Tools und MCP

Über ToolsTool · engl. toolEin Werkzeug, das das Modell aufrufen kann: eine API, eine Datenbankabfrage, ein Shell-Befehl, eine Suche. Über Tools wirkt das Modell auf die Welt.Im Glossar greift das ModellModell · engl. model, LLMDas Sprachmodell (LLM, Large Language Model). Es liest Text, schreibt Text und entscheidet in einem Agenten, was als Nächstes passiert.Im Glossar in die Welt ein, und am Tool-Design scheitern viele Agenten, ohne dass es auffällt. Ein Tool besteht für das Modell aus drei Prompts in einem Schema: dem Namen, der Beschreibung und der Form dessen, was zurückkommt. Den nach unserer Einschätzung besten Einzelleitfaden dazu hat Anthropic im September 2025 veröffentlicht, „Writing effective tools for agents“. Diese Lektion fasst ihn zusammen.

Design, das funktioniert

• Wenige, größere Tools. Ein Modell, das zwischen 40 überlappenden Tools wählt, trifft schlechtere Entscheidungen als eines mit 8 klar getrennten. Anthropics Beispiel: Statt list_users, list_events und create_event einzeln anzubieten, baust du ein Tool, das einen freien Termin findet und ihn gleich einträgt.
• Beschreibungen sind Prompts. Sag, wann das Tool passt, wann nicht und was die Parameter konkret bedeuten. Präfixe nach Dienst wie asana_search und jira_search verhindern Verwechslungen zwischen Diensten.
• Bedeutung zurückgeben. Eine rohe JSON-Antwort mit 30.000 Tokens ist ein Fehler im Context Engineering. Gib die Felder zurück, die der Agent braucht, mit lesbaren Namen statt technischer IDs und mit seitenweisem Abruf. Ein Parameter wie response_format mit den Werten concise und detailed liefert bei Bedarf mehr. Claude Code begrenzt Tool-Antworten standardmäßig auf 25.000 Tokens.
• Fehler sollen etwas beibringen. „Invalid input“ kostet eine Runde. „datum muss im Format TT.MM.JJJJ stehen, erhalten: 3.4.26“ führt in einer Runde zum Erfolg.
• Der Zuschnitt folgt der Aufgabe. Schneide Tools so zu, wie ein Agent über die Arbeit nachdenkt.

Wie viel eine gute Fehlermeldung ausmacht, haben wir nachgemessen. Ein Tool termin_anlegen mit der Beschreibung „Legt einen Termin im Kalender an“ und dem Parameter datum („Das Datum“) verlangt intern das Format TT.MM.JJJJ. Der Auftrag lautete: „Trag mir für den 3.4.26 einen Zahnarzttermin ein.“ Variante A antwortet auf ein falsches Format mit Invalid input, Variante B mit Format und Beispiel. Je fünf Läufe mit Claude Haiku 5.5 am 13. November 2026:

In allen zehn Läufen schickte das Modell zuerst 3.4.26, denn die Beschreibung verriet das Format nicht. Mit der lehrreichen Meldung reichte jedes Mal ein zweiter Versuch. Mit Invalid input riet das Modell, oft falsch, und gab dann auf.

Invalid input

datum muss im Format TT.MM.JJJJ stehen,
z. B. 03.04.2026. Erhalten: '3.4.26'.

MCP im Jahr 2026

Das Model Context ProtocolMCP · engl. Model Context ProtocolEin offenes Protokoll, über das ein Agent Tools aus externen Servern einbindet, etwa für GitHub, Slack oder eine Datenbank. Jeder Server bringt eigene Tool-Definitionen mit.Im Glossar ist ein offener Standard, den Anthropic am 25. November 2024 vorgestellt hat. Inzwischen ist es die übliche Verkabelung zwischen Tools und Clients. Die aktuelle Fassung ist die Spezifikation vom 28. Juli 2026 (Stand: Nov. 2026). Sie ändert das Protokoll grundlegend:

• Zustandslos. MCP wird von einem zweiseitigen Protokoll mit Sitzungszustand zu einem zustandslosen Protokoll aus Anfrage und Antwort. Der Austausch initialize/initialized und der Header Mcp-Session-Id entfallen.
• Cachebare Listen. Antworten auf List-Anfragen tragen Hinweise für den Cache und eine feste Reihenfolge.
• Routing über Header. Anfragen über Streamable HTTP tragen die Header Mcp-Method und Mcp-Name.
• Erweiterungen. Ein formaler Rahmen für Erweiterungen kommt hinzu. Tasks wandern dorthin.
• Autorisierung. Clients prüfen den Aussteller nach RFC 9207, und Metadaten-Dokumente der Clients lösen die dynamische Registrierung ab.

Praktisch heißt das: MCP-Server lassen sich jetzt skalieren wie gewöhnliche Webdienste. Die großen Clients sprechen MCP, darunter Claude Code, das Agents SDK von OpenAI und ChatGPT, das Vercel AI SDK seit Version 6 und die meisten Harnesses aus der Landschaft.

Sicherheit

Jede Tool-Beschreibung landet im Kontext des Modells. Damit wird das ganze Tool-Ökosystem zur Angriffsfläche für Prompt InjectionPrompt-Injection · engl. prompt injectionText, der sich als Anweisung an das Modell ausgibt und über eine Eingabe oder ein Tool-Ergebnis in den Kontext gelangt, etwa eine Webseite mit „Ignoriere deine Anweisungen“. Ein Agent mit echten Rechten, der solchen Text liest, ist angreifbar.Im Glossar.

• Vergiftete Tools. Ein bösartiger MCP-Server versteckt Anweisungen in seinen Tool-Beschreibungen. Invariant Labs zeigte das im April 2025 mit einem harmlos wirkenden Rechen-Tool. In dessen Beschreibung stand, das Modell solle vor dem Aufruf ~/.cursor/mcp.json und ~/.ssh/id_rsa lesen, den Inhalt als Parameter mitschicken und das nicht erwähnen. Der Benchmark MCPTox (August 2025, überarbeitet im September 2026) prüfte 20 Agenten-Konfigurationen mit 45 echten MCP-Servern und 353 Tools. Die Angriffe gelangen im Schnitt in 36,5 % der Fälle, bei o1-mini in 72,8 %.
• Eingeschleuste Anweisungen in Ergebnissen. Auch ein ehrliches Tool kann eine Webseite, eine Mail oder eine Datenbankzeile zurückgeben, in der Anweisungen stehen, denen das Modell folgt.
• Die tödliche Dreierkombination. Simon Willison nannte im Juni 2025 drei Zutaten: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Möglichkeit, nach außen zu kommunizieren. Ein Agent mit allen dreien lässt sich ausnutzen. Entferne eine davon.

Praktische Abwehr: Fixiere die Versionen deiner Server. Lies Tool-Beschreibungen vor der Installation wie Code im Review. Gib Zugangsdaten nur so weit wie nötig. Stell Aufrufe mit Nebenwirkungen hinter eine Freigabe. Behandle jede Tool-Ausgabe als reine Daten. Nach unserer Einschätzung wehrt 2026 kein Modell Injection zuverlässig ab. In MCPTox lehnte selbst das vorsichtigste Modell weniger als 3 % der Angriffe ab. Den Schutz muss der Harness liefern.

Prüf dich selbst