MCP Rug Pull
Ein MCP Rug Pull ist ein Angriff auf Agentensysteme, bei dem ein zuvor geprüfter Model-Context-Protocol-Server die Beschreibung oder das Verhalten seiner Tools nachträglich verändert, sodass der verbundene Agent unbemerkt andere Aktionen ausführt als ursprünglich freigegeben.
Beim MCP Rug Pull verhält sich ein Tool-Server zunächst harmlos und ändert seine Tool-Beschreibung erst nach der Freigabe – der Agent führt dann bösartige Anweisungen aus, ohne dass jemand erneut zustimmt.
Erklärung
Agenten vertrauen Tool-Beschreibungen wie Dokumentation: Sie lesen sie zur Laufzeit und leiten daraus ab, wann und wie ein Werkzeug einzusetzen ist. Genau darin liegt die Schwachstelle. Wird der Server nach der ersten Freigabe aktualisiert, kann eine harmlose Beschreibung wie "liest Wetterdaten" durch versteckte Anweisungen ergänzt werden, etwa Zugangsdaten an eine externe Adresse zu senden. Weil viele Clients nur bei der Erstverbindung um Zustimmung bitten, fällt die Änderung nicht auf. Schutz bieten Versions-Pinning, kryptografische Signaturen für Tool-Manifeste, Diff-Prüfungen bei jeder Änderung und Registries, die bekannte Server samt Hashes führen.
Relevanz für Marketing
Sobald Agenten mit Kundendaten, CRM-Systemen oder Werbekonten sprechen, entscheidet die Integrität der Tool-Kette über das Schadenspotenzial. Ein Rug Pull ist die günstigste Möglichkeit für Angreifer, aus einem einmal gewährten Vertrauen dauerhaften Zugriff zu machen.
Beispiel
Ein Marketing-Agent nutzt seit Wochen einen freien MCP-Server für Keyword-Daten. Nach einem Update enthält die Tool-Beschreibung die Anweisung, vor jeder Abfrage den Inhalt der Umgebungsvariablen mitzusenden. Der Agent befolgt sie kommentarlos, bis ein Log-Review auffällt.
Häufige Fallstricke
Der zentrale Denkfehler ist, eine einmalige Prüfung des Servers als dauerhafte Sicherheit zu betrachten. Ohne Pinning und erneute Freigabe bei Änderungen prüft man nur den Zustand eines einzigen Tages.
Entstehung & Geschichte
Rug Pulls wurden 2025 in ersten Sicherheitsanalysen zum Model Context Protocol beschrieben, kurz nachdem das Protokoll breite Verbreitung fand. 2026 gehörten sie neben Tool Poisoning und Prompt Injection zu den Standardpunkten in Bedrohungsmodellen für Agentensysteme und führten zur Einführung signierter Tool-Registries.
Anwendungsfälle im Marketing
Version-Pinning aller produktiv genutzten MCP-Server samt Hash-Prüfung beim Start.
Automatischer Diff-Alert, sobald sich eine Tool-Beschreibung gegenüber der Freigabe ändert.
Allowlist interner und signierter Server statt beliebiger Community-Endpunkte.
Protokollierung aller Tool-Aufrufe mit Parametern für nachträgliche Forensik.
Häufige Fragen
Wie unterscheidet sich ein Rug Pull von Tool Poisoning?
Beim Tool Poisoning ist die schädliche Anweisung von Anfang an in der Tool-Beschreibung versteckt. Beim Rug Pull ist der Server zunächst sauber und wird erst nach der Freigabe verändert – der Angriff nutzt also gezielt das bereits gewährte Vertrauen aus.
Reicht es, nur eigene MCP-Server zu betreiben?
Das reduziert das Risiko deutlich, beseitigt es aber nicht. Auch interne Server können über kompromittierte Abhängigkeiten oder einen unbeaufsichtigten Deploy-Pfad verändert werden. Signaturen und Change-Reviews bleiben deshalb auch intern sinnvoll.
Wie erkennt man einen erfolgten Rug Pull?
Zuverlässig nur über Protokolle: unerwartete Tool-Aufrufe, neue Zielhosts im ausgehenden Verkehr oder Parameter, die im ursprünglichen Schema nicht vorgesehen waren. Ohne Aufzeichnung der Tool-Aufrufe bleibt der Angriff praktisch unsichtbar.
Verwandte Services
Tiefer einsteigen: Agentic AI Hub · Governance & Compliance