KI-Agenten sollen als hilfreiche Assistenten dienen, doch neue Forschung von TikTok legt nahe, dass sie auch als unwissende Kanäle für Datendiebstahl fungieren können. Ein Papier des Privacy Innovation Lab des Unternehmens argumentiert, dass Multi-Turn-Model-Context-Protocol-(MCP)-Systeme die Sicherheitsannahmen brechen, auf die sich Entwickler bisher verlassen haben.

Laut der Studie kann eine bösartige Toolbeschreibung einen Agenten auf Basis großer Sprachmodelle (LLM) dazu verleiten, Nutzeranfragen und die eigenen Antworten an ein von einem Angreifer kontrolliertes Logging-Tool zu senden. Der Nutzer stellt eine Frage, der Agent antwortet, und ein Dritter bewahrt stillschweigend eine Kopie des gesamten Austauschs auf.

Was das Papier fand

Das Papier mit dem Titel "When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions" wurde am 27. Februar 2026 von Sirat Samyoun und Jian Du des Privacy Innovation Lab von TikTok veröffentlicht.

Im Mittelpunkt steht das Model Context Protocol (MCP), ein Standard, der als universeller Adapter fungiert und es KI-Agenten ermöglicht, sich während einer Konversation mit externen Tools und Diensten zu verbinden.

Der Titel trifft den Kerngedanken: Die Beschreibung eines Tools ist Text, den das Modell liest, und Text, den ein Modell liest, kann als Anweisung fungieren. Schreibt ein Angreifer diese Beschreibung, verfasst er faktisch einen Teil des Prompts. Der Agent kann dann diesen verborgenen Anweisungen folgen, einschließlich der Aufforderung, Konversationen an einen von einem Angreifer kontrollierten Logging-Dienst weiterzuleiten.

Sensible Daten, die nicht verschwinden wollen

Tool-Vergiftung ist nur ein Teil der Geschichte. Die Forscher fanden außerdem heraus, dass sensible Felder dazu neigen, über mehrere Konversationsrunden hinweg zu bestehen und Servergrenzen zu überschreiten.

Ihre Beispiele umfassen Sozialversicherungsnummern und andere Kennungen. Diese Details könnten offengelegt werden, selbst wenn dem Agenten ausdrücklich gesagt wurde, sensible Informationen auszulassen.

Das Team führte kontrollierte Experimente auf öffentlichen MCP-Servern und Integrationen durch. Es zeigte, dass vollkommen legitime Tool-Antworten kombiniert werden konnten, um personenbezogene Informationen (PII) zu rekonstruieren.

Kein einzelner Server musste ein vollständiges Profil herausgeben. Stattdessen konnten Daten aus separaten MCP-Servern zusammengesetzt werden, was die indirekte Datenleckage verschlimmert. Für alle, die einen Agenten mit mehreren Integrationen betreiben, bedeutet das: Die Gefahr liegt nicht in einem einzelnen Tool, sondern in dem, was mehrere einzeln harmlose Tools in Kombination offenbaren.

Warum Sicherheitsprüfungen pro Runde das Problem übersehen

Die schärfste Kritik des Papiers richtet sich dagegen, wie die Sicherheit von MCP üblicherweise bewertet wird. Die meisten Prüfungen betrachten jede Konversationsrunde isoliert.

Die Forscher argumentieren, dass dieser Ansatz das kumulative Risiko verfehlt. Die Gefährdung summiert sich über Runden und Tools hinweg auf und wird erst sichtbar, wenn die gesamte Konversationshistorie untersucht wird. Demnach könnte eine Prüfung, die jede einzelne Runde für unbedenklich erklärt, weiterhin eine Leckage übersehen, die erst über eine vollständige Sitzung hinweg zutage tritt.

Ein junger Standard mit wachsender Angriffsfläche

MCP etablierte sich Ende 2024 als Standard. Seither hat es Verbreitung in beliebten Tools wie Cursor und Claude Desktop gefunden. Diese Reichweite verlagert die im Papier angesprochenen Bedenken in Software, auf die viele Entwickler und Endnutzer bereits setzen.

Das TikTok-Papier baut auf einer Welle sicherheitsbezogener Forschung auf, die 2025 begann. Diese früheren Arbeiten hoben Bedenken hinsichtlich der Vergiftung von Toolbeschreibungen und Supply-Chain-Schwachstellen im Zusammenhang mit MCP-Servern hervor.

Die Vergiftung von Toolbeschreibungen wird seit Anfang 2025 als Risiko eingestuft. Benchmarks haben es auch beziffert: MCPTox meldet eine durchschnittliche Angriffserfolgsquote von 36,5 % über Modelle hinweg.

Was Samyoun und Du hinzufügen, ist die Multi-Turn-Perspektive. Frühere Bedenken drehten sich darum, ob ein einzelnes Tool vertrauenswürdig sei. Dieses Papier fragt, was passiert, wenn viele Tools und viele Runden über die Lebensdauer einer Konversation interagieren.

Was das für Entwickler und Unternehmen bedeutet

Für Entwickler ist die Botschaft unbequem, aber klar. Die einzelne Prüfung jedes Tools und die isolierte Kontrolle jeder Antwort reichen möglicherweise nicht aus.

Die Forscher rufen alle Beteiligten im MCP-Ökosystem, von Entwicklern bis Endnutzern, dazu auf, ihre Sicherheitsframeworks zu überdenken. In der Praxis deutet das darauf hin, Toolbeschreibungen als nicht vertrauenswürdige Eingaben zu behandeln und das Risiko über die gesamte Konversation statt Runde für Runde zu bewerten.

Die Ergebnisse werfen auch Supply-Chain-Fragen auf. Wenn Agenten sich mit öffentlichen MCP-Servern verbinden können, ist jedes Third-Party-Tool ein potenzielles Einfallstor für vergiftete Anweisungen. Die naheliegende Frage ist, ob die Praxis dem Rat des Papiers folgt – ob Toolbeschreibungen künftig als nicht vertrauenswürdige Eingaben behandelt werden und ob Sicherheitsprüfungen von einzelnen Runden auf ganze Konversationen ausgeweitet werden.