AI Agents übernehmen das Steuer: MCP-Server und Tunnel-Automatisierung 2026

Entwickler nutzen KI nicht mehr nur für Autovervollständigung oder Regex-Generierung. Im Jahr 2026 haben viele den Zugriff auf Terminal und Umgebung vollständig an KI-Coding-Assistenten delegiert, die Befehle ausführen, das Dateisystem lesen und Netzwerke konfigurieren können. Ein deutliches Beispiel ist die lokale Netzwerk-Exposition: Früher bedeutete das, einen Dev-Server zu teilen oder einen Webhook manuell zu konfigurieren, indem man das Editor-Fenster verlässt, CLI-Befehle eingibt und eine temporäre URL in ein Dashboard einfügt. Heute liefern einige Tunnel-Anbieter einen dedizierten Model Context Protocol (MCP)-Server und eine “Agent Skill”, die es einem KI-Assistenten ermöglichen, diese Arbeit selbstständig aus einem natürlichen Sprachprompt heraus zu erledigen.

Dieser Beitrag erklärt, wie MCP-Tunneling heute tatsächlich funktioniert, was Claude Code und Cursor damit machen können und was sich geändert hat, seit das zugrunde liegende Protokoll seine größte Revision erlebt hat — insbesondere, wie Agenten nun auf das Netzwerk zugreifen dürfen.

1. Das Model Context Protocol: ein gemeinsamer Schnittstellen-Connector für KI-Tools

Um agentengetriebenes Tunneling zu verstehen, sollte man mit dem Protokoll beginnen, das dies ermöglicht.

Anthropic hat das Model Context Protocol am 25. November 2024 als Standard veröffentlicht, um KI-Assistenten eine Verbindung zu externen Tools und Datenquellen zu ermöglichen. Das Problem, das es adressiert, wird oft als “M×N-Problem” bezeichnet: Ohne ein gemeinsames Protokoll erfordert die Verbindung von M verschiedenen KI-Anwendungen mit N verschiedenen Tools ungefähr M×N individuelle Integrationen. MCP reduziert das auf M+N — jede Seite implementiert das Protokoll einmal.

Die Architektur besteht aus drei Komponenten:

• Host — die KI-Anwendung selbst (Claude Code, Cursor, Claude Desktop, Windsurf, und jetzt auch ChatGPT und Copilot unterstützen es).
• Client — die Protokollverbindung, die der Host zu einem bestimmten Server aufrechterhält.
• Server — ein lokaler oder remote Prozess, der eine bestimmte Menge an Tools, Ressourcen oder Prompts über diese Verbindung bereitstellt.

Die Akzeptanz hat sich schneller verbreitet als bei den meisten offenen Standards üblich. Microsoft und GitHub traten dem MCP-Steering-Committee auf der Build 2025 bei, und OpenAI integrierte MCP-Unterstützung in sein Agents SDK und Responses API im selben Jahr. Bis Dezember 2025 hatte Anthropic MCP an die neu gegründete Agentic AI Foundation gespendet, eine vom Linux Foundation geführte Stiftung, die gemeinsam mit OpenAI und Block gegründet wurde, mit Google, Microsoft, AWS, Cloudflare und Bloomberg als Platin-Mitglieder. Bei der Spende zählte Anthropic mehr als 10.000 aktive öffentliche MCP-Server und eine breite Adoption bei ChatGPT, Cursor, Gemini, Copilot und VS Code.

Das Protokoll selbst wurde kontinuierlich weiterentwickelt. Die letzte Revision vom 28.07.2026 wurde planmäßig veröffentlicht und ist die größte Änderung seit dem Start: Es entfernt das alte Session-Handshaking-Modell zugunsten eines zustandslosen Kernsystems, das einfacher hinter einem Load Balancer betrieben werden kann, fördert MCP-Apps (server-gerenderte UI) und eine Tasks-Erweiterung zu First-Class-Status und verschärft die Autorisierung im Stil von OAuth 2.1-Flows. Zusammen mit den Python- und TypeScript-SDKs verzeichnet MCP nun etwa eine halbe Milliarde Downloads pro Monat. Das ändert zwar nichts an der Nutzung eines tunneling MCP-Servers, aber es ist wichtig zu wissen, dass sich die Grundlagen verschoben haben — Annahmen aus Tutorials von 2025 könnten nicht mehr zutreffen.

2. Pinggy’s Agent Skill und MCP-Server

Pinggy — der SSH-basierte Tunnel-Dienst — ist eines der Tools, das sich auf diese Entwicklung eingelassen hat. Es liefert zwei separate, unabhängig installierbare Komponenten für Agenten.

Der Agent Skill ist eine Paket-Sammlung von Anweisungen (SSH-Flags, CLI-Beispiele, SDK-Beispiele), die ein Agent liest und dann mit normalem Terminalzugang selbst ausführt. Er installiert sich mit npx skills add https://pinggy.io und schreibt in das Skills-Verzeichnis des Clients — z.B. ~/.claude/skills/pinggy/ für Claude Code.

Der MCP-Server geht noch einen Schritt weiter: Anstatt dass der Agent einen SSH-Befehl aus der Dokumentation rekonstruiert, ruft er direkt ein Tool auf und erhält einen laufenden Tunnel zurück. Das entspricht genau dem “Expose my dev server on port 3000”-Szenario, das in eine öffentliche URL umgewandelt wird, ohne dass man manuell eingreifen muss.

Hier einige wichtige Punkte, die oft übersehen werden:

• Der MCP-Server, pinggy_mcp, ist ein Python-Paket, kein npm-Paket. Es benötigt Python 3.10+ und uv.
• Es ist in seinem eigenen README explizit als experimentell gekennzeichnet — “shared for early feedback, expect rough edges” — was bei der Entscheidung, es in bestehende Systeme zu integrieren, zu beachten ist.
• Es wird nicht im klassischen Sinne vorab installiert. Der MCP-Client führt uvx aus, das pinggy-mcp bei Bedarf herunterlädt und startet.

Die eigentliche Einrichtung für Claude Code sieht so aus:

claude mcp add pinggy-mcp -- uvx --from git+https://github.com/abhimp/pinggy_mcp.git pinggy-mcp
claude mcp list   # Überprüfung, ob es registriert wurde

Für Cursor, Windsurf oder Claude Desktop ist die entsprechende Konfiguration eine JSON-Datei im MCP-Konfigurationsordner des Clients (~/.cursor/mcp.json für Cursor, ~/.codeium/windsurf/mcp_config.json für Windsurf):

{
  "mcpServers": {
    "pinggy-mcp": {
      "command": "uvx",
      "args": ["--from", "git+https://github.com/abhimp/pinggy_mcp.git", "pinggy-mcp"]
    }
  }
}

Nach der Registrierung stellt der Server dreizehn Tools in vier Gruppen bereit: Authentifizierung (authenticate, check_authentication, get_profile, logout — gesteuert durch OAuth 2.0-Device-Flow-Login, kein Token-Kopieren), Tunnels (start_tunnel, stop_tunnel, list_tunnels, get_tunnel_info — für HTTP/TCP/TLS/UDP mit optionaler IP-Whitelist und Web-Debugger), Dateifreigabe (share_directory — teilt einen lokalen Ordner via WebDAV über eine Pinggy-URL, z.B. “share my ~/Downloads folder”), und Token-Management für gespeicherte, pro-App gespeicherte Tokens. Diese Tools werden in der Regel nicht direkt aufgerufen; der Agent wählt sie basierend auf deiner natürlichen Spracheingabe.

Ein praktischer Punkt: Tunnel laufen innerhalb des MCP-Server-Prozesses. Wenn dein KI-Client neu startet, wird auch der Server neu gestartet, und alle laufenden Tunnel sterben mit. Wenn ein Tunnel bei einem Claude Code-Neustart erhalten bleiben soll, ist das ein manueller Neustart — der Agent übernimmt das heute nicht automatisch.

3. Claude Code und localhost-Exposition

Claude Code — Anthropic’s terminal-nativer Coding-Agent — läuft direkt im Shell, was es ideal für diese Art der Automatisierung macht. Du gibst ihm ein Repository und bittest es, einen Port freizugeben. Es liest deine package.json oder .env, startet den Dev-Server, ruft das tunneling MCP-Tool auf und liefert dir die URL sowie eine Zusammenfassung, was es gefunden hat — alles, ohne das Terminal zu verlassen.

Berechtigungen haben sich seit der ersten Einführung dieses Workflows deutlich verändert. Claude Code unterstützt mehrere Berechtigungsmodi; der relevante hier ist der volle Durchlauf, aktiviert mit --dangerously-skip-permissions oder dem Äquivalent --permission-mode bypassPermissions. Es überspringt die interaktive Zustimmung bei Dateibearbeitungen, Bash-Befehlen und MCP-Tool-Aufrufen — Anthropic beschreibt es nur für isolierte Umgebungen (Container, VMs, Sandboxes ohne Internetzugang), in denen eine kompromittierte Aktion nichts anrichten kann. Das CLI zeigt eine einmalige Warnmeldung, die man akzeptieren muss. Seit 14. August 2026 hat Anthropic den “Auto-Modus” als Standard für Pro-, Max- und Team-Pläne eingeführt — eine automatische Berechtigungsprüfung, die laut internen Tests die Mehrheit der gefährlichen Befehle zuverlässig erkennt. Wenn du Claude Code vor diesem Datum für Tunneling eingerichtet hast, solltest du prüfen, in welchem Modus es jetzt läuft.

Praktisch für die localhost-Exposition: MCP-Scoping — die Beschränkung, welche Tools der Server bereitstellt — schränkt die möglichen Aufrufe des Agents ein. Es ist jedoch kein Sicherheitsmechanismus gegen prompt injection oder einen kompromittierten Session-Status. Sandboxing und Netzwerktrennung sind die tatsächlichen Schutzmaßnahmen.

4. Cursor und Webhook-Tests

Cursor’s autonome Programmieroberfläche heißt jetzt Agent Mode statt Composer — Composer bleibt die Multi-File-Editor-Oberfläche, aber die lang laufende, terminalgesteuerte, selbstkorrigierende Schleife ist jetzt Agent Mode, der die MCP-Tool-Aufrufe verbindet. (Cursor begrenzt auch, wie viele MCP-Tools gleichzeitig aktiv sein können — derzeit etwa 40 — was bei mehreren MCP-Servern neben einem Tunnel-Server eine echte Einschränkung ist.)

Ein realistischer Ablauf für Webhook-Tests sieht so aus: Du bittest Cursor, einen Stripe-Webhook-Handler zu schreiben, ihn zu exposen und zu testen. Der Agent kann die Route schreiben, den Dev-Server starten und ein tunneling MCP-Tool aufrufen, um eine öffentliche URL zu erhalten — das funktioniert heute zuverlässig. Die Herausforderung liegt im Schritt “Stripe automatisch konfigurieren”. Stripe bietet einen offiziellen MCP-Server unter mcp.stripe.com mit Tools zum Lesen von Kontodaten, Dokumentensuche und einem generischen stripe_api_write/execute-Befehl, der auch die Webhook-Endpoint-Erstellung erreichen kann. Dedizierte, first-class Tools für Webhook-Registrierung gibt es jedoch nicht, sie werden nur über das generische API-Tool erreicht. Das ist weniger elegant, aber praktikabel. Der Stripe CLI-Befehl stripe listen --forward-to bleibt die zuverlässigste Methode für lokale Webhook-Tests, wenn man auf Einfachheit setzt.

5. Einrichtung

Claude Code:

claude mcp add pinggy-mcp -- uvx --from git+https://github.com/abhimp/pinggy_mcp.git pinggy-mcp
claude mcp list

Cursor — bearbeite ~/.cursor/mcp.json (global) oder .cursor/mcp.json im Projektordner:

{
  "mcpServers": {
    "pinggy-mcp": {
      "command": "uvx",
      "args": ["--from", "git+https://github.com/abhimp/pinggy_mcp.git", "pinggy-mcp"]
    }
  }
}

Starte den Client nach Speichern neu. Danach reicht eine Eingabe wie “Expose Port 3000 und gib mir die URL” — kein separates Terminalfenster, kein Copy-Paste.

6. Was wirklich für Sicherheit sorgt

Das Handhaben eines Agents, der einen öffentlichen Tunnel öffnen kann, ist eine echte Berechtigungserweiterung. Die Sicherheitsforschung zu MCP im Jahr 2026 ist nüchterner als die “einfach verbinden”-Haltung vor einem Jahr. Hier einige wichtige Punkte:

• Prompt-Injection ist die reale Bedrohung, keine hypothetische. OWASP stuft sie als die größte Schwachstelle bei LLMs ein, und MCP erhöht die Angriffsfläche, da eine bösartige Anweisung in einer Webseite, einem Ticket oder einer Datei, die der Agent liest, echte Tool-Calls auslösen kann — inklusive der Nutzung des Tunnels. Alles, was der Agent durch einen öffentlichen Tunnel erhält, gilt als unzuverlässige Eingabe.
• Ports und Dienste bewusst einschränken. Lass den Agent keinen Datenbankport oder andere produktive Dienste exponieren, nur spezifische, temporäre Entwicklungsports.
• Tunnel nur temporär laufen lassen. Da der MCP-Server den Tunnel als Kindprozess verwaltet, kannst du den Agenten explizit anweisen, ihn nach einem Test zu beenden. Das sollte in deinen Prompts berücksichtigt werden, anstatt auf das automatische Beenden beim Client-Neustart zu hoffen.
• Nur MCP-Server aus vertrauenswürdigen Quellen installieren. Besonders bei experimentellen Paketen ist Vorsicht geboten. Die Registry-Pakete stimmen nicht immer mit den GitHub-Quellen überein, und unüberprüfte Herkunft ist die häufigste Ursache für Supply-Chain-Vorfälle 2026.
• Bypass-permissions nur in Sandboxes verwenden. Anthropic empfiehlt --dangerously-skip-permissions / --permission-mode bypassPermissions nur in Containern oder VMs ohne produktiven Zugriff — nicht auf Entwickler-Laptops mit SSH-Schlüsseln und Cloud-Zugang.

7. Zukunftsausblick

Die Zahlen des MCP-Ökosystems sprechen für sich: Von einem Start im November 2024 bis zu über 10.000 aktiven öffentlichen Servern und etwa einer halben Milliarde SDK-Downloads pro Monat Mitte 2026, plus einer neutralen, multi-vendor-gesteuerten Governance unter der Linux Foundation. Das Tunneling ist nur ein kleiner, aber konkreter Teil davon: Es ist die Komponente der lokalen Entwicklung, die zwangsläufig die Grenze zwischen deinem Rechner und dem Internet überschreiten muss. Damit ist es auch der erste Prüfstein dafür, ob “Agent soll das übernehmen” gegen “Agent darf das ohne Aufsicht” besteht. Der aktuelle Stand ist: Ja, ein Agent kann einen Tunnel öffnen und dir eine URL in einem Satz liefern — und genau diese Bequemlichkeit macht es notwendig, das Berechtigungsmodell genauer zu betrachten.

---

Changelog

Korrekturen am Originalentwurf:

1. MCP-Startdatum — Das ursprüngliche Datum (25.11.2024) ist korrekt, die Behauptung “bis 2026 branchenweit übernommen” war ohne Details. Ergänzt wurden die Build 2025-Steering-Committee-Infos und die Unterstützung durch OpenAI’s Agents SDK/Responses API.
2. Pinggy MCP-Installationsbefehle — Die ursprünglichen Befehle (claude mcp add pinggy npx -y pinggy-mcp) sind falsch. Das echte MCP-Server-Paket (pinggy_mcp) ist ein Python-Paket, das Python 3.10+ und uv benötigt, und wird via uvx auf GitHub-Quelle ausgeführt. Es ist explizit als experimentell gekennzeichnet. Die korrekten Installationsbefehle für Claude Code und Cursor sind im README des Projekts zu finden.
3. Anzahl und Funktion der Pinggy-Tools — Es wurden 13 Tools in den Bereichen Authentifizierung, Tunnel, Dateifreigabe und Token-Management ergänzt, basierend auf dem Projekt-README, da die ursprüngliche Beschreibung zu allgemein war.
4. Sicherheitsabschnitt zu Berechtigungen — Die Flags --dangerously-skip-permissions / --permission-mode bypassPermissions sind jetzt dokumentiert. Anthropic empfiehlt, sie nur in isolierten Umgebungen zu verwenden. Ab 14.08.2026 ist der “Auto-Modus” der Standard für Pro/Max/Team, was die Sicherheitsüberlegungen beeinflusst.
5. Sicherheitsbehauptung — Die ursprüngliche Aussage, MCP-Tools allein würden rogue-Datenübertragung verhindern, wurde korrigiert. Es ist nur eine Einschränkung der Aufrufe, kein vollständiger Schutz.
6. Cursor-Mode — Unterscheidung zwischen Composer und Agent Mode wurde klargestellt, mit einer Begrenzung auf ~40 gleichzeitige MCP-Tools.
7. Stripe Webhook-Konfiguration — Es wurde klargestellt, dass Stripe nur über das generische API-Tool Webhook-Endpoints erstellen kann, nicht über dedizierte Tools, was die Komplexität erhöht.