Ein KI-Coding-Agent ließ sich über einen Konnektor fernsteuern: MCP-Konnektoren als neue Angriffsfläche#

KI-Agenten werden erst dann richtig nützlich, wenn sie an Werkzeuge angeschlossen sind: an das Ticketsystem, die Datenbank, das Shop-Backend oder einen Clouddienst. Der verbreitete Standard dafür heißt Model Context Protocol, kurz MCP. Jeder MCP-Server ist ein Konnektor, über den ein Agent auf ein weiteres System zugreift.

Am 19. Oktober 2026 hat das Sicherheitsunternehmen Pillar Security gezeigt, was passieren kann, wenn so ein Konnektor nicht vertrauenswürdig ist. In opencode, einem verbreiteten Open-Source-Coding-Agenten, konnte ein bösartiger oder übernommener Remote-MCP-Server beim OAuth-Login Code auf dem Rechner des Entwicklers ausführen. Zwei Tage später, am 21. Oktober 2026, veröffentlichte das MCP-Projekt selbst zwei kritische Sicherheitshinweise für sein Testwerkzeug MCP Inspector. In diesem Beitrag ordnen wir ein, was passiert ist, wen es betrifft und was Softwareteams und Onlinehändler mit eigener Entwicklung jetzt sinnvoll tun.

Was Pillar Security gefunden hat#

opencode ist laut Pillar ein populärer KI-Coding-Agent mit rund 3 Millionen npm-Downloads pro Woche. Wie andere Coding-Agenten kann er Dateien lesen, Befehle ausführen und mit externen Systemen sprechen, und zwar mit den Rechten des Entwicklers.

Die Lücke steckte im Anmeldeablauf für Remote-MCP-Server. Verlangt ein Server eine Anmeldung, teilt er dem Client per OAuth mit, auf welche Login-Seite der Browser geöffnet werden soll. Diese Adresse bestimmt der Server selbst. Unter Windows und im Windows Subsystem for Linux (WSL) reichte opencode die Adresse an eine Hilfsbibliothek weiter, die daraus einen PowerShell-Befehl baute, ohne sie korrekt zu maskieren. Eine präparierte, äußerlich ganz normale https-Adresse genügte, um beliebige Befehle auszuführen.

Die wichtigsten Fakten aus dem Bericht:

• Betroffen sind opencode-Versionen 1.0.137 bis 1.18.32, und zwar nur unter Windows und WSL.
• macOS und Linux sind nicht betroffen, weil der Browser dort ohne Umweg über eine Shell geöffnet wird.
• Der Fix steckt in Version 1.18.33, veröffentlicht am 28. September 2026.
• Pillar bewertet die Lücke als kritisch, mit einem vorgeschlagenen CVSS-Wert von 9,8.
• Laut The Hacker News hat Pillar keine Hinweise auf eine Ausnutzung in Angriffen gemeldet.

Bemerkenswert ist ein Detail: Der Server musste beim Einrichten nicht bösartig sein. Die schädliche Adresse kommt erst beim Verbindungsaufbau. Ein Server, der später übernommen wird, oder eine Domain, die den Besitzer wechselt, reicht aus.

Der Fix kam ohne Sicherheitshinweis#

Der Hersteller Anomaly hat die Lücke schnell und gründlich geschlossen. Er hat aber weder eine CVE beantragt noch ein Security Advisory veröffentlicht. Die Änderung wurde als Umbau des Codes zum Öffnen des Browsers ausgeliefert, die Release Notes erwähnen kein Sicherheitsproblem. Begründung laut Pillar: Bösartige MCP-Server lägen außerhalb des eigenen Bedrohungsmodells.

Für Unternehmen hat das eine praktische Folge. Schwachstellenscanner und Dependency-Bots arbeiten mit CVE-Nummern. Gibt es keine, meldet auch kein Werkzeug die betroffenen Installationen. Wer wissen will, ob er betroffen ist, muss die installierte opencode-Version direkt prüfen.

Auch der MCP Inspector hatte RCE-Lücken#

Der MCP Inspector ist das offizielle Werkzeug, mit dem Entwickler MCP-Server testen. Am 21. Oktober 2026 erschienen im GitHub-Repository des Projekts zwei kritisch eingestufte Advisories zu Remote Code Execution. Im ersten Fall konnte ein bösartiger Remote-MCP-Server den OAuth-Rückruf so manipulieren, dass der Inspector von der Remote-Verbindung auf einen lokalen Prozess umschaltete und einen vom Angreifer gewählten Befehl startete. Im zweiten Fall konnte eine entfernte MCP-App das Zugriffstoken des lokalen Proxys abgreifen und darüber ebenfalls lokale Befehle ausführen. Betroffen sind Versionen bis 1.0.2, behoben ist beides in Version 1.0.3.

Der Advisory-Text fasst das Risiko in einem Satz zusammen: Die Verbindung zu einem unbekannten MCP-Server kann sofort Code ausführen, ohne dass ein Werkzeug benutzt wird.

Warum das ein anderer Angriffsweg ist als Prompt Injection#

Über Prompt Injection haben wir im Zusammenhang mit dem BSI bereits geschrieben. Dort werden dem Sprachmodell versteckte Anweisungen untergeschoben. Die Lücken dieser Woche funktionieren anders: Das Modell spielt gar keine Rolle. Angegriffen wird der Client, also die Software, die den Konnektor anbindet. Sie verarbeitet Daten von einem fremden Server, und zwar mit den vollen Rechten des Entwicklers.

Pillar formuliert es so: Ein MCP-Client ist ein Parser für nicht vertrauenswürdige Eingaben, genau wie ein Browser oder ein Mailprogramm. Jeder Konnektor wird damit Teil der Lieferkette. Und anders als bei einem installierten Paket hinterlässt ein Remote-Server keine Spur im Projekt außer einer Zeile in einer Konfigurationsdatei.

Was das für Softwareteams und Onlinehändler bedeutet#

Betroffen sind nicht nur große Softwarehäuser. Ein Onlinehändler mit eigenem Shop-Backend, eine Agentur mit drei Entwicklern oder ein IT-Dienstleister für Kanzleien: Überall dort probieren Entwickler gerade Coding-Agenten aus und verbinden sie mit Servern, die sie in einem Blogbeitrag oder einem Verzeichnis gefunden haben. Oft passiert das auf Windows-Rechnern mit Zugriff auf Quellcode, Zugangsdaten und Produktivsysteme.

Das Problem ist selten böser Wille. Es ist fehlende Übersicht. Wer nicht weiß, welche Agenten-Tools und welche Konnektoren im Team laufen, kann sie weder patchen noch bewerten. Und wenn ein Fix ohne CVE erscheint, hilft auch das beste Scanning nicht.

Praxis-Checkliste: MCP-Konnektoren im Griff#

• Inventar: Welche KI-Agenten und Coding-Tools nutzen Ihre Entwickler, auf welchen Rechnern und Betriebssystemen?
• Inventar: Welche MCP-Server sind in diesen Tools konfiguriert, lokal und remote? Bei opencode zeigt opencode mcp list die eingerichteten Server.
• Freigabeliste: Nur Konnektoren aus einer abgestimmten Liste, mit Verantwortlichem und Zweck.
• Remote-Server und OAuth-Logins nur bei vertrauenswürdigen Anbietern, deren Domain Sie kennen. Nicht geprüfte Remote-Server aus der Konfiguration entfernen.
• Versionen direkt prüfen, nicht nur über CVE-Scanner: opencode mindestens 1.18.33, MCP Inspector mindestens 1.0.3.
• Release Notes und Sicherheitsberichte der eingesetzten Agenten-Tools aktiv verfolgen, weil nicht jeder Fix als Sicherheitsfix markiert ist.
• Rechte begrenzen: Agenten nicht mit Admin-Rechten betreiben, Zugangsdaten für Produktivsysteme nicht auf Entwicklerrechnern im Klartext.
• Protokoll: Festhalten, welcher Agent wann welchen Konnektor genutzt hat, damit Sie im Ernstfall nachvollziehen können, was passiert ist.

Einordnung#

Kein Grund zur Panik: Die Lücken sind geschlossen, macOS und Linux waren bei opencode nicht betroffen, und eine Ausnutzung ist nicht bekannt. Der eigentliche Punkt ist ein anderer. MCP-Konnektoren sind innerhalb kurzer Zeit vom Experiment zum Alltagswerkzeug geworden, und die Sicherheitsprozesse vieler Teams kennen sie noch nicht. Ein Konnektor gehört genauso in die Softwareinventur wie eine Bibliothek oder ein Clouddienst.

Wie wir dabei helfen#

Im KI-Readiness-Audit für 3.500 Euro erfassen wir mit Ihnen, welche KI-Agenten und Konnektoren in Ihrem Unternehmen laufen und welche davon niemand freigegeben hat. Sie erhalten eine Freigabeliste, eine Bewertung der Risiken und konkrete nächste Schritte. Wer Agenten dauerhaft kontrolliert an Systeme anbinden möchte, findet mit dem AI Trust Gateway eine Steuerschicht mit Freigaben, Rechten und Protokoll.

Passend dazu: BSI-Basisschutz gegen Indirect Prompt Injection

Quellen#

• Pillar Security: Open and Shut: Remote Code Execution in opencode via MCP OAuth, 19.10.2026 (Primärquelle: betroffene Versionen, Fix 1.18.33, Betriebssysteme, fehlende CVE, rund 3 Mio. npm-Downloads pro Woche)
• The Hacker News: OpenCode Flaw Lets Malicious MCP Servers Execute Code During Sign-In on Windows and WSL, Oktober 2026 (keine Hinweise auf Ausnutzung)
• modelcontextprotocol/inspector: Security Advisory GHSA-4fc4-wcmh-4g86, 21.10.2026, sowie GHSA-6x67-4w4w-9f3w, 21.10.2026 (beide kritisch, Fix 1.0.3)