# KI-Agenten absichern: Plugins, Skills, MCP-Server prüfen > Inventar aller Plugins, Skills und MCP-Server eurer KI-Agenten, mit Prüfsummen und Herkunft. Danach wird jedes Update vor dem Einspielen gesichtet. Baustein für die Lieferkette nach NIS2. Ab 2.490 € netto. Quelle: https://www.krynexlabs.de/services/update-schleuse/ Anbieter: Krynex Labs UG (haftungsbeschränkt) i. G., Chemnitz · https://www.krynexlabs.de --- # Update-Schleuse: was eure KI-Agenten nachladen, bevor es läuft KI-Agenten laden Erweiterungen nach: Plugins, Skills, MCP-Server, Werkzeuge über npx. Jede davon kann mit dem nächsten Update etwas anderes tun als vorher. Wir erfassen, was bei euch installiert ist, nageln Versionen fest und sichten jedes Update, bevor es eingespielt wird. [Termin aussuchen](#booking) ## Worum es geht Ein KI-Agent ist selten allein. Er bekommt Plugins aus einem Marktplatz, Skills aus einem GitHub-Repo, MCP-Server für Mail, Kalender und Datenbank, und er startet Werkzeuge über npx. Jede dieser Erweiterungen arbeitet mit den Rechten des Agenten. Und jede kann sich ändern, ohne dass jemand bei euch es merkt. Die Vorfälle der letzten Monate folgen alle demselben Muster: Ein vertrauter Bezugsweg liefert eines Tages etwas anderes. Der falsche MCP-Server unter dem Namen von Postmark lief zunächst unauffällig, erst Version 1.0.16 zweigte jede Mail ab. Wer die Version festgenagelt und jedes Update angesehen hätte, wäre nicht betroffen gewesen. ## Wir haben bei uns selbst angefangen Bevor wir die Schleuse angeboten haben, haben wir unser Inventar-Skript auf unserem eigenen Server laufen lassen. Erfasst wurden 14 Skills, ein Plugin, ein MCP-Server, sechs Hooks, 28 Container und 24 Pakete, die über npx gestartet wurden. Gefunden haben wir: - **Ungeprüfte Updates.** 13 Skills eines Video-Werkzeugs haben sich seit ihrer Installation im September mehrfach aktualisiert, zuletzt am 3. Oktober. Gesichtet hat das niemand. - **Nachladen auf Zuruf.** Die Hauptanleitung dieser Skills weist den Agenten an, das Werkzeug mit `@latest` zu starten, also in der Fassung, die gerade im Netz liegt. Im Zwischenspeicher fanden sich drei verschiedene Versionen, die so gelaufen sind. - **Herkunft unbekannt.** Ein Design-Skill mit fünf ausführbaren Skripten steht in keiner Lock-Datei. Woher er kam, steht nirgends auf dem Rechner. - **Container ohne feste Version.** Zwei Dienste laufen auf `:latest`. Ein Neustart ändert daran nichts, aber wer sie neu aufsetzt oder die Images aktualisiert, bekommt die Fassung, die an dem Tag aktuell ist, ohne dass es jemand merkt. Unsere eigenen Plugins hatten wir schon vorher gehärtet: Sie laden nur eine festgelegte Version und prüfen sie gegen Prüfsummen, die im Plugin selbst stehen, nicht im Download. Weicht etwas ab, läuft nichts. ## Die Pakete ### Bestandsaufnahme **2.490 € netto · Ergebnis in etwa zwei Wochen** - Inventar aller Agenten-Erweiterungen auf bis zu 25 Arbeitsplätzen und 3 Servern: Plugins, Marktplätze, Skills, MCP-Server, Hooks, Container, über npx gestartete Werkzeuge - Version, Herkunft und Prüfsumme je Eintrag, als maschinenlesbare Stückliste - Befundliste mit Begründung: was ohne feste Version nachlädt, was keine Herkunft hat, welche MCP-Server Netz- und Dateizugriff haben - Vorschlag für Freigabelisten, eingerichtet über die Einstellungen, die der Hersteller des Agenten dafür vorsieht - Dokumentation als Baustein für die Lieferkette nach § 30 BSIG ### Betrieb **390 € netto im Monat · bis 25 Arbeitsplätze · monatlich kündbar** - Jedes Update einer freigegebenen Erweiterung wird vor der Freigabe gesichtet: Unterschied im Code, neue Rechte, neue Netzziele - Abgleich des Inventars mit neuen Warnmeldungen - Bei einem Fund Meldung binnen eines Werktags - Monatsbericht mit allen Freigaben und Ablehnungen ### Release-Härtung **3.900 € netto** Für Firmen, die selbst Plugins, MCP-Server oder Agenten ausliefern: Downloads mit festgelegter Version und eingebetteten Prüfsummen, unveränderliche Releases, Stückliste je Release und ein Ablauf für den Fall, dass eine Schwachstelle gemeldet werden muss. Wer solche Produkte vertreibt, sollte prüfen lassen, ob er Hersteller im Sinne des Cyber Resilience Act ist. Dessen Meldepflicht für aktiv ausgenutzte Schwachstellen gilt seit dem 11. September 2026. ## Was wir nicht machen Wir erklären kein Update für sicher. Wir sichten nach Methode und schreiben auf, was wir gesehen haben. Wir lesen keine Zugangsdaten aus und erfassen nicht, wer welchen Agenten wofür benutzt, nur was installiert ist. Und wir bauen keinen eigenen Scanner nach, wo der Hersteller eures Agenten schon Freigabelisten anbietet: Die richten wir ein. Klingt nach eurem Fall? In 30 Minuten wisst ihr, ob Update-Schleuse: was eure KI-Agenten nachladen, bevor es läuft passt. [Termin aussuchen](#booking) ## Häufige Fragen ### Was ist an Agenten-Erweiterungen anders als an normaler Software? Eine Erweiterung bekommt die Rechte des Agenten: Sie liest Dateien, ruft Befehle auf, verschickt Mails. Und viele aktualisieren sich still. Eine Skill-Anleitung kann den Agenten sogar auffordern, ein Werkzeug in der jeweils neuesten Fassung aus dem Netz zu laden und auszuführen. Was gestern geprüft war, ist heute vielleicht eine andere Datei. ### Ist das schon einmal passiert? Ja, mehrfach. Ein falscher MCP-Server unter dem Namen von Postmark schickte ab Version 1.0.16 von jeder Mail heimlich eine Blindkopie an einen fremden Server (Stellungnahme von Postmark, 25.09.2025). In die VS-Code-Erweiterung von Amazon Q gelangte über ein zu weit berechtigtes Token Schadcode in die Version 1.84.0 (AWS-Sicherheitshinweis AWS-2025-015). Und die manipulierten Nx-Pakete versuchten im August 2025, lokale KI-Werkzeuge wie Claude und Gemini für die Suche nach Zugangsdaten einzuspannen (Postmortem von Nx). ### Müssen wir das wegen NIS2 machen? Wichtige und besonders wichtige Einrichtungen müssen nach § 30 BSIG Maßnahmen zur Sicherheit der Lieferkette ergreifen und ihre Einhaltung dokumentieren. Ob KI-Agenten mit ihren Erweiterungen dazugehören, steht nicht ausdrücklich im Gesetz. Naheliegend ist es, denn es geht um Komponenten von außen mit Zugriff auf eure Systeme. Die rechtliche Einordnung gehört zu eurer Rechtsberatung; wir liefern Inventar und Dokumentation. ### Sagt ihr uns, dass ein Update sicher ist? Nein. Wir sichten nach einer festen Methode: was sich am Code ändert, an den Beschreibungen der Werkzeuge, an Rechten und Netzzielen, und ob neue Warnmeldungen vorliegen. Das senkt das Risiko deutlich, eine Garantie ist es nicht. Was wir gesehen haben, steht im Freigabeprotokoll. ### Was braucht ihr dafür von uns? Lesenden Zugang zu den Rechnern und Servern, auf denen Agenten laufen, oder jemanden bei euch, der unser Skript startet. Das Skript liest nur. Von Zugangsdaten in den Einstellungen erfasst es die Namen, nie die Werte. Bei Arbeitsplatzrechnern sprechen wir vorher mit euch über Betriebsrat und Datenschutz. ## Passt das zu eurem Projekt? 30-Minuten-Erstgespräch — wir hören eurem Use-Case zu und sagen klar, ob Update-Schleuse: was eure KI-Agenten nachladen, bevor es läuft der richtige Hebel ist oder etwas anderes besser passt. [Termin aussuchen](#booking) Kostenloses Erstgespräch ## Bucht euch euren Video-Call 30 Minuten, unverbindlich. Wir hören uns euer Vorhaben an und gehen mit einer Lösungsskizze oder einer ehrlichen Empfehlung wieder raus. ### 1 · Tag wählen MoDiMiDoFrSaSo ### 2 · Uhrzeit wählen Wählt zuerst links einen Tag. An diesem Tag ist alles belegt — wählt einen anderen Tag. ✓ ### Termin gebucht! Ihr bekommt gleich eine Bestätigung per E-Mail mit Kalendereintrag und Video-Link. [Video-Link öffnen](#) Die Online-Terminbuchung wird gerade aktiviert. Schreibt uns solange direkt: [Per WhatsApp anfragen](https://wa.me/4915124130700?text=Hallo%20Krynex%20Labs%2C%20ich%20interessiere%20mich%20f%C3%BCr%20Ihre%20KI-L%C3%B6sungen%20und%20habe%20eine%20Frage%3A) [Zum Kontaktformular](https://www.krynexlabs.de/kontakt/)