01
Transport & Authentifizierung
Fail-open-Auth, Default-Bind auf allen Interfaces, Endpunkte ohne Credential-Prüfung.
Managed-AI-Dienste, MCP-Server, Copiloten und Agenten, und die Datenbanken und Systeme, die daran hängen. Wir prüfen, wie Sie das verdrahten und exponieren, mit besonderer Tiefe bei der Agenten- und MCP-Ebene, die Standard-Scanner kaum berühren, und liefern zu jedem Befund einen belastbaren Proof of Concept.
Sobald ein Modell mit Ihren Credentials Werkzeuge ausführt und dabei nicht vertrauenswürdige Inhalte liest, kippt das Bedrohungsmodell: eine in eine Seite, ein Issue oder ein Dokument eingebettete Anweisung kann den Agenten zu Schreib- oder Löschaktionen bewegen, ein „read-only"-Schalter hält oft nur auf dem Papier, und ein Transport ohne echte Authentifizierung reicht die volle Autorität des Servers an jeden weiter, der den Port erreicht. Das sind keine Theorie-Risiken, es sind die Muster, die wir in echten MCP-Servern gefunden haben.
Vom Client über den Agenten, den MCP-Server, die Ausführung und das Netz bis zu Ihren Daten, der Lieferkette und der Kommunikation zwischen Agenten. Diese Karte zeigt die Klassen, die wir auf jeder Ebene prüfen, mit den Bezügen zur OWASP MCP Top 10 und der OWASP Top 10 for Agentic Applications.
Fail-open-Auth, Default-Bind auf allen Interfaces, Endpunkte ohne Credential-Prüfung.
Lokal gebundene Server, die eine Webseite per Rebinding fernsteuern kann.
Untrusted-Inhalt verbatim im Kontext, neben destruktiven Tools und Egress (Lethal Trifecta).
Server-seitige Fetches ohne Scheme-/IP-Allowlist, Redirects ohne Re-Validierung, Metadata-Endpunkte.
Shell-Ausführung, umgehbare Guards, Sandbox-Escapes bis zur Host-Kompromittierung.
Unbegrenzte Pfade, Symlink-Escapes, willkürliches Lesen und Schreiben.
Passthrough-Tools, die mit Ihren Credentials beliebige Backend-Aufrufe erlauben.
readonly-/Allowlist-/Denylist-Prüfungen, die per Unicode, Quoting oder Wrapper aushebelbar sind.
Credentials in Logs/Argv/Config-Resources, ausgelieferte Defaults, die exponieren statt schützen.
Wir haben über 50 quelloffene MCP-Server in koordinierter Offenlegung geprüft, mit einer refute-by-default-Verifikation, die jeden Befund erst gegen den echten Code beweisen muss. Ergebnis: null False Positives und reale Funde in Code großer Cloud- und Dev-Hersteller. Details veröffentlichen wir erst nach koordinierter Offenlegung und Fix. Dieselbe Methode wenden wir auf Ihren Server an.
Wir erfassen Tools, Transporte, Credentials und Datenflüsse und markieren, wo Autorität auf beeinflussbaren Input trifft.
Invarianten-Checkliste plus adversariale Verifikation: jeder Befund wird gegen den echten Code bewiesen, statt geraten.
Zu jedem Befund ein Proof of Concept, eine Standard-Verbot-Policy (deny-by-default), priorisierte Fixes und ein Retest nach der Behebung.
Ehrlich statt Sicherheitsgefühl. Jeden Befund verifizieren wir adversarial gegen den echten Code, bevor wir ihn melden. Und wo ein Server sauber ist, sagen wir das, „kein Fund" ist nie dasselbe wie „sicher".
Ein kostenloses Erstgespräch zu Ihrem agentischen Feature. Wir benennen die eine Eigenschaft, von der Ihre Sicherheit abhängt, und sagen Ihnen, ob sie hält.