Zustand der MCP-Sicherheit 2026: Die Angriffsfläche der Agenten wird zu einem eigenständigen Thema

In plain terms

Ein erster dedizierter Bericht - « State of MCP Security 2026 » von Canopii - listet die Schwachstellen und schlechten Praktiken des Model Context Protocol-Ökosystems auf. Die Botschaft ist klar: Die Sicherheit hat der Adoptionsgeschwindigkeit nicht folgen können.

Le fait

Veröffentlicht am 12. Juli 2026 (PDF Canopii) analysiert der Bericht öffentliche und private MCP-Server und identifiziert mehrere Klassen von Schwächen: exponierte Token/Zugangsberechtigungen, fehlende Server-seitige Ursprungsprüfung, Prompt-Injection über Tool-Beschreibungen, unpinned Abhängigkeiten und permissive Verwaltung der Scopes.

Analyse

MCP explodierte 2025-2026, weil es ein echtes Problem löst: LLM ohne N-Integrationen an Tools anzubinden. Aber die Adoptionsgeschwindigkeit hat die Hygiene kurzgeschlossen. Drei Muster treten hervor:

1. Injection durch Tool-Beschreibung: Der MCP-Server kontrolliert den Text, den das LLM sieht - er kann also versteckte Anweisungen pushen, die den Agenten umleiten. Klassisch, bekannt, aber wenig Schutzmechanismen in den Endverbraucher-Clients.
2. Credentials mit grober Granularität: Viele Server fordern ein OAuth-Token mit zu weit gefassten Scopes, das für alle Tools wiederverwendet wird, ohne Rotation.
3. Cross-Server-Verwirrung: Wenn ein Agent 5 MCP-Server hintereinander abarbeitet, gibt es keinen Standardmechanismus, um die Herkunft eines resultierenden Tools nachzuverfolgen. Ein kompromittierter Server kann einen anderen mit Anweisungen füttern.

Under the hood

Der Bericht quantifiziert (zu bestätigen durch Drittaudits), dass ~40 % der getesteten öffentlichen MCP-Server mindestens einen geheimen Schlüssel in ihrem Repo oder der Standardkonfiguration exponieren, und dass ~65 % keine Ursprungsprüfung bei den Aufrufen implementieren. Er schlägt eine Checkliste mit 12 Punkten vor: strikte Versionierung, minimale Scopes, Signatur der Tool-Beschreibungen, On-Demand-Protokollierung und Sandbox pro Server.

Scenarios

• Standardisierung (50 %): Anthropic und OpenAI veröffentlichen bis Q4 2026 ein MCP-Profil „secure by default“ mit kryptografischer Tool-Verifizierung.
• Fragmentierung (35 %): Jeder Client macht sein eigenes Härten, das Ökosystem spaltet sich in „MCP für die Öffentlichkeit“ und „MCP für Unternehmen“.
• Major Incident (15 %): Ein sichtbarer Bruch zwingt die Branche, zu beschleunigen - das wahrscheinlichste Szenario für Q1 2027.

So what

Für einen CTO, der Agenten einsetzt: MCP wie dritten, nicht geprüften Code behandeln. Sandbox pro Server, strikte Scopes, manuelle Überprüfung der Tool-Beschreibungen, Überwachung der Agentenausgaben. Für einen Investor: Die MCP-Sicherheitsschicht wird ein echter Markt - erwarten Sie, dass 2-3 spezialisierte Startups in den nächsten 6 Monaten Geld aufnehmen.

À surveiller

Ein gehärtetes MCP-Profil, das von Anthropic oder OpenAI veröffentlicht wird, eine öffentliche CVE auf einem beliebten MCP-Server und die erste Übernahme eines MCP-Sicherheits-Startups durch einen etablierten Cyber-Akteur.