Das Model Context Protocol (MCP) hat sich als Standardschnittstelle für die Anbindung von KI-Agenten an externe Tools und Datenquellen etabliert, bringt aber in Produktionsumgebungen erhebliche Angriffsflächen mit sich, die über einfache Gateway-Absicherung hinausgehen. Autor Nik Kale argumentiert, dass viele Teams den Fehler begehen, Sicherheitskontrollen ausschließlich am Eintrittspunkt (Gateway) zu platzieren, während tieferliegende Schichten ungeschützt bleiben. Der vorgestellte Defense-in-Depth-Rahmen gliedert sich in vier Kontrollschichten: Erstens die sichere Ausführung, die sicherstellt, dass Tool-Aufrufe in isolierten, berechtigungsbeschränkten Umgebungen stattfinden. Zweitens die Management-Infrastruktur, die Authentifizierung, Autorisierung und Auditierung für MCP-Server selbst umfasst. Drittens Outbound-Trust-Kontrollen, die regeln, welche externen Ressourcen MCP-Server kontaktieren dürfen. Viertens semantische Integrität, die sicherstellt, dass Prompts und Tool-Antworten nicht manipuliert wurden – ein Schutz gegen sogenannte Prompt-Injection-Angriffe über Werkzeugausgaben. Der Kerngedanke ist, Enforcement am frühestmöglichen, vertrauenswürdigen Kontrollpunkt im Stack durchzusetzen, anstatt sich auf eine einzelne Verteidigungslinie zu verlassen.