Lokale Steuerungs-APIs für Agenten: Host-Zugriff über einen Proxy ohne Authentifizierung verhindern

Worum es geht

Stand: 25. Oktober 2026. Die Sicherheitshinweise und Bereitstellungsdokumentation des jeweiligen Steuerungsdienstes erneut prüfen. Ein bestätigtes historisches Beispiel ist CVE-2025-49596: MCP Inspector fehlte in Versionen vor 0.14.1 die Authentifizierung zwischen Client und Proxy, wodurch Befehle ohne Authentifizierung gestartet werden konnten. Der Sicherheitshinweis führt 0.14.1 als bereinigt auf. Dies ist ein Beispiel aus dem Jahr 2025 als Grundlage für heutige Architekturentscheidungen, keine neu entdeckte CVE aus dem Jahr 2026. Inspector-Sicherheitshinweis.

CWE-306 erfasst kritische Funktionen, die ohne Feststellung der Identität des Aufrufers zugänglich sind. Auf Agenten übertragen geht es um einen erreichbaren Hilfsdienst, der mit Berechtigungen handeln kann, die der Sandbox selbst fehlen. Dies kann die vorgesehene Isolation ohne eine Kernel-Schwachstelle untergraben. Diese Übertragung auf die Agentenarchitektur ist eine Schlussfolgerung für den Systementwurf, keine Behauptung, der zitierte Vorfall habe einen bestimmten Ausbruch aus einer Sandbox nachgewiesen. CWE-306.

Warum es wichtig ist

Die Bindung an Loopback begrenzt die Erreichbarkeit über das Netzwerk; sie identifiziert den lokalen Aufrufer nicht. Die MCP-Spezifikation für Streamable HTTP verlangt die Validierung eingehender Origin-Header und die Ablehnung eines vorhandenen ungültigen Origin mit HTTP 403. Ausserdem empfiehlt sie die Bindung an localhost und eine Authentifizierung. Diese Schutzmassnahmen ergänzen sich. Sicherheitsanforderungen des Transports.

Die aktuelle Web-Client-Dokumentation von Inspector beschreibt ausserdem eine Host-Validierung, da manche Seitenanfragen keinen Origin-Header enthalten. Das Backend verwendet ein Authentifizierungstoken; die Dokumentation beschreibt ein pro Start erzeugtes Token. Eine Prüfung des Browser-Ursprungs allein ersetzt daher keine Authentifizierung von Clients, die keine Browser sind. Web-Client-Dokumentation.

So wird es angewendet

• Den Dienst erfassen, der tatsächlich Befehle startet oder Dateien schreibt. Bei lokal installierten Inspector-Paketen im Installationsverzeichnis npm ls @modelcontextprotocol/inspector --depth=0 ausführen; globale Installationen getrennt prüfen. Das Paket dem aktiven Startprogramm zuordnen, statt anzunehmen, die Abhängigkeit des aktuellen Projekts sei der laufende Dienst. npm ls.
• Betroffene Inspector-Versionen durch eine unterstützte Version ersetzen, die die Fehlerbehebung aus 0.14.1 enthält. Auch spätere Sicherheitshinweise prüfen; diese historische Behebung besagt nicht, dass jeder spätere Build frei von anderen Schwachstellen ist.
• Ausschliesslich lokale Dienste an die vorgesehenen Loopback-Schnittstellen binden und veröffentlichte Container-Ports, Portweiterleitungen sowie Proxys auf unbeabsichtigte Exposition prüfen. Explizite Positivlisten für Host und Origin pflegen, wo der Dienst Browserzugriff unterstützt.
• Jede privilegierte Steuerungsoperation authentifizieren. Für einen lokalen Hilfsdienst mit Sitzungsbindung separate, nicht vorhersagbare Zugangsdaten mit begrenzter Gültigkeit verwenden und bei Sitzungsende widerrufen. Diese aus für Agenten lesbaren Dateien, Interaktionsverläufen und Tool-Ausgaben fernhalten, sofern der betreffende Agent nicht ausdrücklich für den Hilfsdienst autorisiert ist.
• Operationen getrennt von der Authentifizierung autorisieren. Die Auswahl ausführbarer Programme und beschreibbarer Stammverzeichnisse begrenzen. Ein gültiges Token sollte nicht automatisch uneingeschränkte Host-Administration erlauben.
• Als Abnahmeprüfungen die Ablehnung von Anfragen ohne Authentifizierung, mit abgelaufenen Zugangsdaten, ungültigen Ursprüngen oder unerwarteten Hostnamen prüfen, ohne echte privilegierte Operationen auszulösen. Bestätigen, dass die Sandbox keinen unnötigen Steuerungsendpunkt erreichen kann. Sowohl die tatsächlich eingerichteten Weiterleitungen als auch die Dienstkonfiguration testen.

Stolpersteine

Einen zufälligen Port oder die Bezeichnung «internes Netzwerk» nicht als Authentifizierung behandeln. Schutzmassnahmen nicht deaktivieren, um einen Verbindungsfehler zu beheben. Ungeklärte Kindprozesse auf dem Host untersuchen, Dienst- und Agentenprotokolle sichern und bei nachgewiesener nicht autorisierter Ausführung aus vertrauenswürdigen Quellen neu aufbauen. Das Ersetzen eines Hilfsdienst-Tokens entfernt keine bereits vorgenommenen Änderungen auf dem Host.