Cyberpediavon Brain
DEENFR

KI-Agenten, Werkzeuge und das MCP-Protokoll

Ein KI-Agent ruft in Ihrem Auftrag Werkzeuge auf: Mail, Dateien, APIs. Was dabei schiefgehen kann und wie Sie seine Rechte begrenzen.

In 30 Sekunden

Wo es vorkommt
In jedem Assistenten, der Ihre E-Mails, Ihre Dokumente oder Webseiten liest und handeln kann (senden oder löschen), ohne dass Sie bei jedem Schritt klicken3.
Was der Angreifer will
Eine Anweisung in einen Inhalt einschleusen, den der Agent liest, damit er an seiner Stelle handelt, zum Beispiel indem er sensible E-Mails weiterleitet3.
Der Reflex
Geben Sie dem Agenten nur das absolute Minimum an Rechten, verlangen Sie Ihre Freigabe vor jeder Aktion mit Wirkung (Senden, Löschen, Veröffentlichen) und prüfen Sie, was er vorbereitet hat3.
Wenn es schon passiert ist
Informieren Sie Ihr Sicherheitsteam, mit dem Datum und den Werkzeugen, die zu diesem Zeitpunkt mit dem Agenten verbunden waren. Die Aktivitätsprotokolle der Werkzeuge helfen, ungewöhnliche Aktionen zu erkennen3.

Worum es geht

Ein KI-Agent ist ein Sprachmodell, dem man Werkzeuge gegeben hat: ein Postfach lesen, Dateien öffnen, eine Website durchsuchen, eine API aufrufen. Forschungsarbeiten aus den Jahren 2022 und 2023 beschreiben Modelle, die darauf trainiert wurden zu entscheiden, welche APIs sie wann und mit welchen Argumenten aufrufen1, oder die mit wenigen Beispielen dazu angeleitet wurden, zwischen Überlegen und Handeln zu wechseln und externe Quellen heranzuziehen2.

Die OWASP, die die Liste der wichtigsten Risiken für Anwendungen auf Basis von Sprachmodellen führt, spricht von „Agency“: der Fähigkeit, über Erweiterungen Funktionen aufzurufen oder mit anderen Systemen zu interagieren. Die Anbieter nennen diese Erweiterungen auch Tools, Skills oder Plugins. Die Wahl der Erweiterung, die ausgeführt wird, kann dem Agenten selbst überlassen werden, der anhand der Anfrage oder des Ergebnisses eines früheren Aufrufs entscheidet3. Für Beschäftigte wird die Frage einfach: Was kann dieser Agent in meinem Namen tun, und wer prüft, bevor es geschieht?

Direkte Fragen

Was unterscheidet einen Agenten von einem einfachen Chat-Assistenten?

Ein Chat-Assistent antwortet. Ein Agent handelt: Er ruft das Modell wiederholt auf und stützt sich auf das Ergebnis früherer Aufrufe, um die nächsten zu steuern3. Jedes angeschlossene Werkzeug vergrößert, was ein Fehler oder eine Manipulation auslösen kann.

Was ist das MCP-Protokoll?

Die für diese Fiche zusammengetragenen Quellen beschreiben MCP nicht. Sie behandeln Werkzeuge, Erweiterungen und Konnektoren im Allgemeinen, und die weiter unten beschriebenen Risiken gelten für jede Art, einen Agenten an ein Werkzeug anzuschließen. Das Protokoll selbst wird deshalb hier nicht im Einzelnen erläutert.

Was ist eine indirekte Prompt-Injection?

Das ist der Fall, in dem das Modell Anweisungen erhält, die in einem externen Inhalt wie einer Website oder einer Datei versteckt sind, und sein Verhalten daraufhin ändert4. Forschende haben 2023 gezeigt, dass sich auf diesem Weg Anwendungen mit eingebundenem Modell aus der Ferne und ohne direkte Schnittstelle angreifen lassen, indem die Anweisungen in Daten platziert werden, die abgerufen werden könnten5. Der Angreifer braucht keinen Zugang zur KI: Er schreibt etwas, das sie irgendwann lesen wird6. Der Text kann für Menschen sogar unsichtbar sein, solange das Modell ihn auswertet4.

Lassen sich diese Angriffe mit einem Filter blockieren?

Nicht vollständig. Die OWASP hält es für ungewiss, ob es eine lückenlose Vorbeugung gibt4. Das britische NCSC erklärt, aktuelle Modelle unterschieden nicht zwischen Anweisungen und Daten: Sie sagten lediglich das nächste Wort voraus. Es hält es für möglich, dass sich Prompt-Injection im Gegensatz zur SQL-Injection nie vollständig beheben lässt, und empfiehlt, Risiko und Auswirkungen zu verringern6. Es warnt auch vor Produkten, die versprechen, Prompt-Injection zu „stoppen“6.

Was sollte ich prüfen, bevor ich den Agenten handeln lasse?

Alles, was Ihren Bereich verlässt: versendete E-Mails oder geteilte Dateien. Die OWASP nennt das Beispiel eines E-Mail-Versands, bei dem der Nutzer jede vom Agenten verfasste Nachricht prüft und freigibt3.

1Wie es funktioniert1 min

Eine Anwendung gibt dem Modell eine Reihe von Werkzeugen und lässt es dann auswählen, welche es aufruft3. Die Anweisungen des Entwicklers und der zu verarbeitende Inhalt (eine E-Mail, eine Seite, eine Datei) treffen in derselben Eingabe ein. Aktuelle Agenten beruhen im Allgemeinen auf dieser Mischung aus vertrauenswürdigen Anweisungen und nicht vertrauenswürdigen Daten7.

Das NCSC zieht daraus eine praktische Folgerung. Wenn der Agent Werkzeuge oder APIs aufgrund dessen aufruft, was das Modell sagt, erhält ein Angreifer, der das Modell manipuliert, das Äquivalent eines direkten Zugriffs auf diese Werkzeuge, mit dem schlimmsten Szenario, das daraus folgt6.

2Was Sie tun2 min

Die OWASP listet Maßnahmen auf, die die übermäßige Macht eines Agenten verringern. Deren Konfiguration steuern Sie nicht immer selbst, aber Sie können sie bei dem Team anfragen, das das Werkzeug einführt.

  • Werkzeuge reduzieren: Braucht der Agent keine Webadresse zu lesen, bekommt er diese Funktion nicht3.
  • Funktionen reduzieren: Eine Erweiterung, die E-Mails zusammenfasst, muss sie nur lesen, nicht löschen oder versenden3.
  • Genau abgegrenzte Werkzeuge offenen Werkzeugen wie „einen Befehl ausführen“ vorziehen: Bei Letzteren kann jeder beliebige andere Befehl gestartet werden3.
  • Berechtigungen reduzieren: Ein Werkzeug zum Lesen einer Datenbank darf sich nicht mit einer Identität anmelden, die auch ändern oder löschen kann3.
  • Mit Ihren eigenen Rechten handeln, nicht mit einem allgemeinen, hoch privilegierten Konto. Für ein Code-Repository nennt die OWASP eine OAuth-Verbindung mit dem kleinstmöglichen Geltungsbereich3.
  • Für Aktionen mit großer Wirkung eine menschliche Freigabe verlangen3.
  • Die Aktivität der Werkzeuge protokollieren, um ungewöhnliche Aktionen zu erkennen, und die Rate begrenzen, um die Zahl unerwünschter Aktionen in einem Zeitraum zu verringern3.

Das NCSC schlägt eine einfache Regel vor: Wenn ein Modell Informationen von Dritten verarbeitet, sinken seine Privilegien auf die dieses Dritten. Ein Agent, der E-Mails externer Personen liest, darf deshalb keinen Zugriff auf privilegierte Werkzeuge haben6.

Auf der Plattformseite beschreibt Microsoft für Copilot Studio Kontrollen, die Administratoren vorbehalten sind: Datenrichtlinien für Konnektoren, Aktionen und HTTP-Anfragen, Analyse der Konnektor-Abhängigkeiten vor der Bereitstellung, Überwachungsprotokolle und die Möglichkeit, die Veröffentlichung von Agenten mit generativer KI zu deaktivieren. Die Entwickler von Agenten können die Werkzeuge außerdem so konfigurieren, dass sie mit den Anmeldedaten des Nutzers ausgeführt werden8.

3Die Fallstricke1 min
  • Der Agent mit übermäßigen Rechten. Die OWASP unterscheidet drei Ursachen: zu viele Funktionen, zu viele Berechtigungen, zu viel Autonomie3. Eine Erweiterung, die während der Entwicklung ausprobiert und dann aufgegeben wurde, kann für den Agenten erreichbar bleiben3. Eine Erweiterung eines Drittanbieters, die zum Lesen von Dokumenten ausgewählt wurde, kann sie womöglich auch ändern und löschen3.
  • Die in einer E-Mail versteckte Anweisung. Im Beispiel der OWASP bringt eine präparierte eingehende E-Mail einen Mailassistenten dazu, den Posteingang zu durchsuchen und sensible Informationen an den Angreifer weiterzuleiten3.
  • Das Bild, über das die Unterhaltung abfließt. Ein Nutzer bittet die KI, eine Seite mit versteckten Anweisungen zusammenzufassen, die sie dazu bringen, ein Bild einzufügen, das auf eine Adresse verweist: So gelangt die private Unterhaltung nach außen4.
  • Das veränderte Dokument in einer Wissensbasis. Verändert ein Angreifer ein Dokument, das eine Anwendung mit abrufgestützter Generierung nutzt, kann die Antwort der KI irreführend werden4.
  • Die Verkettung zwischen Werkzeugen. Eine Injection kann von einem früheren Aufruf einer kompromittierten Erweiterung stammen oder von einem anderen kompromittierten Agenten in einem Multi-Agenten-System3.
  • Der einzelne Test, der zu Unrecht beruhigt. Das NIST stellt fest, dass ein Modell bereits bekannten Angriffen widerstehen und doch Angriffen erliegen kann, die eigens für es entworfen wurden7.
4Reale Fälle1 min

Februar 2023: Demonstration an Bing Chat und Code-Assistenten

Forschende, darunter Kai Greshake und Sahar Abdelnabi, reichten am 23. Februar 2023 einen Artikel ein, der indirekte Injection-Angriffe gegen reale Systeme zeigt, darunter den auf GPT-4 beruhenden Bing Chat und Engines zur Code-Vervollständigung. Ihrer Darstellung nach kann die Verarbeitung eines abgerufenen Prompts der Ausführung beliebigen Codes gleichkommen und steuern, ob und wie andere APIs aufgerufen werden. Sie stellen zu diesem Zeitpunkt einen Mangel an wirksamen Gegenmaßnahmen fest5.

Januar 2025: die Bewertung der Agenten-Entführung durch das NIST

Am 17. Januar 2025 veröffentlichte das Center for AI Standards and Innovation des NIST seine Tests zur Entführung von Agenten auf dem Framework AgentDojo. Die eigens für das getestete Modell entworfenen Angriffe stiegen von 11 % Erfolgsquote (beste Referenzattacke) auf 81 %7. Bei fünf Injection-Aufgaben, darunter das Senden eines Authentifizierungscodes an einen Dritten und das Ausführen eines schädlichen Skripts, lag der durchschnittliche Erfolg bei 57 % mit einem Versuch und bei 80 % mit 25 Versuchen pro Angriff7. Es handelte sich um simulierte Umgebungen, nicht um Vorfälle in Unternehmen7.

Merkblatt

Kennung
CP-264
Flügel
4. Künstliche Intelligenz
Brain-Kompetenz
KI beherrschen (master_ai)
Brain-Reflex
air-048
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. arXiv, „Toolformer: Language Models Can Teach Themselves to Use Tools“, 9. Februar 2023. https://arxiv.org/abs/2302.04761 (abgerufen am 3. November 2026)
  2. arXiv, „ReAct: Synergizing Reasoning and Acting in Language Models“, 6. Oktober 2022. https://arxiv.org/abs/2210.03629 (abgerufen am 3. November 2026)
  3. OWASP, „LLM06:2025 Excessive Agency“. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (abgerufen am 3. November 2026)
  4. OWASP, „LLM01:2025 Prompt Injection“. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (abgerufen am 3. November 2026)
  5. arXiv, „Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection“, 23. Februar 2023. https://arxiv.org/abs/2302.12173 (abgerufen am 3. November 2026)
  6. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)“, 8. Dezember 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (abgerufen am 3. November 2026)
  7. NIST, „Technical Blog: Strengthening AI Agent Hijacking Evaluations“, 17. Januar 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (abgerufen am 3. November 2026)
  8. Microsoft, „Security and governance - Microsoft Copilot Studio“. https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „KI-Agenten, Werkzeuge und das MCP-Protokoll“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/

BibTeX 
@misc{brain_cp264_de_2026,
  author = {Brain},
  title = {KI-Agenten, Werkzeuge und das MCP-Protokoll},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0