Ein Protokoll wächst über sich hinaus
Das Model Context Protocol (MCP) bekam sein bislang größtes Update. Bisher mussten Entwickler eine dauerhafte Sitzung zu einem bestimmten Server offenhalten, sonst war die Arbeit verloren. Die neue Version ändert das grundlegend: Bauteile lassen sich austauschen, ohne dass alles zusammenbricht.
Die Agentic AI Foundation (AAIF) unter der Linux Foundation hat die neue Version freigegeben. MCP wird zustandslos, schließt eine Sicherheitslücke im Authentifizierungsmodell, führt eine 12-monatige Abkündigungsfrist für Funktionen ein und erhebt zwei Erweiterungen – interaktive Server-Oberflächen und asynchrone Langzeitaufgaben – in den Rang offizieller Protokollerweiterungen. Die Änderungen betreffen jeden, der KI-Agenten im Unternehmenseinsatz betreiben will.
Warum Zustandslosigkeit für Enterprise-Skalierung wichtig ist
Bisher musste ein MCP-Client eine dauerhafte Verbindung zu genau einem Server aufbauen. In Cloud-Umgebungen mit Load-Balancern war das ein Problem. Fiel der Server aus, war der Zustand des Agenten weg. „Man brauchte einen Session-Store und musste Session-IDs verwalten“, sagt Den Delimarsky, einer der Hauptentwickler. „Wenn ein Compute-Pod abstürzte, begannen die Anfragen zu scheitern. Das ist mit der neuen Version kein Problem mehr.“
Mazin Gilbert, Geschäftsführer der AAIF, zieht einen historischen Vergleich: „Die Zustandslosigkeit ermöglicht es deinem MCP-Client, mit einem Load-Balancer zu sprechen, der mit jedem Server verbunden ist. Du brauchst keine Klebrigkeit mehr.“ Gilbert betont, dass die alte Einschränkung der Hauptgrund war, warum Unternehmen KI-Agenten nicht in die Produktion brachten. „Ich kenne Firmen, die Zehntausende von Agenten einsetzen – das geht ohne diesen Schritt nicht.“ Der Engpass lag nie an der KI selbst, sondern an den Architekturfragen.
Die Diskussion darüber ist fast so alt wie das Protokoll. Im Dezember 2024 öffnete MCP-Miterfinder Justin Spahr-Summers einen GitHub-Thread zu den Einschränkungen langlebiger Verbindungen für serverlose Umgebungen. Ingenieure von Vercel, Cloudflare, Shopify und Amazon beteiligten sich. Die Entwickler verpflichteten sich auf der Dezember-Sitzung 2025 offiziell zur Zustandslosigkeit. Jetzt ist sie Wirklichkeit.
Was die Zustandslosigkeit kostet und bringt
Protokolldesign erfordert Kompromisse. Die Maintainer waren offen, was dieser Schritt gekostet hat. Erstens werden die Datenpakete größer. „Ein Großteil des Zustands verschwindet nicht, sondern wird zwischen Client und Server hin- und hergeschickt“, erklärt David Soria Parra, MCP-Mitbegründer bei Anthropic. „Du bekommst größere Payloads, aber sie sind gut komprimierbar und immer noch klein im Vergleich zu einer typischen HTTP-Anfrage.“
Zweitens fallen einige selten genutzte Funktionen weg. Der Out-of-Band-Server-Logging-Mechanismus funktioniert im neuen Modell nicht mehr. Das Team durchsuchte vor der Streichung alle GitHub-Repositories: „Wir haben geguckt, wer das Feature nutzt – im Grunde niemand.“ Soria Parra schätzt die betroffene Zahl auf eine Handvoll Entwickler. „Ich bin traurig, dass Dinge, die ich für nützlich hielt, sich als nicht nützlich erwiesen haben – aber der größte Kompromiss war wohl mein Ego.“
Delimarsky formuliert es nüchtern: „Mit der Zustandslosigkeit verschieben wir die Verantwortung für die Zustandsverwaltung in die Hände der Entwickler. Bisher hatten viele Probleme zu verstehen, ob sie das brauchen. Jetzt sagen wir: Verwalte den Zustand so, wie es für deine Umgebung sinnvoll ist.“ Die Migration wird für die meisten Entwickler nahezu schmerzfrei sein, weil die offiziellen SDKs die Änderungen automatisch übernehmen. Soria Parra betont: „Eines der Hauptziele ist, dass der Upgrade-Pfad minimal ist – so minimal, dass jedes KI-Modell es wahrscheinlich auf Anhieb für dich erledigen würde.“
Die 12-Monats-Frist: Ein Stabilitätsversprechen für Unternehmen
Die vielleicht unternehmensfreundlichste Neuerung ist eine Richtlinie. Das Deprecation-Framework garantiert Entwicklern mindestens zwölf Monate zwischen der Ankündigung einer Funktionsabkündigung und ihrer frühestmöglichen Entfernung. Das gibt Unternehmen die Stabilität, die sie brauchen, um auf eine Spezifikation zu bauen.
Die Zahl zwölf ist kein Zufall. „Wir haben Google, Microsoft und Amazon gefragt: Was ist der richtige Zeitraum?“, sagt Delimarsky. „Zwölf Monate schienen der vernünftige Mittelweg.“ Funktionen werden nicht aus Laune entfernt. „Es gibt einen sehr starken Druck aus der Industrie hinter diesen Änderungen.“ Soria Parra ergänzt, dass die Telemetrie der Maintainer zeigt, dass die meisten Ökosysteme innerhalb von sechs bis acht Monaten aktualisieren. „Es heißt nur, dass wir nach zwölf Monaten offen für eine Entfernung sind – aber wir können unsere Meinung jederzeit ändern.“
Gilbert sieht die Regelung als eines von drei Elementen: Offene Standards, Zustandslosigkeit im großen Maßstab und verlässliche Abkündigungsfristen. „Unternehmen, die in kleinerem Maßstab deployen, werden ausgebremst – durch die Autorisierungslücke, durch Identitätsfragen, durch mangelndes Vertrauen in die Deprecation-Policy. Die Gefahr, dass sich etwas über Nacht ändert, war einfach zu groß.“ Mit diesem Update profitieren sie von der Sicherheit.
Sicherheit: OAuth-Mix-up-Angriffe verhindert, bevor sie auftreten
Das Update verschärft die Authentifizierung. MCP passt seine Auth-Spezifikation enger an die tatsächliche Nutzung von OAuth 2.0 und OpenID Connect an. Das Protokoll erzwingt jetzt eine Pflichtprüfung des issuer-Parameters (iss). Das schließt Mix-up-Angriffe aus, bei denen ein Client getäuscht werden kann, eine Autorisierungsantwort dem falschen Identitätsserver zuzuordnen.
Wurde jemand angegriffen? Nein, sagt Delimarsky – es handelt sich um vorbeugende Technik. „Das basiert nicht auf bestehenden Schwachstellen oder aktiver Ausnutzung. Es ist das Ergebnis unseres Austauschs mit der Sicherheits-Community.“ Die Philosophie sei, nicht das Rad neu zu erfinden. Das zeigt sich in der neuen „Enterprise Managed Authorization“-Erweiterung, entwickelt mit Okta. Sie erlaubt Organisationen, ihren eigenen Unternehmens-Identitätsanbieter für den MCP-Serverzugriff zu nutzen. „Wenn ich Hunderte von MCP-Servern verwalte, will ich sicherstellen, dass sich alle mit ihren Unternehmens-Zugangsdaten anmelden“, erklärt Delimarsky.
Weitere Sicherheitsfeatures sind in Planung: Demonstrated Proof-of-Possession und Workload Identity Federation. Gilbert verbindet diese Arbeit mit der allgemeinen Reifung des Protokolls: „MCP hat die Lücke mit diesen Autorisierungsprotokollen geschlossen. Es wird jetzt enterprise-ready.“
Apps und Tasks: Zwei Erweiterungen werden offiziell
Zwei Fähigkeiten werden zu offiziellen Erweiterungen erhoben. Ein neuer Rahmen erlaubt Erweiterungen, sich unabhängig vom Kernprotokoll weiterzuentwickeln. Das verhindert Aufblähung des Kerns.
MCP Apps erlaubt Servern, interaktive Benutzeroberflächen in KI-Clients zu liefern – Dashboards, Formulare, Visualisierungen. Statt nur Textblöcke auszugeben, können Agenten Anwendungen rendern.
MCP Tasks adressiert ein anderes Problem: Nicht jeder Tool-Call ist in einem Roundtrip erledigt. Statt langwierige Verbindungen offen zu halten, gibt der Server einen dauerhaften Task-Handle zurück. Der Client kann die Verbindung trennen, abstürzen, neu starten und später nachfragen. „Du bearbeitest Audio für einen Podcast – der Server kann dich benachrichtigen, wenn es fertig ist“, erklärt Soria Parra. Asynchrone Workflows werden praktikabel.
Was das konkret für Unternehmen bedeutet
Die Änderungen machen MCP fit für den produktiven Einsatz in großen Unternehmen. Du musst dich nicht mehr um Sitzungsverwaltung, Load-Balancer-Kompatibilität oder unerwartete Funktionsentfernungen kümmern. Sicherheitslücken sind geschlossen, bevor jemand sie ausnutzen konnte. Die neuen Erweiterungen erlauben Agenten, über Textantworten hinauszugehen – hin zu interaktiven Oberflächen und asynchronen Verarbeitungspipelines.
Kein Protokoll ist perfekt. Die Payloads werden größer, einige seltene Features fallen weg, und die Verantwortung für die Zustandsverwaltung liegt jetzt bei dir. Aber das ist kein Nachteil – du entscheidest, wo und wie du Zustand speicherst. Für Unternehmen mit Hunderten oder Tausenden von KI-Agenten in der Produktion ist das Update ein wichtiger Schritt. Offene Standards in der KI-Welt können erwachsen werden – durch Architekturentscheidungen, die Betrieb im großen Stil ermöglichen.
Quelle: venturebeat.com
