Cloudflare hat neue Funktionen in Cloudflare One angekündigt, die Sicherheitsteams dabei unterstützen sollen, den Datenverkehr des Model Context Protocol (MCP) zu erkennen und zu kontrollieren. Dies geschieht vor dem Hintergrund, dass KI-Agenten Werkzeuge aufrufen und Aktionen schnell und in einem Umfang ausführen können, bei dem sich ein einzelner Fehler tausendfach wiederholen kann, bevor er bemerkt wird.
Die neuen Aktualisierungen ermöglichen es Cloudflare Gateway, MCP-Anfragen anhand von Indikatoren auf Protokollebene zu erkennen, die Benutzer und Server anzuzeigen, die diesen Datenverkehr erzeugen, und anschließend Richtlinien anzuwenden, die Verbindungen erlauben oder blockieren. In Verbindung mit MCP Server Portals können Administratoren überprüfen, ob Agenten den genehmigten Pfad verwenden oder sich direkt mit einem Server verbinden und dabei die festgelegten Kontrollen umgehen.
Erkennung von MCP-Datenverkehr ohne Abhängigkeit von charakteristischen Adressen
MCP schreibt weder einen bestimmten Hostnamen noch einen festen Pfad wie /mcp vor. Daher können direkte Verbindungen wie jede HTTPS-Anfrage an eine API aussehen. Cloudflare verwendete zuvor eine Methode, die nach Hostnamen oder Pfaden mit gängigen Indikatoren suchte. Diese Methode konnte jedoch Server übersehen, die gewöhnliche Adressen verwenden, oder Dienste erfassen, die keinen Bezug zu MCP haben.
Gateway stützt sich nun auf Protokollindikatoren, insbesondere auf den Header MCP-Protocol-Version in Anfragen, die eine TLS-Entschlüsselung durchlaufen. Moderne Protokollversionen können außerdem die Header Mcp-Method und Mcp-Name verwenden, um die angeforderte Operation und das angeforderte Werkzeug zu bestimmen, ohne den gesamten Anfragekörper analysieren zu müssen.
Ab dem Datum der Ankündigung sehen alle Cloudflare-Zero-Trust-Kunden MCP-Datenverkehrsindikatoren in den HTTP-Gateway-Protokollen und können den Filter experimental.is_mcp == true in Zulassungs- oder Sperrrichtlinien verwenden. Diese Erkennung umfasst weder verschlüsselten Datenverkehr, der nicht entschlüsselt wurde, noch lokale MCP-Server, die stdio verwenden, noch Verbindungen außerhalb des verwalteten Netzwerks oder Anfragen, die nicht über Gateway laufen.
Dashboard zur Überwachung von Verbindungen und Zielen
Cloudflare stellt ein spezielles Dashboard für MCP-Datenverkehr bereit, das innerhalb eines anpassbaren Zeitraums Folgendes anzeigt:
- Die Gesamtzahl der MCP-Anfragen sowie die Anzahl der eindeutigen Benutzer und Server.
- Die Server, die MCP-Datenverkehr bereitstellen, einschließlich der Anzahl der Anfragen pro Server.
- Die Verteilung des Datenverkehrs nach Endpunkt, einschließlich der Trennung zwischen MCP-Portal-Datenverkehr und direkten Verbindungen von Benutzergeräten.
- Die am häufigsten auftretenden MCP-Server außerhalb genehmigter Portale, was nicht verwalteten MCP-Datenverkehr darstellt.
- Die Benutzer mit dem größten Volumen an MCP-Anfragen.
Administratoren können die Ergebnisse nach Server, Benutzer oder Endpunkttyp filtern und anschließend zu den zugehörigen HTTP-Gateway-Protokollen wechseln, um eine eingehendere Untersuchung durchzuführen.
Unterscheidung zwischen nicht genehmigten Servern und der Umgehung des Portals
Cloudflare unterscheidet zwischen zwei verschiedenen Problemen. Das erste ist Shadow MCP, wenn ein Mitarbeiter einem MCP-Client einen Server hinzufügt, den die Organisation nicht genehmigt hat. Das zweite ist die Umgehung des Portals, wenn sich ein Mitarbeiter direkt mit der Adresse eines genehmigten Servers verbindet, anstatt das MCP-Portal zu verwenden, und dabei Access-Richtlinien, den kuratierten Werkzeugkatalog, den Schutz vor Datenverlust und das Prüfprotokoll umgeht.
Nach der Entdeckung eines unbekannten Servers kann die Organisation ihn bewerten und hinter einem MCP-Portal platzieren. Das Portal stellt einen verwalteten Zugangspunkt, eine Access-Identität, einen kuratierten Werkzeugkatalog und eine Aktivitätsprotokollierung bereit. Konforme Verbindungen können außerdem über Gateway geleitet werden, um HTTP-Richtlinien und den Schutz vor Datenverlust anzuwenden, während Werkzeugaktivitäten über Logpush exportiert werden können.
Um ausschließlich die Nutzung von Portalen durchzusetzen, hat Cloudflare Traffic-Source-Filter zu Gateway-Network- und HTTP-Richtlinien hinzugefügt. Datenverkehr aus einem MCP-Portal wird mit der Quelle mcp_portal angezeigt. Dadurch können MCP-Anfragen blockiert werden, die nicht vom Portal stammen, während Anfragen über den genehmigten Pfad weiterhin zugelassen werden.
Erweiterung der Kompatibilität mit OAuth und privaten Servern
MCP Portals unterstützen nun vorab registrierte OAuth-Clients. Administratoren können Anmeldedaten manuell eingeben, die Rückrufadresse beim Dienstanbieter registrieren und Autorisierungs-, Token-, Widerrufs- und Aussteller-Endpunkte festlegen, wenn diese nicht automatisch erkannt werden können. Jeder Benutzer bleibt dafür verantwortlich, den Zugriff auf seine eigenen Datenquellen zu autorisieren, während das gespeicherte Geheimnis ausschließlich zum Abrufen aktualisierter Werkzeuglisten und Eingabeaufforderungen verwendet wird.
Cloudflare arbeitet außerdem daran, Portalen über das Cloudflare-Gateway-Routing den Zugriff auf MCP-Server in privaten Netzwerken zu ermöglichen. Diese Funktion befindet sich jedoch weiterhin in aktiver Entwicklung. Das Agents SDK in der Version v0.20.0 unterstützt außerdem die MCP-Spezifikation vom 2026-07-28 als Client und Server und kann auf den älteren Initialisierungsmechanismus zurückgreifen, wenn der Server das neue zustandslose Modell nicht unterstützt.
Cloudflare empfiehlt, mit Transparenz zu beginnen: den über Gateway laufenden Datenverkehr zu prüfen, Ziele mit genehmigten Servern zu vergleichen und akzeptierte Server in MCP Portals zu verschieben. Anschließend können Richtlinien durchgesetzt werden, die direkte Verbindungen von verwalteten Geräten und Standorten blockieren. Das Unternehmen weist darauf hin, dass es eine detailliertere Kontrolle über die Nutzung bestimmter Werkzeuge sowie Berichte zur Werkzeugnutzung über bekannte und unbekannte MCP-Server hinzufügen will.