Prompt-Injection in Machine-Code-Processing (MCP)-Tools, wie sie durch eine GitHub-Schwachstelle veranschaulicht wird, kann zur Exfiltration privater Repository-Daten führen. Das Kernproblem ist, dass MCP-Tools oft mit zu breiten Zugriffstoken arbeiten, denen Laufzeitgrenzen fehlen, was sie anfällig für bösartige Prompts oder kompromittierte Server macht. Bestehende Authentifizierungsmethoden sind unzureichend, da Token typischerweise vollen Repository-Zugriff für selbst einfache Aufgaben erfordern. Während OAuth 2.1 RAR eine granulare Bereichszuordnung bieten könnte, mangelt es an Akzeptanz, und API-Anbieter haben keinen Anreiz, solche Funktionen zu implementieren. Um dies zu beheben, fungiert MCP Snitch, ein Open-Source-Sicherheitsproxy, als Vermittlungsschicht. Er erzwingt eine Whitelist-basierte Zugriffskontrolle, die standardmäßig verweigert und Operationen explizit erlaubt. MCP Snitch behandelt auch Laufzeit-Berechtigungsanforderungen mit UI-Sichtbarkeit und erkennt/blockiert den Missbrauch von API-Schlüsseln, wobei eine umfassende Protokollierung bereitgestellt wird. Er löst jedoch keine Supply-Chain-Angriffe, Persistenzmechanismen oder Out-of-Band-Netzwerkoperationen. Die Entwicklung der MCP-Sicherheit spiegelt den Weg des Browsers in Richtung Sandboxing und granularer Berechtigungen wider. Bis IDEs ein ordnungsgemäßes Sandboxing bereitstellen und MCP Sicherheit auf Protokollebene erlangt, ist Proxy-basierte Sicherheit die aktuelle praktische Verteidigung.