Anstatt jede API einzeln zu implementieren, spricht der Agent über ein klar definiertes Protokoll mit sogenannten MCP-Servern, die jeweils eine Datenquelle oder ein Werkzeug bereitstellen. Das senkt den Integrationsaufwand erheblich und ist ein wesentlicher Grund, warum Agenten heute so schnell an produktive Systeme gelangen. Entscheidend gegenüber REST-APIs ist die Tatsache, dass die Funktionalitäten in Sprache und Formaten definiert sind, die Agenten bereits verstehen und nutzen können.
Sicherheitsrelevant ist die Kehrseite: Ein MCP-Server ist eine Anbindung mit Rechten. Die Spezifikation stellt Autorisierung ausdrücklich frei, sodass Server auch ohne jede Authentifizierung betrieben werden können, und ein Server, der einen erhaltenen Token unverändert an nachgelagerte Dienste weiterreicht, weitet dessen Geltungsbereich unbeabsichtigt aus. Die Cloud Security Alliance hat diese Lage im Mai 2026 als MCP Security Crisis beschrieben: mit bestätigten Schwachstellen hoher und kritischer Schwere sowie öffentlich erreichbaren Servern, die ohne jede Authentifizierung antworteten.
Hinzu kommt eine Eigenheit der Art, wie ein Großteil der Softwarepakete heute ausgeliefert wird: MCP-Server werden überwiegend als Pakete aus öffentlichen Registries (z. B. npm) installiert. Ein manipuliertes Paket erreicht damit alle Nutzer auf einmal, ohne dass der Agent selbst je angegriffen werden müsste. Herkunft prüfen, Rechte eng schneiden und Tokens kurz halten sind deshalb keine hinreichende, aber eine notwendige Voraussetzung, um die Angriffsoberfläche klein zu halten.