SASE sieht HTTPS zum LLM – nicht den Intent
Klassisches SASE sieht die HTTPS-Session zum LLM – nicht den Intent darin. Sobald AI-Agents über MCP Tools aufrufen, greifen Proxy- und URL-Filter zu spät: Der Moment der Absicht liegt vor dem Netzwerk-Inspektionspunkt.
Das Wichtigste in Kürze
- Paket-Sicht ≠ Intent-Sicht. Ein gültiger TLS-Tunnel zu einem erlaubten LLM-Endpoint sagt nichts über Tool-Calls und Datenabzug aus.
- MCP multipliziert die Angriffsfläche. Agenten entdecken und rufen Tools auf – oft jenseits der alten DLP-Annahmen „User pastet in Browser“.
- Steuerung braucht zwei Kanäle. Model-Proxy und Tool-Gateway (Policy auf dem MCP-Pfad) müssen Intent und Aktion korrelieren.
Verwandt: Cursor startet git.exe aus dem Repo-Root · Was ist Zero Trust? Definition, Prinzip und Bausteine · OWASP Agentic AI Top 10: Wenn KI-Agenten zur größten Angriffsfläche werden
Die Architektur-Lücke in einem Satz
SASE und Secure Web Gateways wurden gebaut, um Nutzer-Traffic zu klassifizieren, zu entschlüsseln und gegen URL-, Malware- und DLP-Regeln zu halten. Bei agentischen Workflows bricht diese Annahme. Der Proxy sieht eine erlaubte, verschlüsselte Verbindung zu einem LLM-Anbieter. Er sieht nicht, dass ein Agent per Model Context Protocol interne Repos, Tickets oder Wissensdatenbanken als Tool anbindet und Inhalte abzieht.
Fachbeiträge im Juli 2026 (u. a. The Hacker News zum SASE-AI-Blindspot) spitzen das als Intent-Lücke zu: Die Entscheidung und der Tool-Call passieren, bevor das Paket die klassische Network-Inspection erreicht – oder sie laufen über Kanäle, die der Edge-Proxy nie sieht (lokale Agents, IDE-Plugins, private MCP-Server).
Definition · MCP
Model Context Protocol ist ein offenes Protokoll, mit dem AI-Agents Tools und Datenquellen entdecken und aufrufen. Es trennt Modell-Kanal und Tool-Ausführung – und damit auch die Kontrollflächen.
Warum alte DLP-Szenarien nicht mehr greifen
Das klassische Modell: Mitarbeitende öffnen den Browser, fügen Text ein, HTTPS verlässt das Unternehmen. Controls: CASB, SWG, Browser-Isolation, Prompt-DLP. Endpoint-Agents und IDE-native Agenten umgehen Teile dieser Kette. Sie arbeiten auf dem Host, halten Kontext lokal und sprechen MCP-Server an, die intern oder in SaaS hängen.
Unverwaltete MCP-Server multiplizieren das Risiko. Schätzungen im Markt sprechen von zehntausenden öffentlichen MCP-Servern – ohne dass Security Inventar, Auth-Standard oder Audit-Trail flächendeckend hat. Wer nur „ChatGPT-Domain blocken“ fährt, verfehlt den Agent-Pfad komplett.
Was Security-Teams umbauen müssen
Erstens Inventar: Welche Agents laufen (IDE, Desktop, Server-side)? Welche MCP-Server sind erlaubt? Welche Identitäten und Secrets nutzen sie? Zweitens Policy am Tool-Kanal: Allowlists für Tools, Parameter-Sanitizing, Data-Classification vor dem Call, Logging jedes Tool-Zugriffs mit User/Agent/Kontext.
Drittens Korrelation: Model-Proxy (Prompt/Response) und MCP-Gateway (Tool-Execution) müssen zusammenlesbar sein. Sonst bleibt der Intent im Prompt und die Aktion im Tool-Log isoliert – genau die Lücke, die in aktuellen Agent-Exfiltration-Szenarien ausgenutzt wird.
| Kontrollebene | Was sie sieht | Was sie oft verpasst |
|---|---|---|
| SASE / SWG | Ziel-Domain, TLS-Metadaten, ggf. Payload nach Decrypt | MCP-Tool-Intent, lokale Agent-Calls |
| CASB / SaaS-DLP | App-Aktivität bekannter SaaS | Private MCP-Server, IDE-Agenten |
| MCP-Gateway | Tool-Name, Args, Identity, Ergebnis | Ohne Model-Korrelation: Prompt-Kontext |
Quelle: Einordnung SecurityToday auf Basis Branchenlage Juli 2026
Pragmatischer Start ohne Big-Bang
Kein Unternehmen braucht morgen die „AI-Security-Platform of everything“. Ein belastbarer Start: Agent-Inventar in Engineering und Fachbereichen, Default-Deny für unbekannte MCP-Server, Secrets nicht in Agent-Kontexten hardcoden und ein Gateway-Pilot für die produktivsten Tool-Pfade (Code-Repos, Ticket-Systeme, interne Wikis).
Erste Kontrollen
- ✓Agent- und MCP-Inventar mit Owner und Datenklassen
- ✓Allowlist für MCP-Server und Tools in Prod
- ✓Logging: wer, welches Tool, welche Ressource, welcher Output-Scope
- ✓SASE-Regeln um Agent-Endpunkte erweitern
SASE bleibt relevant für den Netzwerk- und SaaS-Rand. Es ist nur nicht mehr die alleinige Wahrheit über KI-gestützte Arbeit. Wer Intent und Tool-Execution nicht steuert, steuert den eigentlichen Datenfluss nicht.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Reicht TLS-Inspection am SASE für AI-Agents?
Nur teilweise. Domains und ggf. Payloads kann sie sehen. MCP-Tool-Intent und lokale Agent-Ausführung deckt sie unzuverlässig ab.
Was ist der Unterschied zwischen Model-Proxy und MCP-Gateway?
Der Model-Proxy steuert Prompt/Response zum LLM. Das MCP-Gateway steuert Tool-Aufrufe und Datenquellen. Beide Kanäle müssen korreliert werden.
Sind öffentliche MCP-Server pauschal verboten sinnvoll?
Als Default-Deny ja, plus Allowlist für geprüfte Server. Pauschales „alles offen“ skaliert in regulierten Umgebungen nicht.
Betrifft das nur Entwickler-IDEs?
Nein. Server-side Agents, Automatisierungen und Fachbereichs-Tools nutzen dieselben Muster – oft mit breiteren Datenrechten.
Was ist der schnellste risikoreduzierende Schritt?
Inventar der produktiven Agents plus Block unbekannter MCP-Server und Secrets-Hygiene in Agent-Konfigurationen.
Lesetipps der Redaktion
LesetippCursor startet git.exe aus dem Repo-RootLesetippEin npm-Paket, das die privaten Schlüssel stahlLesetippWas ist Zero Trust? Definition, Prinzip und Bausteine
Mehr aus dem MBF Media Netzwerk
cloudmagazinCloudFront 5xx: Was VPC Origins Teams prüfen müssenMyBusinessFutureDer blinde Fleck der Digitalisierungsführer: Warum Banken trotz hoher IT-Investitionen an ihrem Datenchaos scheiternDigital ChiefsWie man Open Source ausbremst, ohne es zu verbieten
Bildquelle: KI-generiert (Juli 2026)
