Protocol Pivoting: Böse Prompts wandern zwischen KI-Agenten

Innerhalb von fünf Monaten mussten fünf Organisationen – darunter Google, JP Morgan Chase, Rapid7 und die französische Digitaldirektion – Schwachstellen in ihren KI-Agenten einräumen, die alle dasselbe Strukturproblem ausnutzen: Vertrauenslücken im Model Context Protocol (MCP).

Wie Protocol Pivoting funktioniert

Der Forscher Syed Anas Mohiuddin nennt die Angriffsklasse “Protocol Pivoting”: Ein Angreifer schleust bösen Text in Inhalte ein, die ein spezialisierter Agent liest. Der reicht die Anweisung als “normale delegierte Aufgabe” an einen anderen Agenten weiter – über MCP, dann weiter über Google A2A oder das Agent Network Protocol. Der zweite Agent vertraut dem ersten blind und führt aus. Spezial-Agenten haben oft kaum Guardrails, und jeder MCP-Server hält Credentials bereit. Am Ende steht häufig klassisches Server-Side Request Forgery: interne Endpunkte, Datenbanken, Exfiltration.

Betroffene Systeme

• Google: CVSS 8.0 – mcp-toolbox für Datenbanken validierte Redirects und IP-Adressen nicht; Fix per Allow- und Blocklists
• Rapid7: CVE-2026-97228 (Schwere 2.7), bereits gepatcht
• Der gleiche Angriff funktionierte bei fünf völlig unterschiedlichen Organisationen

Die eigentliche Lehre

Agenten-Architekturen haben Zero Trust aufgegeben: Jeder Knoten prüft nur “seine eigene Haustür, niemand beobachtet den Flur dazwischen”, so Rapid7-Forscher McKee. Die Faustregel: Alles, was ein LLM an ein Tool übergibt, ist zu behandeln wie Input eines Fremden im Internet – denn im Prompt-Injection-Fall ist es genau das.

Link: Ars Technica