Public MCP Audits
Build-Time-Security-Audits unserer eigenen MCPs, Reports öffentlich auf GitHub. Trust-Signal im fragmentierten MCP-Markt (10.000+ public Server, kaum einer mit Audit-Track-Record), Compound zur DSGVO/EU-AI-Act-Positionierung.
Nicht zu verwechseln mit: av-audit (Stufe-3-Produkt aus Zielversion — Runtime-Audit-Trail mit GoBD-Hash-Chain für Kunden-Workloads). Sehr verschiedene Sachen, gleiche Welle.
Warum jetzt
- Kein grosser MCP-Hersteller publiziert Audit-Reports. First-Mover-Slot offen.
- Recherche 2026-05-18 Next Agent Protocols zeigt Welle 2 (Compliance) als unseren Hebel — EU AI Act 2026-08-02 Stichtag macht das in 2,5 Monaten zum verkaufsentscheidenden Argument.
- Skill security-audit existiert, Tooling steht. Marginalkosten pro MCP klein.
Roadmap
| Phase | Was | Wann | Status |
|---|---|---|---|
| 1 — Pilot | mcp-papierkram durchauditen, Critical+High fixen, Report-Skizze | KW 21-22 (parallel zu av-voice Phase 2) | done (Daily 8/10 Lauf 2026-05-18: 0 CRIT / 0 HIGH / 3 MED. Outputs: raw + draft + run. Remediation F1-F3 offen — ~1.5h, parallel zu Phase 2 machbar) |
| 2 — Pattern | intern/wissen/prozesse/public-mcp-audit-pattern.md schreiben (Severity-Policy, Embargo-Regeln, Cadence, Report-Template, Repo-Struktur) | nach Pilot, KW 22-23 | TODO — naechster Schritt |
| 3 — Audit 2 + 3 | Pattern anwenden auf mcp-whatsapp + mcp-vf-hosted (höchster Production-Wert) | KW 24-26 | TODO |
| 4 — Public-Launch | Reports auf GitHub, Marketing-Push auf agenticventures.de, in Pitch-Decks | KW 27-28 (passt zu EU-AI-Act-Stichtag 02.08.) | TODO |
| 5 — Skalierung | Restliche 10 aktive MCPs quarterly durchrollen, automatisierte Cadence | Q3-Q4 2026 | TODO |
Eckpfeiler
- Severity-Policy: Critical+High → Embargo bis Fix, dann public. Medium → public mit Remediation-Hinweis. Low → public ohne Embargo.
- Cadence: quartalsweise Re-Audit aller MCPs, plus event-driven nach jedem Major-Release.
- Repo-Struktur: offen — eigenes
agentic-ventures/security-auditsoder pro-MCP-Repo/audits/-Ordner. Entscheidung in Phase 2 als Teil des Patterns. - Report-Format: offen — anlehnen an Trail-of-Bits / Cure53-Public-Reports.
Compound-Effekt
- Stärkt Pilot-Verkauf an Sebastian (LVM-Compliance-Affin)
- Stärkt Becker-Vertrag (NDA-Pflicht + GoBD)
- Track-Record als Beweis dass wir Audits können — Vorlauf für
av-auditals Stufe-3-Produkt - SEO-Asset: jeder Report ist eine indizierbare Seite mit „security audit MCP
“
Aktiver Session-Prompt
session-prompt-01 — Pilot-Audit mcp-papierkram
Related
- Zielversion: zielversion
- Skill: SKILL
- Recherche-Report: report
- av-audit (geparkter Pass-3-Brainstorm, NICHT dasselbe): av-audit-library—hosted-service-pass-3-brainstorm