Cloudflare Gateway kann MCP-Traffic jetzt erkennen und blockieren

Cloudflare hat am August 14, 2026 die Erkennung des Model Context Protocol in seinem Gateway-Produkt ausgeliefert und gibt Enterprise-Netzwerkteams damit eine Möglichkeit, den Tool-Calling-Traffic zu sehen - und zu blockieren -, den KI-Agenten innerhalb verschlüsselter Sitzungen erzeugen. Bis jetzt war dieser Traffic praktisch unsichtbar: "Das Model Context Protocol verwendet keinen garantierten Hostnamen und verlangt kein /mcp im Pfad, sodass eine direkte Verbindung wie jeder andere HTTPS-API-Aufruf aussehen kann", heißt es in Cloudflares Ankündigung.

Die Kontrolle ist ein neuer boolescher Gateway-Selektor, experimental.is_mcp == true, der laut Cloudflares Changelog in HTTP-Richtlinien verwendet werden kann, um passende Anfragen zu erlauben, zu blockieren oder zu isolieren. Er erscheint als Beta und kann sich vor der allgemeinen Verfügbarkeit noch ändern.

Wie die Erkennung funktioniert

Gateway identifiziert MCP-Anfragen durch die Inspektion protokollspezifischer Header - MCP-Protocol-Version sowie Mcp-Method und Mcp-Name, laut Forkasts Analyse - auf TLS-inspiziertem Traffic, sodass keine Domain-Allowlist gepflegt werden muss. PPC Land berichtet, dass die Erkennung aus Mustern gebaut wurde, die über Millionen von Anfragen beobachtet wurden, die täglich Cloudflares Netzwerk durchqueren.

Die Evolution des Protokolls selbst hat das möglich gemacht. PPC Land führt den MCP-Protocol-Version-Header auf die Spezifikationsversion 2025-06-18 zurück, die ihn einführte, und auf die Revisionen 2025-11-25 und 2026-07-28, die ihn verpflichtend machten. Forkast ergänzt, dass der Wechsel der Spezifikation 2026-07-28 zu einem zustandslosen Pro-Anfrage-Modell den Traffic auf der Leitung zuverlässig identifizierbar gemacht hat.

Cloudflares erklärter Grund, Agenten-Traffic als eigene Kategorie zu behandeln, ist verhaltensbasiert: "Ihre Entscheidungen sind nichtdeterministisch, und sie können dieselbe Aktion (oder denselben Tool-Aufruf) unbegrenzt ausführen, ohne müde zu werden oder eine Mittagspause einzulegen", sagt die Ankündigung über KI-Agenten.

Was es sehen kann und was nicht

Die Sichtbarkeit hat harte Grenzen, und PPC Land benennt sie klar: "Verschlüsselter Traffic muss die TLS-Entschlüsselung durchlaufen, bevor Gateway diese Header lesen kann. Lokale stdio-Server, Verbindungen außerhalb des Netzwerks, als Do Not Inspect markierter Traffic und jede Anfrage, die Gateway nie durchquert, bleiben vollständig außerhalb des Blickfelds." Ein Entwickler, der einen lokalen MCP-Server über stdio betreibt, ist nicht erfasst; ein Laptop außerhalb des Firmennetzwerks ebenfalls nicht.

PPC Land weist außerdem auf eine aktuelle Einschränkung auf der Durchsetzungsseite hin: MCP Portals benötigen Upstream-Server, die über das öffentliche Internet erreichbar sind; die Unterstützung für privates DNS steht noch aus.

Die zwei Probleme, auf die es zielt

PPC Land unterscheidet die zwei Fehlermodi, auf die das Release zielt: Shadow MCP - Server, die niemand genehmigt hat und die außerhalb der Sicherheits-Governance laufen - und Portal-Umgehung, bei der ein genehmigter Server direkt statt über den sanktionierten Pfad erreicht wird. Traffic-Source-Selektoren lassen eine Richtlinie Portal-geroutete Anfragen von direkten Verbindungen unterscheiden, sodass eine Organisation direkten MCP-Traffic blockieren und die Portal-vermittelte Variante zulassen kann, so Cloudflares Ankündigung. Ein neues AI-Security-Dashboard meldet laut Changelog das MCP-Anfragevolumen, eindeutige Nutzer und eindeutige MCP-Server.

Die Dringlichkeit hinter Block-by-Default-Haltungen steckt in den Zahlen, die Forkast aus einer auf der DEF CON 34 vorgestellten Analyse von 19,000+ MCP-Servern zitiert: 82% anfällig für Path Traversal, 34% verwundbar für Command Injection und nur 8.5%, die überhaupt OAuth verwenden. Cloudflares Rahmung der Rollout-Reihenfolge: "Beginne mit Sichtbarkeit, dann schließe die Pfade, die nicht existieren sollten."

Was das für Entwickler bedeutet

Wer MCP-Server betreibt, mit denen sich Enterprise-Nutzer verbinden, sollte davon ausgehen, dass dieser Traffic jetzt am Netzwerkrand klassifizierbar ist und dass manche Kunden zu Portal-only-Richtlinien wechseln werden - über ein sanktioniertes Portal erreichbar zu sein und die aktuelle Spezifikation korrekt zu sprechen, wird zur Deployment-Anforderung statt zu einer Nettigkeit. Prüfe, dass dein Server den MCP-Protocol-Version-Header korrekt sendet: Derselbe Header, der dich erkennbar macht, ist der, der dich korrekt zulässt.

Wer in einem Security- oder Plattform-Team arbeitet, folgt praktisch der Sequenz, die Cloudflare beschreibt: Erkennung einschalten, im Dashboard beobachten, wie viel MCP-Traffic in der Organisation bereits existiert, dann Richtlinien schreiben. Und die blinden Flecken kennen, bevor man der Karte vertraut - stdio-Server und Maschinen außerhalb des Netzwerks tauchen darin nie auf.

Die DEF-CON-Zahlen sind der Kontext, der dieses Release relevant macht: Ein Ökosystem, in dem ein Drittel der öffentlichen Server für Command Injection verwundbar ist, ist eines, in dem die Frage, welche Agenten mit welchen Tools sprechen, aufhört, eine Observability-Frage zu sein, und zu einer Zugriffskontrollfrage wird. Der Selektor ist Beta und sein Name kann sich ändern - baue jetzt den Governance-Prozess auf, keine harte Abhängigkeit vom Feldnamen.