Das Model Context Protocol vereinheitlicht, wie Agenten externe Tools, Dienste und Datenquellen entdecken und aufrufen. Das beschleunigt die Automatisierung: Agenten können Tickets eröffnen, Abfragen ausführen oder Transaktionen auslösen. Zugleich bündelt es Berechtigungen. Kann ein einzelner Protokollendpunkt zahlreiche Dienste auflisten und aufrufen, fehlt Verteidigern der Kontext zu einzelnen Tools, auf den herkömmliche Zugriffskontrollen ausgelegt sind. MCPs Rolle zu verstehen, ist der erste Schritt: MCP-Server sollten als Protokoll-Gateways behandelt werden, die sowohl Transparenz als auch Kontrolle erfordern – und nicht bloß allgemeinen Netzwerkschutz.

MCP eröffnet mehrere Angriffswege, die bei herkömmlich bereitgestellten APIs nicht vorkommen. Beim Tool Poisoning werden Tool-Manifeste manipuliert, damit Agenten schädliche oder riskante Aktionen ausführen. Durch die Auflistung verfügbarer Tools können Angreifer ermitteln, welche internen Funktionen erreichbar sind, und gezielt lohnende Ziele auswählen. Agenten-Imitation und der Missbrauch von Zugangsdaten ermöglichen unbefugte Aktionen. Schädliche MCP-Server können schließlich Agentenanfragen abfangen oder umleiten. Verteidiger benötigen eine Verhaltenserkennung, die Aufrufmuster, Häufigkeit und nachgelagerte Auswirkungen überwacht, denn rein signaturbasierte Regeln erfassen viele dieser protokollspezifischen Angriffe nicht.

Radware kombiniert MCP-spezifische Transparenz mit protokollbasierten Schutzmaßnahmen. Zu den wichtigsten Funktionen zählen die Inventarisierung und Zuordnung von MCP-Servern und bereitgestellten Tools, die Erkennung von Protokollmissbrauch – etwa gezielten Überflutungsmustern oder ungewöhnlichen Tool-Aufrufsequenzen –, Analysen zu Agentenidentitäten und Governance-Kontrollen für die Durchsetzung von Richtlinien in großem Maßstab. Die Unterstützung hybrider Umgebungen – Public Cloud, Private Cloud, Kubernetes und Hardware-Appliances – ermöglicht den Einsatz in unterschiedlichsten Unternehmensumgebungen. Das Angebot ergänzt Radwares bestehende Lösungen Agentic AI Protection und LLM Firewall und schafft so einen integrierten Sicherheitsansatz für Agenten, Modelle und die MCP-Infrastruktur.

Für den Betrieb empfiehlt sich ein dreistufiges Vorgehen. Phase 1: MCP-Server inventarisieren und bereitgestellte Tools katalogisieren; diese Übersicht sollte als Konfigurationsbestand gepflegt werden. Phase 2: Agentenaktivitäten erfassen und normale Aufrufsequenzen als Basis definieren, um die Anomalieerkennung zu optimieren und Fehlalarme zu reduzieren. Phase 3: Richtlinien schrittweise durchsetzen – etwa mit Ratenbegrenzungen, Zugriffsrichtlinien für Tools und Sperrlisten – und dabei Identitätsverwaltung, Secrets-Management und Änderungsprozesse einbinden. Automatisierte Workflows sollten Sicherheitsprüfungen wie Freigabeschritte und simulierte Durchläufe vorsehen, bevor Agenten Zugriff auf risikoreiche Tools erhalten.

MCP-Sicherheit ist nicht nur eine technische, sondern auch eine organisatorische Aufgabe. Rechtsabteilung, Compliance und Fachbereiche müssen mitbestimmen, welche Aktionen von Agenten und welche Datennutzung zulässig sind. Sicherheitsteams benötigen Richtlinienvorlagen, die Geschäftsrisiken – etwa im Finanz- oder Personalwesen – berücksichtigen, sowie abgestufte Durchsetzungsmaßnahmen, die an Agentenidentität und Kritikalität der Tools gekoppelt sind. Mit der Zeit dürften sich in MCP-Ökosystemen Telemetrieformate und Richtlinienschemata vereinheitlichen. Anbieter mit offenen Integrationen für Identitäts-, SIEM- und Orchestrierungsplattformen werden die sichere Einführung von Agenten beschleunigen. Bis dahin sollten Roadmaps Transparenz und Governance Vorrang vor pauschaler Blockierung geben.