder in die Küche schlüpfen könnte, um die Rezeptkarte des Chefkochs gegen eine gefälschte auszutauschen oder den Chefkoch dazu zu verleiten, ein schmutziges Messer zu benutzen. Wenn der Chefkoch einer schlechten Bestellung folgt, könnte das Essen vergiftet werden, und niemand wüsste, wer die Bestellung gegeben hat oder was tatsächlich passiert ist. Dies ist die Schwachstelle, die das Paper adressiert.

Die Autoren schlagen ein neues System vor, das Secure Tool Manifest and Digital Signing Framework genannt wird. So funktioniert es, unter Verwendung einfacher Analogien:

1. Die „manipulationssichere Rezeptkarte“ (Das Manifest)

Bevor der Chefkoch auch nur ein Werkzeug anfasst, muss jede einzelne Anfrage auf einer speziellen, digitalen „Rezeptkarte“ namens Manifest festgehalten werden.

Die Analogie: Denken Sie an dies wie an einen versiegelten, offiziellen Umschlag. Darin steht genau, was der Chefkoch tun darf.
Der Clou: Das Paper trennt die „Sicht des Kunden“ (was der Nutzer sieht) von der „Sicht des Chefkochs“ (die internen technischen Details). Dies verhindert, dass der Kunde versehentlich (oder böswillig) Geheimnisse darüber nach außen trägt, wie die Küche funktioniert.

2. Der „Notarstempel“ (Digitale Signatur)

Bevor der Chefkoch die Rezeptkarte überhaupt ansehen kann, muss sie von einem vertrauenswürdigen Notar (einem Hardware Security Module oder HSM) gestempelt worden sein.

Die Analogie: Stellen Sie sich einen Notar vor, der die Rezeptkarte prüft, die Regeln verifiziert und dann einen einzigartigen, fälschungssicheren Stempel mit einer speziellen Tinte (einer digitalen Signatur) aufbringt.
Das Ergebnis: Wenn jemand versucht, auch nur einen einzigen Buchstaben auf der Karte zu ändern, nachdem der Stempel aufgetragen wurde, verschmiert die Tinte und die Karte wird sofort als Fälschung erkannt. Der Chefkoch weigert sich zu kochen.

3. Das „Öffentliche Register“ (Transparency Logs)

Jedes Mal, wenn eine Rezeptkarte gestempelt und verwendet wird, wird eine Kopie des Belegs in ein riesiges, öffentliches, unveränderliches Buch namens Transparency Log (unter Verwendung eines sogenannten Merkle-Baums) aufgenommen.

Die Analogie: Denken Sie an dies wie an einen Blockchain oder ein öffentliches Tagebuch, das jeder lesen, aber niemand löschen oder bearbeiten kann. Wenn Sie wissen wollen, was der Chefkoch vor fünf Minuten getan hat, können Sie es nachschlagen.
Der Vorteil: Wenn der Chefkoch etwas Merkwürdiges tut, können Sie genau beweisen, wann es geschah und wer es autorisiert hat. Man kann die Beweise nicht verstecken.

4. Der „Geschwindigkeitstest“ (Skalierbarkeit)

Die Autoren testeten dieses System mit bis zu 50.000 Bestellungen (eine massive Menge an Kochvorgängen).

Das Ergebnis: Sie fanden heraus, dass das Hinzufügen von mehr Bestellungen die Küche nicht auf unkontrollierte Weise verlangsamte. Stattdessen wurde das System pro Bestellung schneller und effizienter, fast wie eine gut geölte Maschine. Es skalierte „linear“, was bedeutet, dass sich bei einer Verdoppelung der Bestellungen auch die Zeit verdoppelt (was zu erwarten ist), aber es kam nicht zu einem Absturz oder einer Verzögerung.
Die Analogie: Es ist wie eine Autobahn, die für alle 1.000 Autos eine neue Spur hinzufügt, um den Verkehr selbst während der Stoßzeiten reibungslos am Fließen zu halten.

5. Die „Fairness-Prüfung“ (Ausgewogene Nutzung)

Das System verwendet drei verschiedene Arten von Chefköchen (GPT-4, LLaMA und DeepSeek).

Das Ergebnis: Das System verteilte die Arbeit automatisch so, dass kein einzelner Chefkoch überfordert wurde, während andere untätig blieben. Es war wie ein intelligenter Kellner, der die Tische gleichmäßig unter allen Köchen verteilt.
Die Sicherheit: Dies verhindert, dass ein böswilliger Akteur einen einzelnen Chefkoch überlastet, um einen Absturz zu verursachen (einen Denial-of-Service-Angriff).

6. Die „Selbstkorrektur“ (Fehlerbehandlung)

Das System ist so konzipiert, dass es „fail-closed“ arbeitet.

Die Analogie: Wenn eine Rezeptkarte auch nur geringfügig verdächtig aussieht oder wenn der Zeitstempel falsch ist (wie ein Rezept aus dem nächsten Jahr), verriegelt das System sofort die Tür und sagt „Nein“. Es geht kein Risiko ein.
Das Ergebnis: Es hat in seinen Tests alle gefälschten oder fehlerhaften Bestellungen erfolgreich abgelehnt, während es die gültigen Bestellungen durchließ.

Zusammenfassung

Kurz gesagt baut dieses Paper einen Sicherheitswächter, einen Notar und einen öffentlichen Protokollanten für KI-Systeme. Es stellt sicher, dass, wenn eine KI Werkzeuge benutzt, sie einem verifizierten, signierten und aufgezeichneten Satz von Regeln folgt. Es beweist, dass man KI-Systeme auf diese Weise sicher machen kann, ohne sie zu verlangsamen, selbst wenn tausende Menschen gleichzeitig darauf zugreifen.

Das Paper behauptet nicht, dass dies das „Denken“ der KI verbessert oder sie intelligenter macht; es stellt lediglich sicher, dass die Aktionen, die die KI ausführt, sicher, rückverfolgbar und unmöglich zu fälschen sind.

Technisches Resümee: Sicheres Tool-Manifest und digitale Signierungslösung für verifizierbare MCP- und LLM-Pipelines

1. Problemstellung

Große Sprachmodelle (LLMs) werden zunehmend in sensiblen Bereichen wie dem Gesundheitswesen und dem Finanzwesen eingesetzt, doch ihre Ausführungspipelines bleiben anfällig für Manipulationen, unverifizierbares Verhalten und adversarielle Angriffe. Während das Model Context Protocol (MCP) eine Grundlage für die Strukturierung der Interaktion zwischen LLMs und externen Werkzeugen bietet, mangelt es bestehenden Implementierungen oft an verifizierbarer Durchsetzung und transparenter Validierung von Modellaktionen.

Derzeitige Kontrollmechanismen definieren Compliance-Richtlinien, scheitern jedoch daran, Folgendes zu verhindern:

Unverifizierte Tool-Aufrufe: Erlauben den Aufruf von Tools ohne kryptografischen Nachweis der Autorisierung.
Adversarielle Prompt-Manipulation: Techniken wie Tool Invocation Prompt (TIP) Attacks, die den Ausführungsfluss kapern.
Opakes Laufzeitverhalten: Mangel an deterministischen Aktionsverläufen und expliziter Kontextversionierung.
Key-Konzentration und Timing-Seitenkanäle: Risiken, die aus asymmetrischer Schlüsseldominanz und Zeitstempel-Varianz resultieren und Arbeitslastmuster preisgeben können.

Bestehende Lösungen, wie etwa Runtime-Attestierung oder Enklaven-basierte Ansätze (z. B. Scanclave), versagen oft darin, die probabilistische, tool-gesteuerte Natur von LLM-Workloads zu adressieren, oder skalieren nicht auf heterogene Multi-Modell-Deployments. Es besteht eine kritische Lücke in der Systemebene-Sicherheit, die kryptografische Rechenschaftspflicht mit transparenten, skalierbaren Ausführungspipelines vereint.

2. Methodik

Die Autoren schlagen ein Sicheres Tool-Manifest- und Digitales Signierungs-Framework vor, eine strukturierte Erweiterung des Model Context Protocol (MCP). Das Framework erzwingt eine sechsstufige Pipeline, die darauf ausgelegt ist, deterministische Integrität, Metadaten-Trennung und transparente Auditierung zu gewährleisten.

Kernarchitektur

Das Framework operiert durch die folgenden sequenziellen Phasen:

Manifest-Erstellung: Jede LLM-Tool-Anfrage wird in ein deterministisches Manifest $M = (M_u, M_m, \tau)$ gekapselt, wobei $M_u$ die benutzerseitigen Parameter, $M_m$ die modellseitigen Eingaben und $\tau$ einen Frische-Zeitstempel darstellt. Diese Struktur erzwingt die Trennung des Informationsflusses, um Leckagen zu verhindern.
Richtliniendurchsetzung und Signierung: Vor der Ausführung wird das Manifest gegen deterministische Compliance-Regeln $C(M)$ evaluiert. Bei Konformität wird eine digitale Signatur $\sigma$ unter Verwendung eines Hardware-Sicherheitsmoduls (HSM) und des Hashes des Manifests generiert.
Verifizierung: Das System verifiziert die Signatur und die Richtlinienkonformität. Nur Manifeste mit gültigen Signaturen und bestandenen Richtlinienprüfungen gelangen in die Ausführung.
Transparenz-Protokollierung: Validierte Manifeste werden an ein unveränderliches Transparenzprotokoll angehängt, das via Merkle-Baum integriert ist. Dies gewährleistet Vorwärtsintegrität und ermöglicht effiziente Inklusionsnachweise.
Audit-Export: Das System generiert kompakte, kryptografisch verifizierbare Evidenz-Tupel, die Ausführungs- und Verifizierungs-Latenz sowie Merkle-Root-Referenzen enthalten.
Metrik-Erfassung: Temporale Metriken und Sicherheits-Overheads werden nachverfolgt, um Skalierbarkeit und Trade-offs zu analysieren.

Bedrohungsmodell

Das System geht von einem probabilistischen Polynomialzeit-Adversary (PPT) aus, der in der Lage ist, Kommunikation abzufangen, Payloads zu injizieren und Manifeste wieder abzuspielen (Replay-Attacken). Der Adversary kann jedoch die zugrunde liegenden kryptografischen Primitive (kollisionsresistente Hashes, EUF-CMA-Signaturen) oder das HSM nicht kompromittieren. Das Framework begrenzt die Wahrscheinlichkeit erfolgreicher Angriffe (Fälschung, Replay, Manipulation) mathematisch auf ein vernachlässigbares Niveau ( $negl(\lambda)$ ).

Algorithmische Implementierung

Die Methodik wird durch drei voneinander abhängige Algorithmen operationalisiert:

Algorithmus 1 (Manifest-Erstellung & Signierung): Konstruiert das kanonische Manifest, hasht es, erzwingt Richtlinienregeln und signiert den Digest.
Algorithmus 2 (Verifizierung & Protokollierung): Validiert Signaturen, hängt Einträge an den Merkle-Log an und aktualisiert den Root-Hash.
Algorithmus 3 (Auditierung & Metriken): Berechnet Ausführungs- und Verifizierungs-Latenzen, generiert Output-Digests und exportiert Evidenz für externe Auditoren.

3. Kernbeiträge

Die Arbeit leistet drei primäre Beiträge:

Framework-Design: Ein neuartiges Framework für sichere Tool-Manifeste und digitale Signierung, das ein kryptografisch signiertes Manifest-Format für MCP-konforme LLM-Ausführung definiert. Es gewährleistet Manifest-Integrität, erzwingt Metadaten-Trennung und schafft Vertrauen in Ausführungspipelines.
Evaluationsmethodik: Eine dual-perspektivische Pipeline, die Performance- und Sicherheitsmetriken kombiniert, um Trade-offs systematisch und skalierbar zu bewerten. Dies bietet eine reproduzierbare Basis für zukünftige Studien zu sicheren LLM-Infrastrukturen.
System-Level-Einblicke: Die erste vergleichende Analyse sicherer Ausführung über verschiedene LLMs hinweg (GPT-4-turbo, LLaMA-3.5 und DeepSeek-V3). Die Studie identifiziert und quantifiziert Schwachstellen wie asymmetrische Schlüsseldominanz und Zeitstempel-Varianz und bietet praxisnahe Leitlinien für resiliente Deployments.

4. Experimentelle Ergebnisse

Das Framework wurde über Workloads von 100 bis 50.000 Manifest-Instanzen unter Verwendung von drei repräsentativen LLMs evaluiert.

Skalierbarkeit

Nahezu lineare Skalierung: Das System demonstriert eine nahezu perfekte lineare Skalierbarkeit mit einem Regressionsfit von $R^2 = 0,998$ . Die Rechenkomplexität konvergiert zu $O(\log N)$ für die Protokollierung und $O(1)$ für Signierung/Verifizierung pro Anfrage.
Overhead: Der normalisierte Sicherheits-Overhead bleibt über alle Skalen hinweg unter 5 % ( $\delta < 0,05$ ), was bestätigt, dass die kryptografische Durchsetzung die Performance nicht signifikant beeinträchtigt.

Fairness und Verteilung

Modell-Auslastung: Die Modellnutzung konvergierte zu einer ausgewogenen Verteilung von etwa 33 % pro Modell (GPT-4-turbo, LLaMA-3.5, DeepSeek-V3), mit einem Fairness-Index von $F = 0,97$ .
Schlüsselverwendung: Die Studie identifizierte eine Schwachstelle, bei der ein einzelner Schlüssel (dev-k1) die Nutzung dominierte (80 % bei Skalierung), was die Notwendigkeit adaptiver Schlüsselrotationsstrategien unterstreicht.
Schweregrad-Durchsetzung: Das System zeigte eine adaptive Durchsetzung, wobei "Warn-" und "Block"-Ergebnisse proportional zum adversariellen Stress zunahmen, was einen kontrollierten Feedback-Mechanismus demonstriert.

Verifizierung und Zuverlässigkeit

Genauigkeit: Das Framework erreichte eine durchschnittliche Verifizierungserfolgsrate von 80 % für valide Ausführungen, während es ungültige oder gefälschte Manifeste konsistent ablehnte.
Latenzstabilität: Die Verifizierungs-Latenz blieb gebunden (Median 1,9 ms für GPT-4-turbo) mit geringer Varianz, was zeitbasierte Side-Channel-Inferenz verhindert.
Fehlverhalten: Während die absoluten Fehlerzahlen aufgrund spezifischer Revocations-Fehler superlinear anstiegen, stabilisierte sich die normalisierte Fehlerdichte asymptotisch ( $\rho_E \to 0,15$ ), was zeigt, dass das System kein kumulatives Verifizierungsrisiko erleidet.

5. Bedeutung und Ansprüche

Die Arbeit behauptet, dass das vorgeschlagene Framework die Lücke zwischen modellzentrischer Sicherheitsforschung und systemseitiger Ausführungssicherheit erfolgreich schließt. Ihre Bedeutung liegt in:

Operationalisierung von Rechenschaftspflicht: Im Gegensatz zu früheren Arbeiten, die sich auf Post-hoc-Forensik oder isolierte Enklaven-Attestierung konzentrieren, bettet dieses Framework proaktive kryptografische Durchsetzung und Echtzeit-Transparenzprotokollierung direkt in die Ausführungspipeline ein.
Skalierbares Vertrauen: Durch die Demonstration nahezu linearer Skalierbarkeit und gebundenem Overhead beweist die Lösung, dass hochsichere kryptografische Mechanismen (Signierung, Merkle-Logging) mit den Low-Latency-Anforderungen regulierter LLM-Deployments koexistieren können.
Mathematische Formalisierung: Die Arbeit liefert eine formale Stabilitäts-Envelope, in der empirisches Verhalten (Latenz, Fairness, Fehlerraten) mit theoretischen kryptografischen Grenzen konvergiert und somit einen mathematisch fundierten Ansatz für vertrauenswürdige KI bietet.

Die Autoren kommen zu dem Schluss, dass ihr Framework die Grundlage für verifizierbare, auditierbare und faire LLM-Pipelines schafft, die für sicherheitskritische Domänen essenziell sind, in denen selbst geringfügige Ausführungsfehler oder Richtlinienverstöße schwerwiegende Compliance- und Sicherheitsfolgen haben können.