Sandbox Escape: 2.000 MCP-Plugins direkt in Claude

Der Claude Marketplace startet mit über 2.000 Konnektoren

Am 27. September 2026 hat Anthropic den Claude Marketplace eröffnet: einen öffentlichen Katalog, der Plugins, Konnektoren, Agenten und auf Claude aufbauende Produkte bündelt. Die Ankündigung nennt über 2.000 bereits verfügbare Konnektoren und Plugins^[1], mit Integrationen von Atlassian, Google, Microsoft und Salesforce.

Der Katalog beherbergt auch agentische Produkte von Partnern wie CrowdStrike, Cursor, Harvey, Legora, Lovable und Snowflake. Daneben stehen Beratungs- und Integrationshäuser: Accenture, Boston Consulting Group, Deloitte.

Der technisch entscheidende Punkt liegt anderswo, nämlich im Veröffentlichungskanal. Wer entwickelt, kann Konnektoren und Plugins mit Model Context Protocol und Agent Skills erstellen. Unternehmen, die Software auf Claude-Basis verkaufen, können die Aufnahme in den Katalog beantragen – die Distribution wird damit ein für alle offener Weg.

Die Form erinnert an einen App Store: Entdecken, Installieren, Aktualisieren in wenigen Schritten. Das ist ein Sprung gegenüber Einzelintegrationen, die ein internes Team von Hand konfiguriert.

Vom Integrationsprotokoll zum Distributionskanal

Bis gestern war MCP ein Integrationsprotokoll: eine Möglichkeit, einen Agenten mit Tools und Daten zu verbinden. Mit einem öffentlichen Katalog wird es zugleich ein Distributionskanal – und damit ändert sich die Natur des Risikos.

Der Protokoll-Layer bleibt der eigentliche Burggraben dieses Marktes, mehr als die Performance des einzelnen Modells.

Wer die Kommunikation zwischen Agenten und Tools kontrolliert, kontrolliert die Architektur derjenigen, die integrieren. Ein vom Modellanbieter betriebener Katalog bündelt zwei historisch getrennte Funktionen: den technischen Standard und die kommerzielle Auslage. Diese Bündelung bringt unmittelbaren Adoptionswert und eine architektonische Lock-in-Schuld, die jetzt zu bemessen ist.

OpenAI hat einen ähnlichen Weg mit dem eigenen App-Marketplace versucht, mit überschaubaren Ergebnissen. Anthropic öffnet die Veröffentlichung für alle, um genau dieses Ende zu vermeiden, und akzeptiert den Preis dafür: mehr Konnektoren, mehr fremder Code, mehr Qualitätsvarianz.

Was ein installierter Konnektor tatsächlich ausführt

Ein installierter Konnektor ist Code Dritter, der im Kontext des Agenten läuft, mit den Berechtigungen der Person, die ihn installiert.

Die Beschreibungen der Tools, die ein MCP-Server bereitstellt, landen im Prompt. Das Modell liest sie als Handlungsanweisungen und entscheidet, wann es sie aufruft. Die Grenze zwischen Daten und Anweisung, schon in RAG-Architekturen dünn, wird hier zur Design-Entscheidung des Konnektor-Anbieters.

Daraus folgt die praktische Konsequenz: Der aktive Selbstaufruf entfernt den menschlichen Zwischenschritt zwischen Entdeckung des Tools und Ausführung.

Ein abgerufenes Dokument bringt die Anmeldedaten des Nutzers mit sich. Dasselbe gilt für einen Konnektor: Er erbt die Session, die Token, den Zugriff auf das Dateisystem oder das Repository, die der Agent bereits besitzt. Prompt Injection bleibt der von Enterprise-AI-Teams am meisten unterschätzte Angriff, und ein offener Katalog vervielfacht seine Einstiegspunkte.

Die Punkte, die die Ankündigung offenlässt

Die verfügbare Berichterstattung beschreibt den Katalog, die Partner und das Veröffentlichungsmodell. Es fehlen dagegen genau die Elemente, auf deren Basis ein Security-Team entscheidet.

Drei davon bleiben im öffentlichen Text außen vor:

• Prüfprozess für von Dritten veröffentlichte Konnektoren: wer den Code verifiziert, nach welchen Kriterien, in welchem Rhythmus
• Versionierung und Provenienz: wie ein Release signiert wird, wie ein automatisches Update blockiert wird, wie man das Diff liest
• Entzug und Scoping von Berechtigungen: wie ein Unternehmen einen Konnektor in einem Zug aus der gesamten Agentenflotte zurückzieht

Diese drei Punkte trennen einen „verfügbaren" Katalog von einem Produktionskatalog. Die Antwort ist vor dem Rollout beim Anbieter einzuholen, in vertraglicher Form.

Dieselbe Frage gilt für klassische App Stores, in denen die Prüfung seit Jahren existiert und trotzdem unvollkommen bleibt. Ein agentischer Katalog startet mit einem zusätzlichen Problem: Der veröffentlichte Code handelt, statt sich darauf zu beschränken, Inhalte anzuzeigen.

Der Unterschied wiegt schwer. Eine bösartige App in einem Mobile Store fragt Berechtigungen bei einem Nutzer ab, der sie sieht; ein agentischer Konnektor erbt bereits erteilte Berechtigungen, innerhalb einer automatischen Session.

Sandbox Escape ist eine Vorfallklasse

Sandbox Escape ist eine Vorfallklasse, keine isolierte Anekdote. Jede Evaluierungsumgebung eines Agenten ist faktisch eine Produktionsoberfläche.

Das operative Prinzip ist knapp: Das System, das ein Agent erreichen kann, ist das System, das ein Agent kompromittieren kann.

Ein aus einem öffentlichen Katalog geladener Konnektor erweitert diese Erreichbarkeit stillschweigend. Der Agent erwirbt während einer Session neue Tools, und der Perimeter verändert sich von einem Run zum nächsten. Die technische Antwort läuft über Identität: eigene Credentials für jeden Agenten, namentliche Logs, sofortiger Entzug. Der auf Agenten angewandte Zero-Trust-Ansatz beginnt genau hier (The Hacker News^[2]).

Was außerhalb der Logs bleibt, bleibt außerhalb der Kontrolle. Ein Konnektor, den ein Entwickler auf der eigenen Workstation installiert, mit dem Unternehmenstoken in der Session, erzeugt eine Ausführungskette, die das Unternehmen erst im Nachhinein entdeckt.

Drei Fragen für Enterprise-AI-Teams

Bevor ein Team den Katalog innerhalb des Perimeters autorisiert, sollte es drei operative Fragen beantworten.

1. Welches Inventar der bereits auf Workstations und in CI-Pipelines installierten MCP-Konnektoren existiert heute, mit Name, Version und Autor?
2. Welche Identität nutzt jeder Agent, wenn er ein Tool aus dem Katalog aufruft, und wie lange dauert deren Entzug?
3. Welche Kontrolle blockiert das automatische Update eines freigegebenen Konnektors auf eine noch ungeprüfte Version?

Die drei Antworten verlangen Daten, keine Meinungen. Ein Team, das sie in einem halben Tag liefert, hat bereits eine funktionierende Governance; ein Team, das Wochen braucht, misst in dieser Verzögerung seine eigene technische Schuld.

Die meisten Architekturen in Produktion behandeln abgerufene Inhalte als vertrauenswürdigen Input. Ein Katalog mit 2.000 Einträgen macht diese Entscheidung teuer, denn jeder Eintrag fügt einen Autor, eine Supply Chain und einen Release-Zyklus hinzu, die außerhalb der Unternehmenskontrolle liegen.

Multi-Agenten-Systeme ohne explizite Circuit Breaker fallen kaskadenartig aus: Der Output eines Agenten wird zum Input des nächsten, und die unabhängige Validierung fehlt. Tools Dritter in diese Kette einzufügen verstärkt den Effekt.

Falle oder Wettbewerbsvorteil

Das technische Urteil ist zweigeteilt, und es lohnt sich, es nach Rolle zu trennen.

• CTO: die Policy zur Installation agentischer Tools überarbeiten, die heute häufig der einzelnen Entwicklerin oder dem einzelnen Entwickler überlassen bleibt
• Head of Engineering: eine Allowlist signierter Konnektoren einführen, mit Version-Pinning im Repository
• CFO: Die Integrationskosten sinken, die Kosten für Audit und Incident Response steigen; das Budget ist auf beiden Posten neu aufzusetzen
• Technology Procurement Committee: vertraglich Prüf-SLAs, Meldung von Kompromittierungen und ein Recht auf zentralen Entzug einfordern

Auf der Adoptionsseite ist der Katalog ein echter Vorteil: Er reduziert die Integrationsarbeit, standardisiert das Auffinden von Tools und bringt seriöse Anbieter in eine einzige Umgebung. Dieser Teil trägt den Alltagsbetrieb, und das ist anzuerkennen.

Auf der Sicherheitsseite verschiebt der Katalog das Risiko nach vorn, in eine Supply Chain, die das Unternehmen erbt, statt sie zu bauen. Die Security-Posture von KI-Systemen läuft der Reife der Infrastruktur zwei bis drei Jahre nach, und ein Distributionskanal vergrößert diesen Abstand.

Bleibt ein sprachlicher Punkt, der auf Entscheidungen durchschlägt. Von „abtrünnigen" Agenten zu sprechen verschiebt die Verantwortung vom System hin zu einer Fantasiefigur, wie diese kritische Analyse argumentiert (Eoin Higgins^[3]). Ein Konnektor, der eine schädliche Aktion ausführt, führt Code aus, den jemand geschrieben hat, innerhalb eines Perimeters, den jemand autorisiert hat.

Die Entscheidung für den nächsten Planungszyklus ist der Form nach einfach: den Claude Marketplace wie ein Dependency-Repository behandeln, mit denselben Regeln wie bei einem Package Manager. Inventar, Signatur, Pinning, Entzug. Der Rest ist Vertrauen, und Vertrauen lässt sich schlecht loggen.