01
Transport & Authentifizierung
Fail-open-Auth, Default-Bind auf allen Interfaces, Endpunkte ohne Credential-Prüfung.
Managed-AI-Dienste, MCP-Server, Copiloten und Agenten, und die Datenbanken und Systeme, die daran hängen. Wir prüfen, wie Sie das verdrahten und exponieren, mit besonderer Tiefe bei der Agenten- und MCP-Ebene, die Standard-Scanner kaum berühren, und liefern zu jedem Befund einen belastbaren Proof of Concept.
Ein Copilot liest E-Mails, ein Agent öffnet Tickets und Dokumente, ein MCP-Server reicht den Zugriff auf Datenbanken, Postfächer und interne Werkzeuge weiter. Steht in einem dieser Inhalte eine versteckte Anweisung, kann die KI sie ausführen, mit genau den Rechten, die Sie ihr gegeben haben. Wir prüfen, was Ihre KI darf, wo sie sich missbrauchen lässt und wie Sie die Rechte so zuschneiden, dass aus einem Fehler kein Schaden wird.
Sobald ein Modell mit Ihren Credentials Werkzeuge ausführt und dabei nicht vertrauenswürdige Inhalte liest, kippt das Bedrohungsmodell: eine in eine Seite, ein Issue oder ein Dokument eingebettete Anweisung kann den Agenten zu Schreib- oder Löschaktionen bewegen, ein „read-only"-Schalter hält oft nur auf dem Papier, und ein Transport ohne echte Authentifizierung reicht die volle Autorität des Servers an jeden weiter, der den Port erreicht. Das sind keine Theorie-Risiken, es sind die Muster, die wir in echten MCP-Servern gefunden haben.
Vom Client über den Agenten, den MCP-Server, die Ausführung und das Netz bis zu Ihren Daten, der Lieferkette und der Kommunikation zwischen Agenten. Diese Karte zeigt die Klassen, die wir auf jeder Ebene prüfen, mit den Bezügen zur OWASP MCP Top 10 und der OWASP Top 10 for Agentic Applications.
Fail-open-Auth, Default-Bind auf allen Interfaces, Endpunkte ohne Credential-Prüfung.
Lokal gebundene Server, die eine Webseite per Rebinding fernsteuern kann.
Untrusted-Inhalt verbatim im Kontext, neben destruktiven Tools und Egress (Lethal Trifecta).
Server-seitige Fetches ohne Scheme-/IP-Allowlist, Redirects ohne Re-Validierung, Metadata-Endpunkte.
Shell-Ausführung, umgehbare Guards, Sandbox-Escapes bis zur Host-Kompromittierung.
Unbegrenzte Pfade, Symlink-Escapes, willkürliches Lesen und Schreiben.
Passthrough-Tools, die mit Ihren Credentials beliebige Backend-Aufrufe erlauben.
readonly-/Allowlist-/Denylist-Prüfungen, die per Unicode, Quoting oder Wrapper aushebelbar sind.
Credentials in Logs/Argv/Config-Resources, ausgelieferte Defaults, die exponieren statt schützen.
Wir haben Dutzende quelloffene MCP-Server in koordinierter Offenlegung geprüft. Jeder Befund wird erst gemeldet, wenn er am echten Code nachgewiesen ist. Öffentlich nachprüfbar: CVE-2026-15583 (Grafana MCP Server), CVE-2026-114123 (d365fo-mcp-server), CVE-2026-104776 (mcp-server-kubernetes), CVE-2026-110787 (pREST) – koordiniert gemeldet, von den Maintainern behoben. Dieselbe Methode wenden wir auf Ihren Server an.
Wir erfassen Tools, Transporte, Credentials und Datenflüsse und markieren, wo Autorität auf beeinflussbaren Input trifft.
Wir prüfen gegen eine feste Liste der Regeln, die nie verletzt werden dürfen, und versuchen jeden Befund zu widerlegen, bevor wir ihn melden. Was bleibt, ist am echten Code nachgewiesen.
Zu jedem Befund ein Proof of Concept, eine Standard-Verbot-Policy (deny-by-default), priorisierte Fixes und ein Retest nach der Behebung.
Ehrlich statt Sicherheitsgefühl. Jeden Befund verifizieren wir adversarial gegen den echten Code, bevor wir ihn melden. Und wo ein Server sauber ist, sagen wir das, „kein Fund" ist nie dasselbe wie „sicher".
Ein kostenloses Erstgespräch zu Ihrem agentischen Feature. Wir benennen die eine Eigenschaft, von der Ihre Sicherheit abhängt, und sagen Ihnen, ob sie hält.