arXiv:2605.18414: Prompts schützen nicht — MCP-Proxy mit ABAC erreicht 0 % unerlaubte Tool-Aufrufe

Eine auf arXiv veröffentlichte Studie (2605.18414) bringt einen beunruhigenden Befund für alle, die autonome KI-Agenten entwickeln: Anweisungen im Prompt sind kein ausreichender Schutz für die Zugriffskontrolle auf Tools. Nur eine architekturale Lösung — eine Middleware-Schicht zwischen Agent und Tools — kann zuverlässigen Schutz garantieren.

Warum Prompts LLM-Agenten nicht vor Tool-Missbrauch schützen

Ein Modell, das eine Tool-Liste im Kontext sieht, kann auch eines auswählen, das für den aktuellen Nutzer nicht vorgesehen ist — selbst wenn es durch Anweisungen explizit verboten ist. Autor Rohith Uppala testete dies an 150 adversariellen Aufgaben in vier Angriffskategorien mit drei Sprachmodellen — Qwen 2.5 7B, Llama 3.1 8B und Claude Haiku 3.5. Das Ergebnis ist eindeutig: Prompt-basierte Einschränkungen senken die UIR (Unauthorized Invocation Rate — Rate unerlaubter Tool-Aufrufe) nur um 11 bis 18 Prozentpunkte und hinterlassen in jedem Szenario erhebliches Restrisiko.

UIR misst, wie oft ein Agent erfolgreich ein Tool aufruft, für das kein Zugriff genehmigt wurde. Selbst mit strikten, präzise formulierten Anweisungen „vergessen” Modelle gelegentlich die Einschränkungen oder werden durch adversarielle Eingaben dazu gebracht, sie zu umgehen.

Wie ein MCP-Proxy mit ABAC das Problem architekturell löst

Die vorgeschlagene Lösung wirkt auf Ebene des MCP (Model Context Protocol) — des offenen Standards, der definiert, wie KI-Agenten externe Tools und Dienste entdecken und aufrufen. Statt direkter Kommunikation zwischen Agent und Tools wird ein Governance-MCP-Proxy eingeführt, der ABAC (Attribute-Based Access Control) — ein auf Nutzer-, Tool- und Kontext-Attributen basierendes Zugriffskontrollmodell — durchsetzt.

Der Proxy greift an zwei Stellen ein:

1. Tool-Erkennung — Unerlaubte Tools werden bereits beim Auflisten aus dem Kontext entfernt, sodass das Modell physisch nicht auswählen kann, was es nicht sieht.
2. Tool-Invokation — Selbst wenn ein Aufruf eintrifft, blockiert der Proxy ihn vor der Ausführung.

Ergebnis: UIR sinkt auf 0 % bei einer medianen Latenz unter 50 ms — vernachlässigbar für die meisten Produktionssysteme.

Was das für die KI-Agenten-Entwicklung in der Praxis bedeutet

Die Studie, die für den EMNLP 2026 Industry Track geplant ist, sendet eine klare Botschaft an Ingenieure, die Agentensysteme bauen: Sicherheitslogik darf nicht nur im Prompt leben. Wie Web-Anwendungen API-Endpunkte nicht mit Code-Kommentaren, sondern mit Middleware-Schichten und Tokens schützen, brauchen KI-Agenten architekturale Grenzen — nicht nur verbale.

Für Projekte, die das MCP-Ökosystem nutzen (eine wachsende Praxis in 2025/2026), wird die Implementierung einer Governance-Proxy-Schicht mit ABAC-Richtlinien zur empfohlenen Sicherheitshygiene — besonders in Multi-Tenant- und Enterprise-Umgebungen, wo verschiedene Nutzer unterschiedliche Berechtigungen für Tool-Sets haben.