Was passiert
Hush Security hat in einer aktuellen Studie ein erhebliches Sicherheitsproblem in der AI-Entwicklung-Community identifiziert: Hardcodierte Credentials in öffentlich zugänglichen MCP-Konfigurationsdateien auf GitHub. Das Forschungsteam analysierte rund 82.000 Konfigurationsdateien und fand heraus, dass etwa 12 Prozent dieser Dateien hardcodierte Credential-Literals enthielten – also direkt im Code eingebettete API-Keys, Access Tokens und andere Authentifizierungsmittel.
Die Studie trägt den Titel "The State of MCP Configuration: The Identity Security Gaps Report" und wirft damit ein Schlaglicht auf ein wachsendes Problem im Ökosystem der Model Context Protocol-basierten AI Coding Tools. Die 12-Prozent-Quote mag auf den ersten Blick moderat wirken, bedeutet in absoluten Zahlen aber mehrere tausend öffentlich einsehbare Credentials – ein erhebliches Risiko sowohl für die Entwickler, die diese Dateien veröffentlicht haben, als auch für die Backend-Systeme und Services, auf die diese Credentials zugreifen.
Besonders kritisch ist der Kontext: Diese Credentials sind nicht in privaten Repositorien oder geschützten Umgebungen versteckt, sondern frei zugänglich in öffentlichen GitHub-Repositories. Das bedeutet, dass automatisierte Scanning-Tools von Angreifern, aber auch legitime Security-Researcher, diese Informationen problemlos finden und missbrauchen können. Die exposierten Credentials ermöglichen potenziell Zugriff auf Connected Services – also auf die Systeme, mit denen die AI Coding Tools verbunden sind.
Die Methodik der Forschung war systematisch: Hush Security durchsuchte GitHub nach MCP-Konfigurationsdateien und identifizierte anhand von Mustern und Signaturen, welche dieser Dateien echte, gültige Credentials in Klartext-Form enthielten. Dies ist eine etablierte Technik in der Security-Forschung und zeigt ein Muster, das bei der Analyse von großen Code-Repositories immer wieder auftaucht: Entwickler kopieren Code-Schnipsel, erstellen Test-Konfigurationen oder arbeiten schnell und hinterlassen dabei sensible Daten.
Einordnung
MCP (Model Context Protocol) ist ein relativ neues Standard-Format für die Kommunikation zwischen AI-Modellen und externen Tools oder APIs. Es ermöglicht es, dass Large Language Models wie Claude oder andere Assistenten mit Datenbanken, APIs und anderen Systemen interagieren können. Diese Interaktion braucht Authentifizierung – daher die Credentials in den Konfigurationsdateien.
Das Problem ist nicht neu, aber der Kontext hat sich verschärft: Während es schon lange ein bekanntes Anti-Pattern ist, Credentials hardcoded zu hinterlassen, hat sich die Praxis bei vielen Entwicklern – besonders im schnell wachsenden AI-Tool-Bereich – nicht wesentlich verändert. Die Forschung von Hush Security zeigt, dass dieser alte Fehler in einem neuen Kontext wieder massiv auftritt. Das liegt vermutlich daran, dass MCP noch relativ jung ist, viele Entwickler schnell prototypisieren und Best Practices nicht ausreichend kommuniziert sind.
Das Risiko liegt auf mehreren Ebenen: Erstens können Angreiter die exposierten Keys direkt nutzen, um auf Backend-Systeme zuzugreifen – sei es API-Quotas zu erschöpfen, Daten abzurufen oder Services zu manipulieren. Zweitens schafft es einen Vertrauensbruch: Jeder, der das GitHub-Repo sehen kann, weiß, dass dieses System schwach abgesichert ist. Drittens entstehen Compliance-Probleme: Firmen, die solche Credentials in ihren Systemen finden, müssen oft die Keys sofort rotieren und haben einen Security Incident zu dokumentieren.
Verglichen mit anderen Credential-Exposure-Studien (die oft 5–20% Quote finden) liegt 12% im mittleren bis höheren Bereich. Das deutet darauf hin, dass das MCP-Ökosystem noch nicht den Security-Maturity-Level etablierterer Tool-Kategorien erreicht hat. Teams, die mit Production-Systemen arbeiten, haben normalerweise Prozesse für Secrets Management (wie HashiCorp Vault, AWS Secrets Manager oder ähnliches), aber viele AI-Tool-Entwickler arbeiten noch zu ad-hoc.
Was das bedeutet
Die zentrale Erkenntnis aus dieser Studie ist, dass Secrets Management in der AI-Development-Supply-Chain noch keine Routine ist. Das ist nicht primär ein technisches Problem – die Lösungen existieren längst – sondern ein Kulturproblem: Prozesse, die in etablierten Backend-Teams Standard sind (Environment Secrets, Secret Vaults, Credential Rotation), werden in der schnell wachsenden AI-Tool-Community oft übersprungen, weil der Druck, schnell zu liefern, höher ist als der Sicherheits-Fokus.
Für Entwickler bedeutet das konkret: MCP-Konfigurationen sollten niemals hardcodierte Credentials enthalten. Stattdessen sollten Umgebungsvariablen, .env-Dateien (die in .gitignore stehen) oder systemische Secret-Management-Lösungen genutzt werden. Für Teams, die Tools im Produktiv-Betrieb nutzen, ist es essentiell, Konfigurationen vor dem Commit zu checken – automatisierte Tools wie TruffleHog oder GitGuardian können hier unterstützen.
