OX Security stellt fest, dass MCP-Server China, Russland und Heimnetzwerke erreichen

OX Security am 24. September 2026 veröffentlichte Forschung analysierte 15.465 MCP-Server und berichtete, dass KI‑Agenten, die das Model Context Protocol (MCP) verwenden, eine Verbindung zu Infrastruktur in China und Russland, Heimnetzwerken und verlassenen Domains herstellen können – Infrastruktur, von der das Unternehmen sagt, dass sie außerhalb der Governance‑Kontrollen liegt, die Unternehmen um ihre Cloud‑Umgebungen herum aufgebaut haben.

Für die Studie untersuchte OX Security Research Server, die in drei öffentlichen Registries (mcp-official-registry, cline-marketplace und github-mcp-registry) aufgeführt sind, und reduzierte den Datensatz auf 5.095 eindeutige Hostnamen zur Infrastruktur‑Analyse. Der Blog‑Beitrag, der die Arbeit präsentiert, wurde von Moshe Siman Tov Bustan, Nir Zadok, Roni Bar und Vitalii Chepurko verfasst, und der vollständige Bericht, “15,465 MCP Servers. 0 Governance.”, behandelt Geolokalisierung, Domain‑Integrität und das Risiko von Prompt‑Injection.

Anthropic stellte MCP im November 2024 als offenen Standard vor, der KI‑Agenten und Anwendungen ermöglicht, sich mit externen Werkzeugen und Datenquellen zu verbinden. Laut OX Security lässt der Standard offen, welche Parteien einen Server betreiben, wo er läuft, welche Daten zu ihm fließen und ob der bereitgestellte Code mit der veröffentlichten Quelle übereinstimmt; diese Entscheidungen liegen weitgehend bei den Organisationen und Entwicklern, die die Verbindungen herstellen.

Ergebnisse zur Datenresidenz

OX Security Research stellte fest, dass 15,6 % der analysierten Hostnamen – 796 von 5.095 – zu Infrastruktur außerhalb der Vereinigten Staaten aufgelöst wurden, darunter 19 in China und 18 in Russland. OX Security erklärt, dass MCP kein protokollbasiertes Konzept einer geografischen Region besitzt und keinen integrierten Mechanismus zur Durchsetzung hat, wo verbundene Werkzeuge ausgeführt werden oder wo Daten verarbeitet werden. Das Ergebnis, so das Unternehmen, ist, dass eine Organisation strenge Residenzkontrollen über ihre eigenen Cloud‑Workloads aufrechterhalten kann, während ihre KI‑Agenten Server außerhalb dieser Grenzen erreichen.

Ein separater Teil des Datensatzes, etwa 0,45 %, bestand aus MCP-Servern, die über Heimnetzwerke und Consumer‑Tunneldienste proxied wurden. OX Security charakterisiert dies als produktive KI‑Workflows, die von Infrastruktur abhängen, die keine Verfügbarkeitsgarantien, Unternehmens‑Zugriffskontrollen und Auditierbarkeit bietet, weil sie nie für den Unternehmenseinsatz gebaut wurde. Die Veröffentlichung stellt diese Exposition als KI‑Workflows im Unternehmen dar, die jenseits zentralisierter Zugriffskontrollen und Audit‑Logging operieren.

Domain‑Takeover‑Pfad und Prompt‑Injection‑Tests

Die Analyse ergab, dass 2,3 % der Hostnamen nicht mehr aufgelöst werden. Sechs dieser Domains waren nicht registriert und für 4 $ bis 12 $ pro Jahr zum Kauf verfügbar, obwohl sie möglicherweise noch in bestehenden Konfigurationen oder Pipelines referenziert werden, so der Blog‑Beitrag. OX Security erklärt, dass jeder, der eine dieser Domains registriert, den Server, auf den sie zuvor verwiesen hat, imitieren könnte, und der Bericht warnt vor Takeover‑Pfaden, bei denen MCP‑Clients oder -Workflows diesen Endpunkten weiterhin vertrauen und sie aufrufen.

Das Team testete außerdem einen vertrauensbasierten Prompt‑Injection‑Angriff gegen Claude Code in Kombination mit Haiku 3.5. Im Test forderte ein bösartiger MCP-Server zunächst eine harmlose Datei an, und der Benutzer gewährte die Anfrage mit einer immer‑erlauben‑Berechtigung. Der Server bat anschließend um sensible Dateien, darunter eine .env‑Datei, und erhielt sie ohne weitere Benutzeraufforderung. Sowohl Opus 4.6 als auch Opus 4.7 erkannten und blockierten denselben Angriff.

OX Security berichtet, dass Anthropic das Ergebnis als dokumentiertes Verhalten einstufte, sobald eine immer‑erlauben‑Berechtigung erteilt wird, und die Modellerkennung von bösartigem Inhalt als eine best‑effort‑Heuristik statt einer Sicherheitsgrenze beschrieb.

Erklärungen der Geschäftsleitung

In eine Unternehmensmitteilung zur Bekanntgabe der Ergebnisse sagte Neatsun Ziv, Mitbegründer und CEO von OX Security: “In den letzten zehn Jahren haben Unternehmen die Cloud‑Sicherheit um Infrastruktur aufgebaut, die sie sehen und kontrollieren konnten. Was diese Forschung zeigt, ist, dass KI‑Agenten beginnen, über diese Grenzen hinaus zu reichen.” Er fügte hinzu, dass zunehmender Agentenzugriff, Autonomie und Befugnis jede erreichbare Infrastruktur Teil des Sicherheitsbildes machen, unabhängig davon, ob das Unternehmen sie kontrolliert.

Moshe Siman Tov Bustan, Forschungsleiter bei OX Security, sagte, dass die Validierung der Sicherheit von Marktplatz-MCP-Servern schwieriger war als erwartet, sowohl für einzelne Server als auch für die Infrastruktur insgesamt. Die Code‑Inspektion sei möglich, sagte er, aber der bereitgestellte Server könnte eine andere Version ausführen, und es gebe keine Möglichkeit zu wissen, wer einen bestimmten Server kontrolliert, welche Daten er sammelt oder was sich in zukünftigen Updates ändern könnte.

Der vollständige Bericht mit seiner technischen Methodik und den Bedrohungsszenarien ist auf der OX Security‑Website verfügbar.