Insecure Inter-Agent Protocol Abuse
- Agent-zu-Agent-Kommunikation
- Tools & externe Daten
Angreifer nutzen Schwächen in den Koordinationsprotokollen aus, die Agenten sprechen — allen voran MCP und A2A —, um Zustimmungsprüfungen zu umgehen, einen Protokollübergang zu kapern oder geteilten Kontext zu korrumpieren, und verwandeln so das Bindegewebe eines Multi-Agenten-Systems in einen Aktionspfad.
Was es ist
Insecure Inter-Agent Protocol Abuse zielt auf die Protokollschicht selbst ab, nicht auf den Inhalt, den eine Nachricht trägt: Während Agent Communication Poisoning (T12) falsche Daten in einen ansonsten vertrauenswürdigen Kanal einschleust, nutzt diese Bedrohung Fehler darin aus, wie die Übergänge, Zustimmungsflüsse und Metadaten des Kanals selbst behandelt werden, sodass ein Angreifer eine Schutzmaßnahme umgehen kann, die das Protokoll eigentlich durchsetzen sollte.
Sie ist eine vollwertige agentische Bedrohung, die in der Taxonomie v1.1 aufgenommen wurde — gerade weil die standardisierenden Protokolle, die Multi-Agenten- und toolgestützte Systeme interoperabel machen (MCP für den Tool- und Kontextaustausch, A2A für die Agent-zu-Agent-Koordination), zugleich eine Fehlerfläche standardisieren: Eine einzelne Protokollschwäche ist über jede Implementierung erreichbar, die es spricht, und weil das Protokoll unterhalb des Reasonings des Modells liegt, kann ein Missbrauch einen Agenten umlenken, ohne je in dem Prompt zu erscheinen, den das Modell sieht.
Arten
- Übergangs-Kaperung & Zustimmungsumgehung
- Ein Angreifer erstellt bösartige oder fehlerhaft geformte Koordinationsnachrichten, die einen legitimen Protokollübergang imitieren oder eine Zustimmungsprüfung überspringen, und lenkt so eine sensible Aufgabe um oder löst eine nicht autorisierte Operation aus.
- Kontext- & Memory-Korruption
- Indem ein Angreifer den geteilten Kontext oder die Memory-Signale, die ein Protokoll trägt, einschleust oder überschreibt, manipuliert er die Ziele eines Agenten oder den Orchestrierungsfluss, sodass Agenten unbeabsichtigte Aktionen ausführen.
- Ausnutzung von Tool-Metadaten & -Beschreibungen
- Ein kompromittierter oder gefälschter MCP-Server bewirbt Tool-Beschreibungen oder Schemata, die gezielt auf Fehlinterpretation angelegt sind, sodass der Agent eine Fähigkeit aufruft im Glauben, sie tue etwas anderes als das, was sie tatsächlich tut.
Angriffsszenarien
Eine fehlerhaft geformte MCP-Nachricht imitiert einen legitimen Protokollübergang und überspringt den Zustimmungsschritt, den ein Tool-Aufruf hätte verlangen müssen, sodass ein Spezialagent eine sensible Operation ausführt, die der Orchestrator nie freigegeben hat.
Vergiftete Tool-Beschreibung
Ein öffentlicher MCP-Server, der einem Coding-Agenten zugänglich ist, wird manipuliert, sodass ein Tool-Beschreibungsfeld Anweisungen einschmuggelt, die der Agent als Teil seiner Aufgabe behandelt, und exfiltriert bei einer gewöhnlichen Anfrage private Repository-Daten.
Wiedereingespielte Übergabe
Ein Angreifer spielt eine abgefangene A2A-Übergabenachricht erneut ein, um eine privilegierte Operation erneut auszulösen, die der empfangende Agent bereits ausgeführt hatte, weil dem Kanal ein Replay-Schutz fehlte.
Umgehung des Zustimmungsflusses
Eine fehlerhaft geformte Zustimmungsfluss-Nachricht leitet eine folgenreiche Freigabe an dem menschlichen Gate vorbei, das das Protokoll eigentlich hätte aufrufen sollen.
Adversary-in-the-Middle-Umschreibung
Ein Angreifer auf einer unverschlüsselten Verbindung zwischen Agenten schreibt eine Koordinationsnachricht unbemerkt um, sodass zwei kooperierende Agenten auf unterschiedlichen Versionen des geteilten Plans handeln.
Dokumentierte Vorfälle
Öffentlich bekannte Fälle, jeder anhand seiner Primärquelle geprüft. Eine Forschungsdemonstration zeigt, dass der Angriff gegen reale Systeme funktioniert; sie ist kein gemeldeter Einbruch.
„Rug Pull“ bei WhatsApp MCP
Ein bösartiger MCP-Server zeigte bei der Installation eine harmlose Tool-Beschreibung und tauschte sie beim zweiten Start gegen eine bösartige aus, ohne erneut um Freigabe zu bitten. Die neue Beschreibung brachte den Agenten dazu, den WhatsApp-Verlauf des Nutzers über den separaten, vertrauenswürdigen WhatsApp-MCP-Server nach außen zu senden.
Invariant Labs, “WhatsApp MCP Exploited: Exfiltrating your message history via MCP”Claude Code startet Projekt-MCP-Server vor der Zustimmung (CVE-2025-59536)
Ein MCP-Server, der in der Konfiguration eines geklonten Repositorys deklariert war, startete seinen Befehl, sobald Claude Code lief — bevor der Nutzer den Vertrauensdialog lesen, geschweige denn bestätigen konnte. Der Zustimmungsschritt des Protokolls wurde umgangen. Behoben in Version 1.0.111.
Check Point Research, “Caught in the Hook: RCE and API Token Exfiltration Through Claude Code Project Files”Abwehrmaßnahmen
- Das Protokoll authentifizieren und verschlüsseln, nicht nur die Payload
- Gegenseitige Authentifizierung und Verschlüsselung für jeden MCP-/A2A-Austausch verlangen, mit Replay-Schutz und Prüfungen der Nachrichtenintegrität, sodass eine gefälschte, wiedereingespielte oder abgefangene Protokollnachricht nicht als legitim durchgehen kann — die Disziplin hinter dem A2A Protocol, hinab bis auf die Transportebene erweitert.
- Daten auf Protokollebene validieren
- Kontext-Payloads, Tool-Metadaten und Übergangsnachrichten bereinigen und validieren, bevor auf ihrer Basis gehandelt wird, und eine Tool-Beschreibung von einem externen Server als nicht vertrauenswürdige Eingabe behandeln statt als vertrauenswürdige Konfiguration.
- Delegation begrenzen und segmentieren
- Agent-zu-Agent-Delegation gemäß Permission-scoped Tools auf eng begrenzte Funktionen beschränken und die MCP-/A2A-Schnittstelle sandboxen, sodass ein kompromittierter Protokoll-Endpunkt nicht über seine Rolle hinaus eskalieren kann.
- Identitäten signieren und Registries attestieren
- Signierte Agent Cards verifizieren und Tools nur aus attestierten Registries beziehen (eine Agent-Naming-Service- / PKI-Disziplin), sodass ein Agent über das Protokoll nicht unter einer gefälschten Identität adressiert oder impersoniert werden kann.