Agent-Security-Review für KI-Agenten, MCP-Server und Skills

Ich prüfe, was Ihre KI-Agenten dürfen und wo eine fremde Eingabe sie dazu bringen kann, mehr zu tun. Sie erhalten einen priorisierten Bericht: Jeder Befund ist am Quelltext oder in einer abgeschotteten Testumgebung belegt und hat einen konkreten Fix-Vorschlag.

Coding-Agents, MCP-Server und selbst gehostete Agenten wie Hermes oder OpenClaw lesen Webseiten, Tickets und Dokumente und handeln danach mit echten Rechten. Damit wird jede gelesene Quelle zu einer möglichen Anweisung. Das Review klärt, welche Grenzen in Ihrem Setup tatsächlich halten.

KI-Agenten arbeiten mit weitreichenden Rechten, aber niemand hat geprüft, was eine manipulierte Eingabe, ein fremder Skill oder ein MCP-Server damit anrichten kann.

Priorisierter Bericht mit belegten Befunden, Fix-Vorschlägen und einer getrennten Liste der Punkte, die nur am Live-System prüfbar sind.

Agenten bekommen Zugriff auf Repositories, Terminals, Postfächer und interne APIs, oft schneller, als jemand die Rechte dahinter prüft. Gleichzeitig lesen sie Inhalte, die nicht vom eigenen Team stammen: Webseiten, Issues, Dokumente, Antworten anderer Werkzeuge. Fremde Skills und MCP-Server kommen per Einzeiler ins Setup und laufen mit denselben Rechten wie der Agent. Ein Fehler zeigt sich dann nicht als Absturz, sondern als Aktion, die niemand freigegeben hat.

Das Review folgt den Vertrauensgrenzen Ihres Setups: Wer darf dem Agenten Eingaben liefern, welche Werkzeuge kann er damit auslösen, und welche Kontrolle soll das verhindern? Für jede Grenze prüfe ich am Quelltext und, wo nötig, in einer abgeschotteten lokalen Testumgebung, ob sie hält. Als Befund zählt nur, was belegt ist. Was sich nur am Live-System klären lässt, steht getrennt im Bericht, mit einem sicheren Prüfweg und ohne Schweregrad.

Typische Ausgangslage

  • Agenten haben mehr Tool-Rechte, als ihre Aufgabe braucht
  • Inhalte aus Web, Tickets oder Dokumenten können Anweisungen an den Agenten enthalten
  • Fremde Skills, Plugins und MCP-Server werden ohne Prüfung installiert
  • Freigaben lassen sich umgehen, weil nicht geprüft wird, wer sie erteilt hat
  • Secrets liegen in Umgebungen, die der Agent lesen kann

Was ich liefere

  • Inventur: Agenten, Werkzeuge, MCP-Server, Skills, Rechte und Secrets
  • Prüfung der Grenzen: Tool-Rechte, Prompt-Injection über gelesene Inhalte, Freigabewege, Lieferkette fremder Skills
  • Belege am Quelltext oder in einer abgeschotteten Testumgebung, keine Tests gegen Ihre Produktivsysteme
  • Je Befund der kleinste wirksame Fix und ein Regressionstest

Technischer Ansatz

  • Coding-Agents wie Claude Code, Codex oder Cursor mit ihren Hooks, Regeln und Berechtigungen
  • MCP-Server: welche Werkzeuge sie anbieten, welche Rechte dahinterstehen und wem sie antworten
  • Selbst gehostete Agenten wie Hermes oder OpenClaw: Tool-Gates, Freigaben, Speicher und Sitzungen
  • Fremde Skills und Plugins: Herkunft, Version, Inhalt und was sie beim Laden ausführen

Ablauf

  • Erstgespräch: Umfang festlegen, welche Agenten, Repositories und Umgebungen geprüft werden
  • Prüfung am Quelltext und in einer abgeschotteten lokalen Umgebung, Richtwert 2 bis 3 Arbeitstage
  • Bericht mit priorisierten Befunden, Fix-Vorschlägen und offenen Punkten zur Prüfung am Live-System
  • Abschlussgespräch; die Umsetzung der Fixes kann Ihr Team übernehmen oder separat beauftragt werden

Warum ich

  • Methode am eigenen Agenten-System erprobt (PersonalOS)
  • Jeder Befund mit Beleg und Fix-Vorschlag
  • Keine Tests gegen Produktivsysteme
  • Remote deutschlandweit, deutsche Verträge

Häufige Fragen

Was unterscheidet das Review vom Agent-Workflow-Audit?

Der Agent-Workflow-Audit fragt, welche Werkzeuge und Abläufe Ihrem Team helfen und was sie kosten. Das Security-Review fragt, was ein Agent darf und ob eine fremde Eingabe ihn dazu bringen kann, mehr zu tun. Beides lässt sich kombinieren.

Greifen Sie dabei auf unsere Produktivsysteme zu?

Nein. Ich prüfe am Quelltext und an der Konfiguration und reproduziere Befunde in einer abgeschotteten lokalen Umgebung mit Testdaten. Was sich nur am Live-System klären lässt, beschreibe ich mit einem sicheren Prüfweg, den Ihr Team selbst ausführt.

Wie lange dauert ein Review?

Für ein abgegrenztes Setup aus einem Agenten, seinen Werkzeugen und einigen MCP-Servern oder Skills liegt der Richtwert bei 2 bis 3 Arbeitstagen. Den Umfang lege ich im Erstgespräch verbindlich fest.

Wie gehen Sie mit fremden Skills und MCP-Servern um?

Ich prüfe Herkunft, gepinnte Version und Inhalt und was beim Laden oder Aufruf ausgeführt wird. Daraus ergibt sich, welche Erweiterungen bleiben können, welche eingeschränkt werden sollten und wie neue künftig geprüft werden.

Bekommen wir einen Schweregrad für jeden Punkt?

Nur für bestätigte Befunde. Ein Punkt, der vom Live-System abhängt, steht ohne Schweregrad in einer eigenen Liste, damit niemand eine Vermutung wie einen Befund behandelt.