Thema: mcp
-
Tale MCP: Deployment-Endpunkt und Organisationsbereich
Tale stellt für Wissen und Automatisierungen einen deploymentspezifischen MCP-Endpunkt bereit, der Bearer-API-Keys und die Eingrenzung auf eine Organisation verwendet. Diese Referenz fasst die dokumentierten Verbindungs- und Berechtigungsgrenzen zusammen.
-
MCP-Tool-Definitionen als Angriffsfläche: vergiftete Beschreibungen, Shadowing und stille Änderungen
Die Toolnamen, Beschreibungen und Annotationen eines MCP-Servers sind Text, den das Modell liest, bevor irgendein Tool aufgerufen wird. Ein bösartiger oder kompromittierter Server kann sie nutzen, um den Agenten zu steuern, die Tools eines anderen Servers zu imitieren oder das Verhalten nach der Genehmigung zu ändern. Clients sollten Definitionen fixieren, per Diff vergleichen und wie Code überprüfen.
-
Token-Passthrough und der Confused Deputy bei MCP-Servern, die andere APIs aufrufen
Ein MCP-Server, der das Token eines Clients an eine nachgelagerte API weiterleitet oder der im Auftrag beliebiger Anfragender seine eigenen weitreichenden Zugangsdaten verwendet, lässt Aufrufende mit einer Berechtigung handeln, die ihnen nie erteilt wurde. Die MCP-Sicherheitsanleitung verbietet Token-Passthrough und beschreibt den Confused-Deputy-Ablauf für Proxy-Server.
-
Lokale Steuerungs-APIs für Agenten: Host-Zugriff über einen Proxy ohne Authentifizierung verhindern
Eine Sandbox kann ihre Schutzwirkung verlieren, wenn ein Agent eine API auf dem Host mit weitergehenden Befugnissen erreicht. Die bestätigte Authentifizierungsschwachstelle von MCP Inspector zeigt, weshalb Loopback-Bindung, Authentifizierung sowie Origin- und Host-Prüfungen unterschiedliche Teile dieser Grenze absichern.
-
Context7 CVE-2026-75130: Behebung im gehosteten Dienst und nicht vertrauenswürdige benutzerdefinierte Regeln
Context7 berichtet, die Schwachstelle in Custom Rules im Februar 2026 auf seinen Servern behoben zu haben. Die Klarstellung vom Oktober widerspricht einer Einordnung der CVE nach Client-Versionen; Dokumentationsantworten müssen weiterhin von den Weisungsbefugnissen gegenüber dem Agenten getrennt bleiben.
-
MCP-Werkzeuge gestalten, die Agenten sicher benutzen können
Werkzeuge nach dem Model Context Protocol brauchen einen engen Zweck, typisierte Eingabe- und Ausgabeschemata, wahrheitsgemässe Annotationen (nur lesend, destruktiv), begrenzte Ergebnisse und Fehler, die die Ursache nennen; Beschreibungen gehören in den Code, nicht in Inhalte, die Nutzende bearbeiten können. Die Spezifikation verlangt zudem, dass Clients Annotationen als nicht vertrauenswürdig behandeln und ein Mensch Aufrufe ablehnen kann.
-
WeKnora CVE-2026-30856: Tool-Routing nach Behebung der Überschattung prüfen
Die Schwachstelle durch kollidierende Tool-Namen in WeKnora konnte ein vertrauenswürdiges MCP-Tool durch die Implementierung eines anderen Servers ersetzen. Betroffene Deployments aktualisieren und prüfen, ob Freigabe, Identität im Register und Aufrufweiterleitung denselben Server auswählen.
-
MCP Roots, Sampling und Logging: Migrationswege nach der Abkündigung mit 2026-07-28
Roots, Sampling und das Logging auf Protokollebene sind abgekündigt, aber nicht entfernt. Die dokumentierten Alternativen erfordern getrennte Entscheidungen zu Dateisystemberechtigungen, Modellzugriff und Beobachtbarkeit im Betrieb.
-
MCP 2026-07-28: der zustandslose Kern und die Grenzen seiner Kompatibilität
Die Juli-Revision entfernt den Initialisierungshandshake und Transportsitzungen, ergänzt anfragebezogene Metadaten und Interaktionen über mehrere Anfrage-Antwort-Runden und regelt Erweiterungen sowie die Abkündigung von Funktionen. Server müssen Discovery implementieren; für Clients ist der Aufruf optional.
-
Befehlsinjektion über MCP STDIO: Behebung in Langflow und Betroffenheit von Fay
Schwachstellen in Langflow und Fay zeigen, weshalb MCP-Startkonfigurationen eine Berechtigung zur Codeausführung erfordern. Langflow 1.10.3 vervollständigt die Behebung durch eine zwingende Validierung bei der Ausführung, auch für in Flows eingebettete Konfigurationen; der geprüfte Fay-Eintrag nennt keine bereinigte Version.
-
Pfadtraversierung beim Schreiben über MCP: Begrenzung des Notebook-Vaults und Betroffenheit von Ansible Lightspeed
Indirekte Prompt Injection kann ein Datei-Tool aus seinem vorgesehenen Ausgabeverzeichnis herauslenken. Die Fehlerbehebung im Notebook-MCP-Server erfordert ein ausdrücklich festgelegtes Vault-Stammverzeichnis; der Sicherheitshinweis zu Ansible Lightspeed benennt ein Problem der Erweiterung, ohne einen bestätigten bereinigten Versionsbereich anzugeben.
-
Autorisierung in MCP 2026-07-28: Aussteller prüfen und Clientregistrierung anpassen
Die Revision verschärft die Validierung des Ausstellers in Autorisierungsantworten, bindet gespeicherte Registrierungszugangsdaten an ihren Aussteller und kündigt Dynamic Client Registration ab. Client ID Metadata Documents wurden bereits in der vorhergehenden Revision empfohlen.
-
MCP 2026-07-28 hinter HTTP-Load-Balancern: Routing und sichere Cache-Geltungsbereiche
Anfrageheader ermöglichen Routing ohne JSON-Auswertung; MCP-Cache-Hinweise regeln, welche Ergebnisse zwischengespeichert werden dürfen. Header-Validierung, die Trennung der Autorisierungskontexte und ein Cache mit MCP-Unterstützung bleiben erforderlich; allgemeines Caching von POST-Antworten ersetzt sie nicht.
-
MCP-Tools entwerfen, die Agenten sicher nutzen können
Model-Context-Protocol-Tools sollten einen engen Zweck haben, typisierte Ein- und Ausgabeschemas, ehrliche Annotationen (read-only, destructive), begrenzte Ergebnisse und Fehler, die die Ursache benennen; Beschreibungen gehören in den Code, nicht in von Nutzenden editierbare Inhalte.
-
Einen HTTP-MCP-Server auf 2026-07-28 migrieren und ältere Clients weiter unterstützen
Eine schrittweise Migration trennt den bisherigen Handshake von in sich vollständigen Anfragen, setzt die neuen Antwort- und Interaktionsformate um und prüft beide Protokollvarianten über das tatsächliche HTTP-Gateway.
Maschinenlesbar: JSON