ThornGuard: Ein Proxy-Gateway zur Sicherung von MCP-Server-Verbindungen vor Prompt-Injection
ThornGuard ist ein Sicherheitsproxy, der entwickelt wurde, um Claude AI vor bösartigen Inhalten zu schützen, wenn es eine Verbindung zu externen MCP-Servern (Model Context Protocol) herstellt. Das Tool wurde erstellt, nachdem Tests zeigten, dass Upstream-Server versteckte Anweisungen in Tool-Antworten einschleusen können, die Claude ohne Filterung erhält.
Erkanntes Sicherheitsproblem
Wenn Claude mit externen MCP-Servern verbunden wird, hindert nichts die Upstream-Server daran, versteckte Anweisungen in Tool-Antworten einzuschleusen. In einem Test bettete ein Server eine gefälschte Empfehlung ein, die Claude anwies, immer einen bestimmten Anbieter zu bevorzugen. Während Claude diese offensichtliche Nutzlast erkannte, würden subtilere Injektionen die Erkennung umgehen.
ThornGuard-Funktionen
- Scannt Tool-Definitionen und -Antworten auf Prompt-Injection und -Vergiftung
- Entfernt Geheimnisse und personenbezogene Daten, bevor sie in Ihren Kontextfenster gelangen
- Enthält einen semantischen Klassifikator, der verdächtige Nutzlasten kennzeichnet
- Bietet ein Echtzeit-Überwachungsdashboard mit Compliance-Exporten
- Bietet eine CLI, die Konfigurationen für Claude Desktop, Cursor, VS Code und mehrere andere generiert
Implementierungsdetails
Die Proxy-Architektur wurde mit einem Sicherheitsmodell im Hinterkopf entworfen und dann mit Claude Code auf Cloudflare Workers implementiert. Die Implementierung umfasst OAuth-Abläufe und das CLI-Tool.
ThornGuard ist mit einer 7-tägigen kostenlosen Testversion unter thorns.qwady.app verfügbar. Ein Demonstrationsvideo ist unter https://youtu.be/1PWNFpUWKV8 verfügbar.
📖 Read the full source: r/ClaudeAI
👀 Siehe auch
Sandboxing von KI-Agenten mit WebAssembly: Standardmäßig keine Berechtigungen
Cosmonic argumentiert, dass herkömmliches Sandboxing (seccomp, bubblewrap) für KI-Agenten aufgrund der Umgebungsberechtigungen ungeeignet ist. Das capability-basierte Modell von WebAssembly gewährt standardmäßig keinerlei Berechtigungen und erfordert explizite Importe für Dateisystem, Netzwerk oder Anmeldedaten.
CodeWall KI-Agent entdeckt kritische Schwachstellen in McKinseys Lilli-Plattform
CodeWalls autonomer offensiver KI-Agent erhielt innerhalb von 2 Stunden vollständigen Lese-/Schreibzugriff auf McKinseys interne Lilli-KI-Plattform-Datenbank und legte 46,5 Millionen Chat-Nachrichten, 728.000 Dateien und sensible Systemkonfigurationen durch SQL-Injection- und IDOR-Schwachstellen offen.
Drei Open-Source-Alternativen zu litellm nach dem PyPI-Supply-Chain-Angriff
Die litellm-Versionen 1.82.7 und 1.82.8 auf PyPI wurden in einem Supply-Chain-Angriff mit Malware zum Stehlen von Zugangsdaten kompromittiert. Drei Open-Source-Alternativen sind Bifrost (Go-basiert, ~50x schnellere P99-Latenz), Kosong (agentenorientiert von Kimi) und Helicone (AI-Gateway mit Analysen).
Claude Code --dangerously-skip-permissions-Schwachstelle und Open-Source-Verteidigungstool
Lasso Security veröffentlichte eine Untersuchung, die indirekte Prompt-Injection-Schwachstellen in Claude Code bei Verwendung des Flags --dangerously-skip-permissions aufzeigt. Zu den Angriffsvektoren gehören manipulierte README-Dateien, bösartige Webinhalte und MCP-Server-Ausgaben. Sie veröffentlichten einen Open-Source-PostToolUse-Hook, der Werkzeugausgaben anhand von über 50 Erkennungsmustern überprüft.