prompt injections.de
Dokumentierter Vorfall · 2025

Tool-Poisoning über MCP-Server

Eine Untersuchung der Sicherheit von MCP-Servern beschreibt Tool-Poisoning: Die Beschreibung eines Werkzeugs enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Werkzeuge — also lange bevor ein Aufruf stattfindet — und behandelt sie wie eine legitime Vorgabe.

Zeitpunkt
2025
Betroffenes System
Agenten mit Werkzeugen über das Model Context Protocol (MCP)
Wirkung
Der Agent folgt Anweisungen aus einer Werkzeugbeschreibung, bevor das Werkzeug überhaupt aufgerufen wird
Stand der Behebung
Gegenmaßnahmen auf Ebene von Klienten und Prüfwerkzeugen; strukturell offen
Primärquelle
arxiv.org

Der Fall ist ein belegtes Beispiel für Prompt Injection in produktiven Systemen. Die Darstellung ist sachlich und erklärend; sie enthält keine Reproduktionsanleitung. Weitere Fälle stehen in der Vorfall-Übersicht.

Was passiert ist

Werkzeugbeschreibungen sind Text, der in den Kontext des Modells geladen wird, damit es das Werkzeug versteht.

Wer einen Werkzeug-Server kontrolliert, kontrolliert diesen Text — und damit einen Kanal, der vor jeder Nutzerinteraktion wirkt.

Der Angriff braucht keinen Aufruf des präparierten Werkzeugs; das bloße Vorhandensein im Verzeichnis genügt.

Damit verschiebt sich das Vertrauensproblem in die Lieferkette: Jeder eingebundene Server ist eine Vertrauensentscheidung.

Was der Fall zeigt

  • Werkzeugverzeichnisse sind Angriffsfläche, nicht Infrastruktur — sie gehören geprüft und versioniert.
  • Ein Agent sollte nur Werkzeuge sehen, die er für die aktuelle Aufgabe braucht; ein globaler Katalog vergrößert die Angriffsfläche unnötig.
  • Änderungen an Werkzeugbeschreibungen müssen auffallen, sonst wirkt ein späterer Austausch unbemerkt.

Verwendete Technik

  • Angriff auf Agenten

    Tool-Poisoning (MCP)

    Die Beschreibung eines Werkzeugs — etwa eines MCP-Servers — enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Tools, noch bevor er das Werkzeug überhaupt aufruft.

    Risiko hoch
  • Angriff auf Agenten

    Prompt-Infektion in Multi-Agenten-Systemen

    Eine Injektion, die sich selbst weitergibt: Ein kompromittierter Agent reicht die Anweisung samt Vervielfältigungsauftrag an die nächsten Agenten weiter — wurmartige Ausbreitung im Verbund.

    Risiko hoch
  • Angriff auf Agenten

    Verwirrter Stellvertreter

    Der Agent handelt mit den Rechten des Nutzers, folgt aber der Absicht eines Angreifers — er wird zum Stellvertreter, der seine Berechtigungen fremdgesteuert einsetzt.

    Risiko hoch

Quellen

  1. Untersuchung zur Sicherheit von MCP-Servern und Tool-Poisoning (arXiv:2504.03767): https://arxiv.org/abs/2504.03767

Im Zusammenhang