Sicherheit von WebMCP-Tools

Julia Pagnucco
Julia Pagnucco
LinkedIn
Alexandra Klepper
Alexandra Klepper
GitHub Bluesky

Veröffentlicht am 9. Juni 2026, zuletzt aktualisiert am 1. September 2026

Erklärvideo Web Erweiterungen Chrome-Status Absicht
GitHub Ursprungstest Ursprungstest Ansicht Absichtserklärung für Tests

Mit dem Web Model Context Protocol (WebMCP) können Sie strukturierte Tools für KI-Agents erstellen und bereitstellen, die im Browser ausgeführt werden, einschließlich Agents, die von Erweiterungen unterstützt werden. Ein Agent verwendet ein Large Language Model (LLM), Regeln, Speicher und Tools, um Aktionen im Namen des Nutzers auszuführen.

Da LLMs alle Texte, Anweisungen und Nutzerdaten als eine einzelne Folge von Tokens behandeln, sind sie anfällig für indirekte Prompt-Injection, bei der ein Angreifer schädliche Anweisungen einfügt. Unser Team hat dieses Dokument zur Sicherheit von Tools verfasst, um Sie dabei zu unterstützen, Ihre Website und Ihre Nutzer vor böswilligen Akteuren zu schützen.

Einige Modelle haben zwar Ebenen, die Prompt Injection verhindern, aber es ist unmöglich, die Sicherheit in einem Large Language Model (LLM) zu garantieren. Modelle sind probabilistischer Natur. Es ist wichtig, sich daran zu erinnern, dass es wiederholbare Prompt-Injection-Angriffe gegen agentische Systeme gab, die modernste LLMs verwenden, und dass die Häufigkeit von Angriffen im Web zunimmt.

Um diesen Bedenken Rechnung zu tragen, haben wir vorläufige Richtlinien zur Sicherheit für Entwickler von Tools mit WebMCP bereitgestellt.

Annotationstipps verwenden

Beim Erstellen von Tools sollten Sie einige Hinweise hinzufügen:

  • Verwenden Sie untrustedContentHint, wo es angebracht ist. Wenn ein Tool von Nutzern erstellte Inhalte (UGC) oder extern bezogene Daten zurückgibt, sollten Sie dem Tool das untrustedContentHint hinzufügen. In diesem Feld wird die Nutzlast explizit als nicht vertrauenswürdig gekennzeichnet, um die Integrität Ihrer Website zu schützen und dem Agent ein Signal zu geben, dass diese Daten einer erhöhten Prüfung bedürfen.
  • Verwenden Sie consequentialHint für wichtige oder nicht rückgängig zu machende Aktionen. Wenn die Ausführung eines Tools zu wichtigen Aktionen führt, z. B. zum Buchen von Reisen oder zum Überweisen von Geld, legen Sie consequentialHint: true fest, damit der Agent oder Browser vor der Ausführung eine Bestätigung vom Nutzer anfordern kann.
  • Verwenden Sie die readOnlyHint für Tools, die den Status nicht ändern. So kann der Agent besser entscheiden, wann er Nutzerbestätigungen anfordern soll.

Tools sorgfältig verfügbar machen

Die WebMCP-API document.modelContext.registerTool stellt die Funktionalität des Tools nur für Agents zur Verfügung. Standardmäßig können andere Websites oder ursprungsübergreifende iFrames Ihre Tools nicht beobachten oder mit ihnen interagieren.

Sie können mit der Option exposedTo in registerTool Zugriff auf Ihr Tool für eine Reihe bestimmter, sicherer Ursprünge gewähren. Dadurch wird Ihr Tool für diese Ursprünge verfügbar, wenn es auf Ihrer Website eingebettet ist und wenn Ihre Website in diesen Ursprung eingebettet ist.

// https://partner.org

await document.modelContext.registerTool({
  name: 'my_shared_tool',
  description: 'Shared across origins',
  // ...
}, {
  exposedTo: ['https://trusted.com', 'https://example.com']
});

Geben Sie Ihre Tools nur für Ursprünge frei, denen Sie vertrauen. Das ist besonders wichtig, wenn Tools Nutzerdaten verwalten oder sich anderweitig auf den Nutzer auswirken.

  • Ein Tool mit Lesezugriff wie getFavoriteProducts kann Informationen über einen Nutzer offenlegen. Sie sollten diese Tools nur für Websites verfügbar machen, mit denen Sie diese Daten auch anderweitig direkt teilen würden.
  • Tools mit Lese- und Schreibzugriff führen Aktionen im Namen eines Nutzers aus. Diese Tools sollten nur für Ursprünge verfügbar sein, die Sie als vertrauenswürdig einstufen, wenn sie im Namen Ihres Nutzers agieren. Sie möchten beispielsweise postComment für trustedExample.com verfügbar machen, aber nicht für evilExample.com.

Zeichenbudgets festlegen

Um nicht gegen die Leitplanken für KI-Agenten zu verstoßen, sollten Sie prägnante Tool-Beschreibungen und ‑Ausgaben schreiben. Für bessere Ergebnisse empfehlen wir die folgenden Zeichenlimits:

  • 500 Zeichen pro Toolbeschreibung
  • 150 Zeichen pro Parameterbeschreibung
  • 30 Zeichen pro Tool- und Parametername
  • Beschränkung auf 1.500 Zeichen pro einzelner Tool-Ausgabe

Es ist wahrscheinlich, dass es Unterschiede zwischen den einzelnen Kundenservicemitarbeitern gibt. Möglicherweise möchten Sie Ihr Zeichenbudget anhand des Nutzerfeedbacks anpassen.

Nächste Schritte

Wir forschen weiter und arbeiten daran, eine sichere Infrastruktur für das agentische Web zu schaffen. Es gibt beispielsweise eine laufende Diskussion über die Einwilligungsverwaltung zwischen den Parteien und der Spezifikationsentwurf enthält requestUserInteraction(), um bei der Ausführung des Tools asynchron Nutzereingaben anzufordern.

Wie planen Sie, WebMCP in Ihrer Anwendung zu implementieren? Haben Sie weitere Bedenken, auch in Bezug auf die Sicherheit? Wenn Sie sich für den WebMCP-Ursprungstest anmelden, möchten wir mehr über Ihre Erfahrungen erfahren:

Wenn Sie einen Agent erstellen, empfehlen wir Ihnen, den Artikel Sicherheitsaspekte für WebMCP-Agents zu lesen.

Zurück
Effektive Tools entwickeln
Weiter
Best Practices