Angriffsvektor Werkzeuge, Function Calling und MCP
Werkzeuge erweitern ein Sprachmodell um Handlungsfähigkeit — und um zwei Textkanäle, die selten als Angriffsfläche wahrgenommen werden: die Beschreibung des Werkzeugs, die das Modell liest, um es zu verstehen, und die Rückgabe des Werkzeugs, die es anschließend verarbeitet. Beide landen im Kontextfenster.
Über das Model Context Protocol (MCP) binden Anwendungen fremde Werkzeug-Server ein. Damit wird die Werkzeugliste zur Lieferkette — und jeder Server zu einer Vertrauensentscheidung. Der Mechanismus dahinter ist indirekte Prompt Injection; die Grundlagen erklärt Was ist Prompt Injection?.
Zwei Kanäle, eine Ursache
Tool-Poisoning nutzt die Beschreibung: Der Agent liest sie beim Auflisten der verfügbaren Werkzeuge — also bevor ein Aufruf überhaupt stattfindet. Wer den Server kontrolliert, kontrolliert diesen Text und damit einen Kanal, der vor jeder Nutzerinteraktion wirkt.
Der zweite Kanal ist die Rückgabe. Ein Werkzeug, das Webinhalte, Dateien oder Datenbankfelder liefert, reicht damit Fremddaten direkt in den Kontext. Für das Modell ist eine Werkzeug-Antwort nicht vertrauenswürdiger als eine beliebige Webseite.
Beides zusammen erklärt, warum Werkzeugketten sorgfältig geprüft gehören: Der Angriff braucht weder eine Schwachstelle im Modell noch einen Fehler im Anwendungscode.
Was wirksam hilft
- Werkzeug-Server wie Abhängigkeiten behandeln: prüfen, versionieren, Änderungen bemerken.
- Nur die Werkzeuge bereitstellen, die die aktuelle Aufgabe braucht — kein globaler Katalog.
- Werkzeug-Rückgaben als Fremddaten kennzeichnen und nie als Anweisung interpretieren.
- Wirkungsvolle Aufrufe (schreiben, senden, bezahlen, ausführen) mit Bestätigung versehen.
- Werkzeugaufrufe protokollieren und mit Ratenlimits versehen.
Techniken aus dem Verzeichnis
Diese Einträge aus dem Techniken-Verzeichnis gehören unmittelbar zu diesem Thema — jeder mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.
-
Tool-Poisoning (MCP)
Die Beschreibung eines Werkzeugs — etwa eines MCP-Servers — enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Tools, noch bevor er das Werkzeug überhaupt aufruft.
Risiko hoch -
Werkzeug-Missbrauch durch Injektion
Die eingeschleuste Anweisung veranlasst den Agenten, seine angebundenen Werkzeuge zweckwidrig einzusetzen — Mails versenden, Dateien schreiben, Käufe auslösen, Code ausführen.
Risiko hoch -
Verwirrter Stellvertreter
Der Agent handelt mit den Rechten des Nutzers, folgt aber der Absicht eines Angreifers — er wird zum Stellvertreter, der seine Berechtigungen fremdgesteuert einsetzt.
Risiko hoch -
Prompt-Infektion in Multi-Agenten-Systemen
Eine Injektion, die sich selbst weitergibt: Ein kompromittierter Agent reicht die Anweisung samt Vervielfältigungsauftrag an die nächsten Agenten weiter — wurmartige Ausbreitung im Verbund.
Risiko hoch -
Code-Injektion über LLM-Ausgaben
Die Ausgabe des Modells wird ungeprüft weiterverarbeitet — als HTML gerendert, als SQL abgesetzt, als Shell-Befehl ausgeführt. Eine Injektion wird damit zu klassischer Codeausführung.
Risiko hoch
Passende Werkzeuge
-
mcp-scan
Prüfwerkzeug für MCP-Server, das Tool-Beschreibungen auf versteckte Anweisungen, Tool-Poisoning und nachträgliche Änderungen untersucht.
Open Source -
LlamaFirewall
Guardrail-System für Agenten, das Eingaben, Zwischenschritte der Modell-Argumentation und erzeugten Code prüft, bevor eine riskante Aktion ausgeführt wird.
Open Source -
AgentDojo
Dynamische Testumgebung, die Agenten mit realistischen Aufgaben und eingebetteten Injektionen konfrontiert und Nützlichkeit gegen Sicherheit misst.
Open Source -
InjecAgent
Benchmark für indirekte Prompt Injection in werkzeugnutzenden Agenten, unterteilt in Angriffe auf Nutzerdaten und auf Nutzeraktionen.
Open Source
Einordnung in die OWASP LLM Top 10
-
LLM06: Übermäßige Handlungsvollmacht
Das System darf mehr, als es für seine Aufgabe müsste — zu viele Werkzeuge, zu weite Rechte, zu viel Autonomie ohne menschliche Kontrolle.
-
LLM01: Prompt Injection
Eingaben verändern das Verhalten des Modells auf eine vom Betreiber nicht vorgesehene Weise — unabhängig davon, ob der Text für Menschen sichtbar ist oder nicht.
-
LLM03: Lieferkette
Risiken aus fremden Modellen, Feintunings, Datensätzen, Bibliotheken und Werkzeug-Servern, die in die eigene Anwendung eingebunden werden.
Häufige Fragen
Was ist Tool-Poisoning?
Tool-Poisoning bezeichnet versteckte Anweisungen in der Beschreibung eines Werkzeugs. Der Agent liest sie beim Auflisten der verfügbaren Werkzeuge — noch bevor er das Werkzeug aufruft — und behandelt sie wie eine legitime Vorgabe.
Ist MCP unsicher?
Das Protokoll selbst legt keine Vertrauensgrenze fest; es überträgt Werkzeugbeschreibungen und Ergebnisse. Sicher wird die Nutzung durch das Umfeld: geprüfte Server, minimale Werkzeugauswahl, Bestätigung für wirkungsvolle Aufrufe und Protokollierung.
Quellen
- Untersuchung zur Sicherheit von MCP-Servern und Tool-Poisoning (arXiv:2504.03767): https://arxiv.org/abs/2504.03767
- Model Context Protocol — Spezifikation: https://modelcontextprotocol.io/
- OWASP GenAI Security Project: LLM06:2025 Excessive Agency: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/