Seminar MCP- und Agent-to-Agent-Sicherheit

MCP und Agent-to-Agent-Kommunikation verbinden dynamisch Clients, Agenten, Werkzeuge und Datenquellen. Dadurch entstehen neue Vertrauensbeziehungen, in denen Identität, Autorisierung, Metadaten und Nachrichtenkontext konsequent abgesichert werden müssen.

Zielsetzung

Das Seminar befähigt zur sicheren Planung, Implementierung und Prüfung von MCP- und Agentenkommunikation. Der Schwerpunkt liegt auf eindeutigem Ressourcenbezug, begrenzter Delegation, validierten Metadaten und nachvollziehbaren Tool-Aufrufen.

MCP-Sicherheitsarchitektur

• Rollen und Vertrauensgrenzen von Host, Client, Server, Authorization Server und Ziel-API
• OAuth-basierte Autorisierung, geschützte Ressourcenmetadaten und sichere Serverermittlung
• PKCE, State, Redirect-URI-Prüfung, Client-Vertrauen und Einwilligung
• Token-Audience, Resource Indicators, Scope-Minimierung und Verbot von Token Passthrough
• Bindung nicht erratbarer State Handles an die authentisierte Identität und sichere Ablaufregeln
• Sichere lokale Server, vollständige Installationsfreigabe, Sandboxing, Prozessgrenzen und Egress-Kontrolle

Angriffe und Schutzmaßnahmen

• Confused Deputy, SSRF, Mix-up, State Handle Hijacking, Token-Diebstahl und Autorisierungsumgehung
• Manipulierte Authorization URLs, Localhost-Redirect-Impersonation und unsichere stdio-Proxy-Szenarien
• Kompromittierte lokale MCP-Server, versteckte Startbefehle, DNS Rebinding und übermäßige Hostrechte
• Tool Poisoning, manipulierte Beschreibungen, versteckte Anweisungen und rug-pull-artige Änderungen
• Manipulierte Ressourcen, Prompts und Rückgabedaten
• Allowlisting, Versionierung, Integritätsprüfung, Tool-Gateway und Policy Enforcement

Agent-to-Agent-Kommunikation

• Agent Cards nach A2A 1.0, geschützte Extended Agent Cards, Signaturprüfung und vertrauenswürdige Discovery
• Versionsaushandlung, erforderliche Extensions und sichere Behandlung mehrerer Protokollbindungen
• Transportgebundene Identität, da Benutzer- und Clientidentitäten nicht im A2A-Nachrichtenkörper geführt werden
• Autorisierung pro Skill, Task, Datenobjekt und Aktion sowie sichere sekundäre Authentisierung während eines Tasks
• Weitergabe von Benutzer-, Zweck- und Delegationskontext ohne Rechteausweitung
• Mandantentrennung, Datenschutz für Messages und Artifacts, Quoten und Schutz vor kaskadierenden Fehlern

Praktische Übungen

• Modellierung eines sicheren MCP-Autorisierungsflusses
• Analyse von Token-Audience-, Confused-Deputy- und State-Handle-Schwachstellen
• Absicherung eines Tool-Katalogs gegen manipulierte Metadaten
• Prüfung einer signierten Agent Card und Entwurf einer mandantenfähigen A2A-Delegationskette
• Erstellung eines Prüfplans für MCP-Client, Server und Ziel-API

Einordnung im Seminarprogramm

IAM-Grundlagen und Threat Modeling sind die ideale Vorbereitung. Danach bieten sich Secrets und privilegierte Zugriffe, Red Teaming oder das technische Intensivseminar an.