Technisches Resümee: Exposed by Design

Problemstellung

Das Model Context Protocol (MCP), das im November 2024 von Anthropic veröffentlicht wurde, hat sich rasch zur de facto Integrationsschicht für agentische KI-Anwendungen entwickelt, die Large Language Models (LLMs) mit externen Tools und Datenquellen verbindet. Während die Akzeptanz auf über 21.000 öffentlich erreichbare Serverinstanzen angestiegen ist, bleibt die Sicherheitslage dieser Deployments weitgehend uncharakterisiert.

Die bestehende Sicherheitsforschung ist zweigeteilt in theoretische Bedrohungsmodellierung oder statische Analyse von Registry-Einträgen und Quellcode. Diese Ansätze erfassen nicht die Laufzeitsicherheitslage von live betriebenen, internetfähigen Servern. Die Arbeit identifiziert eine kritische Lücke: den Mangel an empirischen Daten über die Verbreitung von Schwachstellen in bereitgestellten MCP-Servern, insbesondere jenen, die aus dem einzigartigen Design des Protokolls resultieren, bei dem Beschreibungen von Werkzeugen in natürlicher Sprache strukturell mit der Codeausführung gekoppelt sind. Der Autor postuliert, dass die minimale Barriere für das Exponieren von Diensten als MCP-Endpunkte zu einer Deployment-Landschaft geführt hat, die unter dem Sicherheits-Baseline-Niveau konventioneller Internetdienste operiert, gekennzeichnet durch einen Mangel an Authentifizierung, exponierte Shell-Ausführungskapazitäten und schnelle, ephemere Deployment-Zyklen.

Methodik

Die Studie verwendet eine zweiphasige Methodik, die passive Entdeckung mit aktiver dynamischer Verhaltensprüfung kombiniert.

1. Passive Entdeckung (Petrel)

Der Autor entwickelte Petrel, eine Discovery-Pipeline, die Kandidaten aus elf heterogenen Datenquellen aggregiert, um die Abdeckung des MCP-Ökosystems zu maximieren:

• Certificate Transparency Logs: crt.sh für SSL/TLS-Zertifikate, die MCP-indikativen Substrings enthalten.
• Entwicklerplattformen: GitHub (Topic-Suche, Dateinamen-Matching), HuggingFace Spaces und npm/PyPI-Registries.
• Spezialisierte Registries: Smithery, glama.ai und pulsemcp.com.
• Internet-Scanner: Censys, FOFA und Shodan.

Kandidaten werden einem aktiven HTTP-Fingerprinting unterzogen, um Live-MCP-Server von False Positives zu unterscheiden. Petrel prüft sowohl den aktuellen Streamable HTTP-Transport (via POST mit einer JSON-RPC initialize-Anfrage) als auch den Legacy SSE-Transport. Nur Server, die auf gültige Protokoll-Handshakes antworten, werden für Tests bestätigt.

2. Dynamische Sicherheitstests (Corvus)

Der Autor stellt Corvus vor, ein Open-Source-Framework, das für die dynamische Verhaltensbewertung konzipiert ist. Corvus unterzieht bestätigte Server 34 Testmodulen (13 statisch, 21 dynamisch), die die MCP Security Top 10 (MST-10) abdecken, eine neue Taxonomie von Schwachstellen, die aus den Ergebnissen der Studie abgeleitet wurde.

• Ausführungsmodell: Corvus nutzt eine multiplexte StdioTransport-Reader-Schleife, um JSON-RPC-Anfragen zu pipelinen, was ein Hochdurchsatz-Testing über parallele Gruppen hinweg ermöglicht.
• Teststrategien:
  • Tool Poisoning: Injizieren von Schatten-Tool-Definitionen, um dynamische Mutationen (Rug-Pull-Angriffe) zu testen.
  • Injection: Übermitteln gestalteter Payloads, um SQL-Injection, Command-Injection und Prompt-Injection via Tool-Outputs zu testen.
  • SSRF & URI-Manipulation: Testen von Ressourcen-URIs und Pagination-Cursorn auf Path-Traversal und Server-Side Request Forgery (SSRF) gegen Cloud-Metadaten-Services (z. B. AWS IMDS).
  • Schema Bypass: Fuzzing von JSON-RPC-Nachrichten zur Identifizierung von Parser-Ambiguitäten.
• Output: Funde werden nach Konfidenz (0–100) bewertet und im SARIF 2.1.0-Format ausgegeben. Ergebnisse mit hoher Konfidenz durchlaufen ein manuelles Triage und werden über GitHub Security Advisories (GHSA) unter einem 90-tägigen koordinierten Disclosure-Embargo gemeldet.

Zentrale Beiträge

Die Arbeit leistet fünf primäre Beiträge:

1. Erste dynamische Verhaltensbewertung: Die erste groß angelegte, dynamische Sicherheitsprüfung von internetfähigen MCP-Servern, die 640 eindeutige Produktions-Deployments bestätigt und 414 davon auditiert hat.
2. Corvus-Framework: Die Veröffentlichung eines Open-Source-Tools, das 34 Testmodule über alle 10 MST-10-Kategorien implementiert und sowohl Streamable HTTP als auch SSE-Transports unterstützt.
3. Multi-Source-Discovery-Methodik: Ein Nachweis, dass keine einzelne Datenquelle die MCP-Population adäquat erfassen kann, was eine Pipeline erfordert, die elf Quellen umfasst, um eine umfassende Abdeckung zu erreichen.
4. Charakterisierung von Deployment-Churn: Empirischer Beleg für eine Verschwindensrate von Servern von 41,6 % innerhalb von 72 Stunden, was auf ein Deployment-Modell hindeutet, das von ephemeral Experimenten statt stabiler operativer Sicherheit getrieben ist.
5. Responsible-Disclosure-Pipeline: Die Identifizierung und verantwortungsvolle Offenlegung von 68 Schwachstellen, einschließlich SQL-Injection, SSRF und Prompt-Template-Injection, wovon zum Zeitpunkt der Niederschrift 19 öffentlich bekannt gegeben wurden und 49 unter Embargo standen.

Ergebnisse

Über vier Messreihen im Juli 2026 lieferte die Studie die folgenden Ergebnisse:

• Authentifizierungsmängel: 91,8 % der dynamisch auditierten Server (380/414) verfügen über keine OAuth-Authentifizierung. Die Mehrheit operiert ohne Authentifizierung oder mit statischen, vorhersehbaren Bearer-Token.
• Unauthentifizierte Shell-Ausführung: 687 Tool-Instanzen innerhalb des bestätigten Server-Pools exponieren Shell-Ausführungskapazitäten (z. B. bash_execute, run_command) ohne jegliche Zugriffskontrollen, was Remote-Code-Execution durch jeden Netzwerk-Adversary ermöglicht.
• Prävalenz von Schwachstellen: Die Studie identifizierte 68 meldefähige Schwachstellen. Kritische Funde umfassen:
  • SQL-Injection: Bestätigt via Response-Size-Differentials in einem Corpus-Search-Tool.
  • SSRF: Bestätigt via Timing-Oracles (11,9s Latenz vs. 0,3s Baseline) beim Anvisieren des AWS Instance Metadata Service.
  • Prompt Template Injection: Bestätigt durch das Injizieren von Kontrollsequenzen, die Systemanweisungen in einem KI-Assistenten überschrieben haben.
  • Path Traversal: Erreicht via Cursor-Manipulation in Pagination-Primitiven.
• Ecosystem Churn: 41,6 % der in einer Messreihe bestätigten Server waren 72 Stunden später nicht mehr erreichbar. Diese Churn-Rate deutet darauf hin, dass viele Server transiente Artefakte von CI/CD-Pipelines oder Entwickler-Experimenten sind, was langfristiges Monitoring und Patch-Verifizierung erschwert.

Bedeutung und Ansprüche

Die Arbeit beansprucht, die erste empirische Baseline für die Sicherheitslage des MCP-Ökosystems zu liefern. Ihre Bedeutung liegt darin, das Verständnis der MCP-Sicherheit von der theoretischen Bedrohungsmodellierung zur beobachteten Realität zu verschieben.

Der Autor argumentet, dass die Sicherheitsrisiken strukturell und nicht zufällig sind. Das Protokoll wurde primär für den lokalen stdio-Transport entworfen, bei dem OS-Prozessisolation für Sicherheit sorgt. Die anschließende Hinzufügung des HTTP-Transports ohne entsprechende Sicherheitsstandards (wie obligatorisches OAuth) hat zu einem „Weg des geringsten Widerstands“ geführt, der standardmäßig unauthentifizierte, internetfähige Server produziert.

Die Studie kommt zu dem Schluss, dass das MCP-Ökosystem derzeit unter der minimalen operativen Sicherheitsbaseline konventioneller Internetdienste operiert. Die Kombination aus unauthentifizierter Shell-Ausführung, dem Fehlen von Authentifizierungsschichten und schnellen, ephemeren Deployment-Zyklen schafft eine Angriffsfläche, auf der Schwachstellen nicht nur präsent, sondern leicht ausnutzbar sind. Der Autor behauptet, dass ihre Arbeit zeigt, dass die MCP-Sicherheit eine aktive, ausnutzbare Angriffsfläche darstellt, die sofortige Aufmerksamkeit von SDK-Entwicklern, Plattformanbietern und Registry-Betreibern erfordert, um Sicherheitsstandards durchzusetzen und Offenlegungsmechanismen zu verbessern.