NIST warnt vor Angriffen über MCP-Werkzeuge bei KI-Agenten

Am 9. November 2026 hat das US-amerikanische National Institute of Standards and Technology (NIST) einen ersten öffentlichen Entwurf der Special Publication NIST SP 2400-102e2026 veröffentlicht, mit dem Titel „Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations“. Laut NIST ist der Text bis zum 18. Dezember 2026 für öffentliche Kommentare geöffnet. Unter anderem warnt der Entwurf vor der Lieferkette der Werkzeuge, die KI-Agenten über das Model Context Protocol (MCP) aufrufen.

Was ist Adversarial Machine Learning, und was deckt der NIST-Entwurf ab?

Adversarial Machine Learning (AML) untersucht Angriffe, die Systeme des maschinellen Lernens gezielt manipulieren, sowie die zugehörigen Abwehrmaßnahmen. Laut NIST legt der Bericht eine Taxonomie der Konzepte fest und definiert die Terminologie des Fachgebiets. Die Taxonomie folgt einer begrifflichen Hierarchie, die die wichtigsten Arten von ML-Verfahren, die Lebenszyklusphasen eines Angriffs sowie Ziele, Absichten, Fähigkeiten und Kenntnisse der Angreifer umfasst. Das NIST gibt an, sie stütze sich auf eine umfangreiche Literaturauswertung, Gespräche mit AML-Fachleuten und Forschung der eigenen Spezialisten.

Der Entwurf baut laut der Publikationsseite auf der historischen Reihe NIST AI 100-2 auf, die AI 100-2 E2025 als verwandte Publikation aufführt. Als Autoren genannt werden Apostol Vassilev und Maia Hamin (NIST), Alina Oprea (Northeastern University), Alie Fordyce (ElevenLabs) und Xander Davies (U.K. AI Security Institute). Der Schwerpunkt dieser Ausgabe liegt auf Angriffen auf agentische Systeme und deren Gegenmaßnahmen, behandelt in Abschnitt 4 des Berichts, zusammen mit einem neuen Index agentischer Angriffstypen.

Zur Terminologie ein Hinweis: Die NIST-Seiten selbst verwenden die Abkürzung „SI“, ausgeschrieben „Super Intelligence“, für die erfassten Systeme, während CDO Magazine und iThome den Entwurf als Text über agentische KI-Systeme beschreiben. Dieser Artikel schreibt „KI“ und folgt der Beschreibung dieser beiden Medien.

Welche Angriffe führt die Taxonomie auf?

Laut CDO Magazine, das am 12. November über den Entwurf berichtete, behandelt das Dokument Datenvergiftung, Modellvergiftung, Angriffe auf die Privatsphäre und Umgehungstechniken. Für generative KI umfasst es Angriffe auf die Lieferkette, direkte und indirekte Prompt-Injection, Informationsextraktion und Modellmanipulation. Bei einer Prompt-Injection werden Anweisungen in einem Text versteckt, den ein Modell liest, damit es ihnen folgt.

Das taiwanische Medium iThome berichtete am 13. November, der Entwurf decke prädiktives maschinelles Lernen, generative KI und agentische KI-Systeme mit den jeweiligen Abwehrmaßnahmen ab. Der agentische Teil, so CDO Magazine, behandelt Bedrohungen aus der Interaktion von Agenten mit externen Daten, Werkzeugen, Fähigkeiten und anderen Agenten: nicht vertrauenswürdige Daten, bösartige Werkzeuge und Fähigkeiten, Multi-Agenten-Abläufe und lang laufende Aufgaben.

Wie lässt sich ein MCP-Werkzeug vergiften?

Das Model Context Protocol (MCP) ist ein Standard, mit dem sich KI-Agenten an externe Werkzeuge anbinden, die Server Dritter bereitstellen. Laut iThomes Zusammenfassung des Entwurfs entscheidet ein Agent anhand der Textbeschreibung des Werkzeuganbieters, welches Werkzeug er nutzt. Das NIST beschreibt einen Angreifer, der Anweisungen in die Beschreibung eines bösartigen Werkzeugs einschleust, damit der Agent das Werkzeug des Angreifers wählt oder sogar seinen ursprünglichen Plan ändert. Das NIST nennt diese Technik Werkzeugvergiftung (Tool Poisoning).

Eine zweite Technik ist laut iThome der „Rug Pull“. Der Angreifer registriert zunächst einen scheinbar normalen MCP-Server in einem öffentlichen Werkzeugregister. Haben Nutzer ihn installiert, ändert er heimlich die vom Server gelieferten Werkzeugbeschreibungen, sodass der Agent bösartige Operationen ausführt, ohne erneut die Zustimmung des Nutzers einzuholen.

iThome ergänzt, vom NIST zitierte Untersuchungen hätten diese Art von Risiko bei MCP-Servern im realen Betrieb festgestellt. Dieselbe Zusammenfassung hält fest, die heutigen Sicherheits-Alignment-Mechanismen von KI-Modellen reichten weiterhin nicht aus, um bösartiges Verhalten zu stoppen, das über eine legitime Werkzeugschnittstelle übermittelt wird.

Welche Abwehrmaßnahmen schlägt das NIST vor?

Die beiden Medien nennen unterschiedliche, einander ergänzende Listen von Gegenmaßnahmen aus dem Entwurf:

• Werkzeugdefinitionen mit kryptografischen Signaturen und unveränderlichen Versionskennungen prüfen und die Ausführungsumgebung der Werkzeuge in einer Sandbox isolieren (iThome).
• Vertrauenswürdige Anweisungen von nicht vertrauenswürdigen Inhalten trennen, Informationsflüsse beschränken, Zugriffskontrollen und Berechtigungen nach dem Prinzip der minimalen Rechte anwenden sowie Sandboxing und Audit-Protokollierung einsetzen (CDO Magazine).

Warum reicht ein Neustart gegen Speichervergiftung nicht aus?

Über Werkzeuge hinaus berichtet iThome, das NIST erörtere die Risiken von Agenten, die lange Aufgaben ausführen. Schleust ein Angreifer bösartige Inhalte in das Langzeitgedächtnis eines Agenten ein, können diese sein Verhalten in späteren Aufgaben beeinflussen: Das ist Speichervergiftung. CDO Magazine erklärt, Agenten riefen Informationen von Websites, aus Dateien, Wissensdatenbanken und persistentem Speicher ab, und in dieses Material eingebettete bösartige Anweisungen könnten in den Kontext des Agenten gelangen.

Ein zweites Risiko ist die Anweisungsdrift. Laut iThome kann ein Agent, während sich Arbeitsdaten anhäufen, seinen frühen Anweisungen und Beschränkungen nach und nach weniger genau folgen, was einem Angreifer die Möglichkeit gibt, sein Verhalten über mehrere Interaktionen zu verändern. Ist das vergiftete Element das Basismodell oder seine Anpassungsschicht, kann ein einfacher Neustart oder eine Wiederherstellung das bösartige Verhalten möglicherweise nicht beseitigen, und ein Austausch des Modells oder ein erneutes Training kann nötig sein, ebenfalls laut iThome.

Was ändert sich für ein Unternehmen?

CDO Magazine hält fest, der Entwurf sei freiwillig und begründe keine rechtlichen oder regulatorischen Anforderungen. Es ist zudem nur ein Entwurf: Das NIST will das Dokument aktualisieren, wenn sich Angriffe und Abwehr weiterentwickeln, und bittet um Kommentare zu drei Fragen, nämlich zu den neuesten Angriffen auf bestehende und insbesondere agentische Systeme, zu den neuesten wirksamen Gegenmaßnahmen und zu neuer Terminologie, die standardisiert werden muss. Laut NIST soll die Taxonomie künftige Standards und Praxisleitfäden mitprägen.

Für ein Unternehmen in Deutschland oder Österreich, das mit US-Lieferanten oder -Kunden arbeitet, bietet der Entwurf ein gemeinsames Vokabular, um Dienstleister zu befragen und Sicherheitsanforderungen zu formulieren. Unsere Einschätzung, keine Aussage des NIST: Ein erster Schritt besteht darin, jeden MCP-Server und jedes Werkzeug zu erfassen, das die eigenen Agenten aufrufen können, die verwendeten Versionen festzuschreiben, Werkzeugbeschreibungen nach jedem Update erneut zu prüfen, Agenten nur die nötigen Berechtigungen zu geben und ihre Aktionen zu protokollieren. Diese Kontrollen gehören in einen breiteren Rahmen für die Governance von KI-Agenten.