Sicherheitsleitfäden stufen Tool-Beschreibungen und Agent Cards als nicht vertrauenswürdig ein

Eine Agent Card ist im Agent2Agent-Protokoll (A2A) die digitale Beschreibung eines KI-Agenten. Sie nennt dessen Fähigkeiten (Skills) und die geforderte Authentifizierung. Ruft ein anderes System diese Informationen ab, übernimmt es den Text in sein Kontextfenster. Enthält die Beschreibung versteckte Anweisungen, kann sie eine indirekte Prompt-Injection auslösen. Deshalb darf sie nicht als vertrauenswürdige Konfiguration gelten.

Ein Angreifer verändert die Beschreibung eines Werkzeugs oder Agenten. Das empfangende Modell liest diesen Text zusammen mit legitimen Anweisungen. Formulierungen wie «ignoriere vorherige Regeln» können dann Folgeaktionen beeinflussen. Der Angriff kommt nicht aus der direkten Nutzereingabe, sondern über eine Systemschnittstelle. Genau diese Verschiebung macht Agentennetzwerke schwerer zu kontrollieren.

Soba Labs empfiehlt, jede Tool-Beschreibung als nicht vertrauenswürdige Eingabe zu behandeln und sie vor der ersten Nutzung vollständig zu prüfen. Neue Server sollten bis zur Prüfung in einer Sandbox laufen, also in einer abgeschotteten Umgebung ohne Zugriff auf wichtige Systeme. Freigegebene Beschreibungen sollten mit Version und Prüfsumme, einer Art digitalem Fingerabdruck des Textes, festgehalten werden, damit eine spätere Änderung auffällt und eine neue Freigabe auslöst. Unabhängig davon beschreibt F5, wie sich Google Clouds Agent Gateway mit F5 AI Guardrails koppeln lässt, um Prompts und Tool-Aufrufe von Agenten zentral zu prüfen.

MCP ist nicht automatisch unsicher. Das Risiko hängt davon ab, wie ein System fremde Werkzeuge einbindet und deren Texte bewertet. Unternehmen sollten externe Beschreibungen nicht ungeprüft als Handlungsanweisungen übernehmen. Für einfache, klar begrenzte Abläufe kann MCP trotzdem sinnvoll sein. Bei autonomen Agenten müssen die Betreiber verlässliche Vertrauensketten zwischen den beteiligten Programmen laut Soba Labs bisher weitgehend selbst aufbauen.

Nein. Eine Authentifizierung zeigt, welcher Agent eine Verbindung aufbaut. Sie beweist aber nicht, dass seine Agent Card oder Tool-Beschreibung unverändert oder sicher ist. Für Agentennetzwerke braucht es deshalb zusätzlich Prüfungen der Inhalte, kontrollierte Berechtigungen und nachvollziehbare Tool-Aufrufe. Der Leitfaden zur Agent-zu-Agent-Authentifizierung betont, dass eine Authentifizierung nur die Identität belegt. Was ein Agent darf und ob seine Angaben vertrauenswürdig sind, muss gesondert geprüft werden.

Entwickler sollten jede fremde Agent Card und Tool-Beschreibung vor der Nutzung prüfen. Änderungen müssen auffallen, und ein Agent darf aus solchen Texten nicht ohne weitere Kontrolle weitreichende Aktionen ableiten. Sinnvoll sind klar begrenzte Berechtigungen sowie Protokolle für Agent-zu-Agent-Aufrufe. Wie schnell sich solche Kontrollen durchsetzen, hängt von den Anbietern und ihren MCP- und A2A-Werkzeugen ab.