MCP-Tool: So begrenzen Sie Ausgaben richtig für stabile KI-Agenten

KI-Agenten scheitern nicht an falschen Antworten, sondern an überladenen Ausgaben ihrer Tools. Ein scheinbar korrektes MCP-Tool kann einen Agenten lahmlegen, wenn es ungebremst Daten zurückgibt – etwa bei Suchergebnissen, Datei-Inhalten oder API-Nestern. Die Lösung liegt nicht in der Optimierung einzelner Tool-Aufrufe, sondern in einem durchdachten Ausgabenbudget, das jeden Schritt vor Überlastung schützt.

Warum zu viele Tool-Ausgaben gefährlich sind

Ein MCP-Tool (Model Context Protocol) arbeitet dann am effizientesten, wenn seine Antworten begrenzt und strukturiert sind. Doch viele Entwickler übersehen, dass nicht der Tool-Aufruf selbst, sondern seine Rückgabe die eigentliche Kostenfalle ist. Ein einziger Suchbefehl kann unkontrolliert Hunderttausende Datensätze zurückliefern – und damit den Agenten in eine Endlosschleife aus Kontextfluten treiben. Die Folgen:

• Steigende Token-Kosten: Jedes zusätzliche Byte erhöht die Rechenlast für den LLM.
• Planungsfehler: Der Agent kann keine sinnvollen nächsten Schritte ableiten, wenn die Datenmenge ihn überfordert.
• Unvorhersehbare Abbrüche: Teure, nicht wiederherstellbare Fehler, weil der Agent die Flut nicht verarbeiten kann.

Der Schlüssel liegt in expliziten Ausgabenverträgen – Regeln, die festlegen, wie viel ein Tool maximal zurückgeben darf und wie diese Daten strukturiert sein müssen.

Sechs essenzielle Schritte für sichere MCP-Tools

Ein stabiles MCP-Tool braucht mehr als nur eine API-Dokumentation. Vor dem Einsatz in Produktionsumgebungen müssen Entwickler sechs kritische Aspekte prüfen:

1. Route-spezifische Ausgabebegrenzung

Jede Route – ob Dateizugriff, Datenbankabfrage oder Web-Scraping – benötigt eigene Limits. Ein generischer Payload-Grenzwert reicht nicht aus. Stattdessen sollten Entwickler:

• Maximale Byte-Größen pro Route definieren.
• Obergrenzen für Datensätze festlegen (z. B. 100 Suchergebnisse statt aller).
• Token-Kosten vorab schätzen und dynamisch anpassen.

Ein Beispiel: Eine Log-Analyse-Route könnte auf 10.000 Token pro Antwort begrenzt sein, während eine Datei-Zusammenfassung maximal 5.000 Token zurückgibt.

2. Schema vor freiem Text

Natürliche Sprache ist für KI-Agenten schwer zu verarbeiten. Besser: strukturierte Daten mit klaren Feldern. Ein optimales MCP-Tool gibt zurück:

{
  "typ": "search_result",
  "total": 150,
  "returned": 10,
  "omitted": 140,
  "results": [
    {"id": "doc_123", "score": 0.98},
    {"id": "doc_456", "score": 0.87}
  ],
  "next_cursor": "abc123",
  "fields": ["id", "score"]
}

Diese Struktur ermöglicht dem Agenten:

• Klare Entscheidungen über nächste Schritte.
• Einfache Filterung oder Sortierung.
• Transparenz über fehlende Daten.

3. Artefakt-Weitergabe bei großen Datenmengen

Wenn die Antwort zu groß für den Kontext ist, sollte das Tool stattdessen auf ein externes Artefakt verweisen. Ein korrektes MCP-Tool gibt dann zurück:

{
  "reference_id": "file_789",
  "checksum": "sha256:abc123...",
  "expiration": "2024-12-31T23:59:59Z",
  "access_rule": "tenant_only",
  "next_action": "extract_section?range=1-5000"
}

Diese Methode vermeidet Kontextfluten und ermöglicht spätere, gezielte Abfragen.

4. Klare Kennzeichnung von Zusammenfassungen

Ein Tool darf nicht stillschweigend Daten kürzen. Stattdessen muss es explizit angeben, welche Datenverarbeitungsmethode angewendet wurde:

• Raw Data: Vollständige, unveränderte Antwort.
• Extracted Fields: Nur ausgewählte Felder.
• Lossy Summary: Komprimierte Zusammenfassung mit möglichen Datenverlusten.
• Sample Preview: Zufällige Stichprobe.

Ein Beispiel für eine korrekte Rückgabe:

{
  "mode": "lossy_summary",
  "omitted_fields": ["sensitive_data", "internal_notes"],
  "compression_ratio": "30%"
}

5. Datenschutz durch Redaktion vor Trunkierung

Trunkierung ist kein Sicherheitsmechanismus. Sensible Daten müssen vor der Weitergabe entfernt werden. Ein MCP-Tool sollte dokumentieren:

• Welche Felder entfernt wurden.
• Welche Regeln (z. B. DSGVO-konforme Filter) angewendet wurden.
• Ob die Redaktion den Datenbestand verändert hat.

Ein falsches Beispiel: Ein Tool gibt nur die ersten 100 Zeichen eines Passworts zurück – und behauptet, es sei „sicher“. Korrekt wäre die vollständige Entfernung des Passworts.

6. Paginierung und Nachfülloptionen

Ein Agent darf nicht endlos versuchen, die gleichen großen Datenmengen abzurufen. Stattdessen müssen Tools kontrollierte Nachfüllmechanismen bieten:

• Cursor-basierte Paginierung für Suchergebnisse.
• Bereichsabfragen für Datei-Inhalte.
• Genehmigungsanfragen bei Budgetüberschreitung.

Ein Beispiel für eine sichere Paginierungsantwort:

{
  "next_cursor": "xyz789",
  "query_refinement": "filter=status:active",
  "approval_required": false
}

Typische Fallstricke und wie man sie vermeidet

Viele Entwickler unterschätzen die Risiken ungebremster MCP-Tool-Ausgaben. Diese Fehler sollten vermieden werden:

• „Read-Only“-Mythos: Auch lesende Zugriffe können Kontextfluten verursachen.
• Stille Trunkierung: Der Agent muss wissen, dass Daten fehlen.
• Fehlende Artefakt-Verweise: Große Datenmengen gehören in externe Speicher.
• Wiederholte Breitbandanfragen: Nach einer Budgetüberschreitung muss der Agent die Anfrage verfeinern oder eine Genehmigung einholen.

Ein besonders gefährlicher Irrtum: die Annahme, dass ein Tool „sicher“ ist, weil es nur Daten liest. Die Rückgabe entscheidet über die Stabilität des Agenten.

Trace-Felder für Audits und Debugging

Damit Entwickler nachvollziehen können, warum ein Agent bestimmte Entscheidungen trifft, sollten MCP-Tools detaillierte Traces zurückgeben. Diese enthalten:

• Tool-Aufruf-ID und Route-Name.
• Ausgabengrenze (Bytes/Tokens/Datensätze).
• Tatsächlich zurückgegebenen Umfang.
• Redaktionsregeln und geschützte Felder.
• Artefakt-Referenzen und Ablaufdaten.
• Nächste erlaubte Aktionen.

Ein vollständiger Trace könnte so aussehen:

{
  "tool_call_id": "call_456",
  "route": "search_documents",
  "max_bytes": 5000,
  "returned_bytes": 4850,
  "omitted_count": 120,
  "redaction_rules": ["credit_card", "password"],
  "artifact_id": "file_123",
  "expiration": "2024-11-15",
  "next_action": "continue_search?cursor=abc"
}

Fazit: Stabilität durch klare Grenzen

MCP-Tools sind keine statischen APIs – sie interagieren mit lernfähigen Agenten, die auf klare Strukturen angewiesen sind. Ein gut konfiguriertes Tool gibt nicht mehr zurück, als der Agent verarbeiten kann, und bietet immer einen Weg, fehlende Daten nachzuladen. Entwickler sollten regelmäßig Ausgabenbudgets testen und sicherstellen, dass ihre Tools:

• Klare Grenzen setzen (Bytes, Datensätze, Tokens).
• Strukturierte Daten zurückgeben.
• Bei großen Mengen auf Artefakte verweisen.
• Redaktion und Paginierung korrekt handhaben.

Nur so lässt sich vermeiden, dass KI-Agenten an den falschen Stellen scheitern – und das Budget sprengen.