MCP-Server zu Hause: die Lücke, die Anthropic by design nennt

Läuft ein MCP-Server auf deinem Heimrechner, hält der Hersteller des Protokolls einen Teil der Offenlegung zumindest für beabsichtigt. OX Security hat 15.465 öffentlich indizierte Server gescannt und dahinter Consumer-Tunnel, abgelaufene Domains und Privat-Hardware gefunden. Die offiziellen SDKs übernehmen den Startbefehl aus der Konfiguration und führen ihn wortwörtlich aus.

Warum ist das offizielle SDK der riskante Teil?#

Das Model Context Protocol kennt zwei Transports. Der lokale heißt STDIO und startet einen Prozess: Der Client liest einen Befehl aus seiner Konfiguration und führt ihn aus. OX Security hat die SDKs durchgesehen, die Anthropic für Python, TypeScript, Java und Rust pflegt, und in allen vier dieselbe Form gefunden. Der command-Parameter kommt im Klartext an, und das SDK führt ihn ohne Sanitizing, Allowlist oder Signaturprüfung aus (Yahoo Tech hat den vollständigen Bericht).

Eine Konfigurationsdatei, die Code ausführt, ist lange normal. package.json-Skripte laufen bei jeder Installation, CI-Runner führen alles aus, was das Repository enthält, und Docker Compose startet alles, was die Compose-Datei nennt. MCP erbt dieses Modell. Der Unterschied sitzt dahinter: Ein Protokoll, das Modellen echte Tools in die Hand gibt, verdient schon beim Start zusätzliche Skepsis.

Die Antwort spitzt die Geschichte zu. Laut OX Security hat Anthropic das Verhalten als by design bestätigt und Änderungen am Protokoll abgelehnt, mit dem Argument, Produktiv-Deployments nutzten typischerweise den Remote-Transport mit OAuth 2.1. Für ein Unternehmen, dessen Produkte Server in der Cloud aufrufen, ist das stimmig. Der Nutzer zu Hause bleibt mit einem Standardpfad zurück, der jeder Zeile seiner Konfigurationsdatei vertraut.

Was der Scan gefunden hat#

Die Zahlen stammen aus dem OX-Security-Report „Welcome to the Jungle", veröffentlicht Anfang Oktober auf The Hacker News: fünf Registries, 15.465 indizierte Server, 5.095 eindeutige Hostnames nach der Deduplizierung. 15,6 Prozent der Hostnames liegen außerhalb der USA, darunter 19 in China und 18 in Russland.

Zwei Ausschnitte der Stichprobe verdienen Aufmerksamkeit. 0,45 Prozent der Server laufen über Consumer-Tunnel, meist ngrok, was für einen Heimrechner oder einen Schreibtisch spricht und gegen einen Serverraum. 2,3 Prozent hängen an Domains, die niemand pflegt; sechs waren bereits abgelaufen und für 4 bis 12 Dollar im Jahr zu kaufen. Wer einen dieser Namen zuerst registriert, erbt jeden Client, der noch darauf zeigt. Ein früheres OX-Advisory bezifferte die breitere Exposition auf rund 200.000 verwundbare MCP-Server-Instanzen weltweit, mehr als 7.000 davon ohne Authentifizierung erreichbar, auf SDKs mit über 150 Millionen Downloads.

Die Angriffspfade sind längst katalogisiert#

Eine kritische Command Injection in mcp-remote, der npm-Brücke zwischen Desktop-Clients und Remote-Servern, trägt seit Juli 2025 die Bezeichnung CVE-2025-6514 mit einem CVSS von 9,6, entdeckt durch JFrog. Die Zusammenfassung von Yahoo Tech ergänzt einen EPSS-Score um 77 Prozent, also eine der Schwachstellen, die Exploit-Prädiktion als aktiv attraktiv einstuft.

Der Ausblick kommt aus Anthropics eigenem Frontier Red Team. The Hacker News hat es am 13. Oktober aufgearbeitet: Von elf getesteten Open-Weight-Modellen war GLM-5.2 von Zhipu das einzige, das Llama3.1-8B zuverlässig auf alle acht emulierten Android-Nodes brachte, in vier von fünf Durchläufen, wobei der Wurm die benötigten Gewichte als Payload mitführt. Ein separates Experiment verteilte Image Captioning für Gemma4-26B-A4B auf fünfzehn Smart-TV-Boxen. Das Fazit des Teams: Ein vollständiges sich selbst replizierendes KI-System existiert noch nicht, und die Teile brauchen keinen Durchbruch, nur Zusammensetzung.

Ein Heimrechner mit MCP-Server hinter einem Consumer-Tunnel passt in dieses Bild: immer an, schwach überwacht, mit gültigen Zugangsdaten im Hintergrund, und mit einem Protokoll, dessen Startpfad die Konfiguration wortwörtlich ausführt.

Wie ein sichereres Setup aussieht#

Lies die MCP-Konfiguration als Code, denn sie wird als Code ausgeführt. Versionen pinnen, Einträge prüfen, bevor sie in die Datei wandern, und nach jedem Update neu verifizieren. Die Snyk-Session zum Verbot von KI-Coding-Tools macht denselben Punkt für die Tool-Ebene: Ein sauberer MCP-Server bleibt es bis zur nächsten Version nicht.

Danach den Tunnel entfernen. Ein Server, der übers Netzwerk erreichbar sein muss, bekommt die Authentifizierung, die jede API bekommt. Der Kontrast existiert bereits im Ökosystem: Die Home-MCP-Integration von Google nutzt Server-Sent Events mit OAuth, und Home Assistant liefert OAuth 2.0 mit PKCE für den eingebauten MCP-Server aus. Das Community-Projekt ha-mcp gibt einem Modell dagegen direkten Schreibzugriff auf die komplette Home-Assistant-Instanz, und genau das ist das Design, das es zu vermeiden gilt. Die Empfehlung von Anthropic selbst, Remote-Transport mit OAuth 2.1, ist dieselbe Antwort in Hersteller-Wortwahl.

Isolation ist die letzte Schicht, und sie braucht keinen Hersteller: Das Muster aus dem Workspaces-Launch von Chainguard läuft auf plain Docker. Ausführung auf einer Maschine ohne Schlüssel, Egress standardmäßig verweigert, Zugangsdaten pro Request injiziert.

Diese Seite betreibt einen kleinen MCP-Server, den Demo-Shop unter /api/mcp: Streamable HTTP, stateless, read-only, vier Tools, nichts, das schreibt. Ein read-only-Katalog über einen spekkonformen Transport ist die einfache Seite des Problems. Die harte Seite ist der Heimrechner mit Tunnel, ein Server mit Schreibrechten und eine Konfigurationsdatei, die seit dem Tag, an dem sie eingefügt wurde, niemand mehr gelesen hat.