Letting AI Drive: Exposing Localhost via MCP Servers

KI-Coding-Agenten können jetzt einen Webhook-Handler schreiben, einen Entwicklungsserver starten und diesen öffentlich zugänglich machen – alles aus einer natürlichen Spracheingabe, ohne dass der Entwickler ein zweites Terminal öffnen muss. Das, was den letzten Schritt ermöglicht hat, ist das Model Context Protocol (MCP): Agenten, die früher nur am Rand des lokalen Systems agierten, können jetzt durch Dienste wie Pinggy tunneln. Dieser Beitrag erklärt, wie MCP dazu kam, wo die agentenbasierte IDE-Landschaft Mitte 2026 steht und wie Pinggy’s MCP-Server und -Fähigkeiten heute funktionieren.

Was MCP Tatsächlich Standardisiert

Anthropic hat das Model Context Protocol am 25. November 2024 als Standard für die Verbindung von KI-Assistenten mit Systemen, in denen Daten und Tools liegen, open-sourced. Vor MCP erforderte die Verbindung eines Modells zu einem Tool eine individuelle Integration für jedes Modell-Tool-Paar – das sogenannte “N×M”-Problem. MCP vereinfacht das auf einen Server pro Tool, der von jedem MCP-kompatiblen Client genutzt werden kann. Das Nachrichtenfluss-Design des Protokolls lehnt sich an das Language Server Protocol (LSP) an, und Nachrichten werden im JSON-RPC 2.0-Format ausgetauscht.

Die Architektur besteht aus drei Teilen:

1. Host — die benutzerorientierte Anwendung: eine IDE, ein Desktop-Chat-Client, ein benutzerdefinierter Agent.
2. Client — das Teil im Host, das MCP spricht und Aufrufe an Server weiterleitet.
3. Server — der externe Prozess, der Tools, Ressourcen oder Prompts bereitstellt (in diesem Fall Tunnelmanagement).

Der Transportschicht hat sich seit der ersten Version von MCP geändert. Die ursprüngliche Spezifikation vom 5. November 2024 nutzte stdio (für lokale, einzelne Clients) und HTTP+SSE für entfernte Server. Die Revision vom März 2025 (26. März 2025) hat HTTP+SSE zugunsten von Streamable HTTP abgelöst, das einen einzigen Endpunkt nutzt, zustandslose Deployments hinter Load Balancern unterstützt und wiederaufsetzbare Sitzungen erlaubt. Das alte Dual-Endpunkt-Design mit SSE ist hinter serverlosen Plattformen und Proxies weniger zuverlässig. SSE wird noch für Abwärtskompatibilität unterstützt, aber Anbieter setzen entsprechende Abschalttermine (z.B. droppt Atlassian’s Rovo MCP Server SSE am 30. Juni 2026). Für aktuelle Anwendungen gilt: stdio für lokale Tools, Streamable HTTP für entfernte.

Die Akzeptanz außerhalb von Anthropic war schnell: OpenAI fügte im März 2025 native MCP-Unterstützung in sein Agents SDK ein, und Google DeepMind bestätigte im April 2025 Unterstützung für Gemini. Bis zur Übergabe der Protokoll-Governance an die Linux Foundation’s Agentic AI Foundation am 9. Dezember 2025 hatte das Ökosystem mehr als 97 Millionen SDK-Downloads pro Monat und über 10.000 aktive öffentliche Server.

Die Agentenbasierte IDE-Landschaft Hat Sich Verschoben

Die drei wichtigsten Tools für agentenbasiertes Programmieren haben sich seit ihrer ersten Gegenüberstellung verändert.

• Cursor, entwickelt von Anysphere auf einem VS Code Fork, basiert weiterhin auf Composer (Multi-File-Agentenbearbeitung) und Modellwechsel zwischen Claude, GPT und Gemini. Im April 2026 veröffentlichte Anysphere ein proprietäres Modell namens Composer, zusammen mit “Cursor 3” – eine Neugestaltung mit einem Agents Window, das parallele Agentensitzungen auf lokalen Maschinen, Git-Worktrees, Cloud-Sandboxes und Remote-SSH-Zielen verwaltet. Die Bewertung von Anysphere stieg von 29,3 Milliarden USD im November 2025 auf über 50 Milliarden USD im Jahr 2026. Mitte 2026 strukturierte SpaceX (damals mit xAI fusioniert) einen Deal, der das Recht zum Erwerb von Anysphere für 60 Milliarden USD gibt – noch nicht ausgeübt.
• Windsurf begann als agentenbasierte IDE von Codeium mit dem Cascade-Planungssystem. Nach dem etwa 2,4 Milliarden USD teuren Akquisition von Windsurf-CEO und Führungspersonal durch Google im Juli 2025 wurde das Unternehmen von Cognition AI übernommen, das den autonomen Programmier-Agent Devin entwickelt. Der Abschluss erfolgte um Dezember 2025 für ca. 250 Mio. USD. Windsurf ist kein eigenständiges Produkt mehr: Es nutzt jetzt Cognitions eigenes SWE-1.5-Modell, bietet eine Code-Visualisierung namens Codemaps und wird mit Devin zu einer einheitlichen agentenbasierten Entwicklungsstack verschmolzen.
• Claude Code, Anthropic’s Programmier-Agent, begann nur im Terminal, läuft heute aber auf sechs Oberflächen: Terminal-CLI, VS Code Erweiterung, JetBrains Plugin (IntelliJ IDEA, PyCharm, WebStorm u.a.), eigenständige Desktop-App, Web-Version unter claude.ai/code und Slack-Integration. Alle Oberflächen teilen die gleiche CLAUDE.md-Konfiguration, Berechtigungsmodi und MCP-Server-Verbindung – das Terminal ist nur eine von mehreren Zugangsarten.

MCP bildet die verbindende Schicht: Jeder dieser Clients kann sich mit demselben MCP-Server verbinden, inklusive eines, das Tunnel verwaltet.

Der Localhost-Flaschenhals

Das Schreiben eines Webhook-Integrationscodes war nie das Problem. Das Testen gegen einen Live-Dienst – Stripe, Shopify, ein mobiler Client in einem anderen Netzwerk – benötigt eine öffentliche URL, die auf die lokale Maschine zeigt. Der traditionelle Ablauf unterbricht die Autonomie des Agents genau an dieser Stelle: Stop, ein weiteres Terminal öffnen, mit einem Tunneling-Dienst authentifizieren, URL kopieren, in den Agenten-Context oder das Dashboard einfügen, fortsetzen. Das multipliziert sich bei Webhook-Tests, Remote-Demos und IoT/Device-Arbeiten – eine wiederkehrende Quelle für Kontextwechsel, die ein Agent nur mit einem Tool-Aufruf, der tunnelt, vermeiden kann.

Pinggy’s MCP-Server und -Skill

Pinggy, der SSH-basierte Tunneling-Dienst, bietet zwei separate Agent-Tools: einen Agent Skill und einen MCP-Server.

Der Skill ist eine Paketierung von Anweisungen und Referenzmaterial: SSH-Befehle, CLI-Flags, SDK-Nutzung – die der Agent liest und selbst ausführt, mit normalem Terminalzugang. Der MCP-Server ist ein laufender Prozess, der Tunnel-Operationen als aufrufbare Tools bereitstellt, sodass der Agent keinen Befehl aus Dokumentation rekonstruieren muss, sondern direkt ein Tool aufruft. Pinggy empfiehlt, mit dem Skill zu starten und den MCP-Server erst hinzuzufügen, wenn der Agent Tunnel eigenständig verwalten soll.

Skill installieren

npx skills add https://pinggy.io

Dieses ist im Community-Agent-Skills-Standard veröffentlicht, und die skills-CLI erkennt den Agent und installiert ihn in das Skills-Verzeichnis – für Claude Code ist das ~/.claude/skills/pinggy/. Voraussetzung ist Node.js.

MCP-Server installieren

Der Quellcode des MCP-Servers liegt bei github.com/Pinggy-io/pinggy_mcp – Pinggy bezeichnet ihn in der Dokumentation als “early and experimental.” Er benötigt Python 3.10+ und uv:

curl -LsSf https://astral.sh/uv/install.sh | sh

Nichts anderes wird global installiert; jeder Client ruft pinggy-mcp bei Bedarf über uvx auf. Die Konfiguration unterscheidet sich je nach Client – etwa nutzt VS Code den Schlüssel servers, Claude Desktop, Cursor und Windsurf verwenden mcpServers, und die jeweiligen Dateien unterscheiden sich ebenfalls.

Claude Code – direkt über CLI registriert, nicht per Konfigurationsdatei:

claude mcp add pinggy-mcp -- uvx --from git+https://github.com/Pinggy-io/pinggy_mcp.git pinggy-mcp

Bestätigen mit claude mcp list.

Claude Desktop – Konfigurationsdatei für das Betriebssystem bearbeiten: - macOS: ~/Library/Application Support/Claude/claude_desktop_config.json - Windows: %APPDATA%\Claude\claude_desktop_config.json - Linux: ~/.config/Claude/claude_desktop_config.json

{
  "mcpServers": {
    "pinggy-mcp": {
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/Pinggy-io/pinggy_mcp.git",
        "pinggy-mcp"
      ]
    }
  }
}

Cursor – ~/.cursor/mcp.json für eine globale Konfiguration oder .cursor/mcp.json im Projektordner:

{
  "mcpServers": {
    "pinggy-mcp": {
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/Pinggy-io/pinggy_mcp.git",
        "pinggy-mcp"
      ]
    }
  }
}

VS Code – ~/.vscode/mcp.json (global) oder .vscode/mcp.json (Projekt); der oberste Schlüssel ist servers, nicht mcpServers:

{
  "servers": {
    "pinggy-mcp": {
      "type": "stdio",
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/Pinggy-io/pinggy_mcp.git",
        "pinggy-mcp"
      ]
    }
  }
}

Nachladen mit Developer: Reload Window aus der Befehls-Palette.

Windsurf – ~/.codeium/windsurf/mcp_config.json:

{
  "mcpServers": {
    "pinggy-mcp": {
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/Pinggy-io/pinggy_mcp.git",
        "pinggy-mcp"
      ]
    }
  }
}

Windsurf nach Änderungen neu starten.

Was man damit tun kann

Sobald verbunden, gibt Pinggy in der Dokumentation folgende Beispiel-Prompts:

• “Expose meinen Dev-Server auf Port 3000.”
• “Öffne einen TCP-Tunnel zu localhost:22.”
• “Teile meinen ~/Downloads-Ordner über das Internet.”
• “Logge dich bei Pinggy ein.”
• “Zeige meine aktiven Tunnel an.”
• “Erlaube nur Traffic von 1.2.3.4 zu meinem Tunnel.”
• “Stoppe den Tunnel.”

Wichtig: Pinggy veröffentlicht keine technischen Details, was “einloggen” im Hintergrund genau macht. Da das Projekt als “early and experimental” gekennzeichnet ist, sollte man den Source-Code prüfen, bevor man es für sensible Daten nutzt. Jede Pinggy-Dokumentationsseite ist auch als reines Markdown unter der gleichen URL mit index.md-Suffix verfügbar, und die gesamte Seite ist zusammengefasst unter pinggy.io/llms.txt – eine Info, die es Agenten ermöglicht, die Dokumentation direkt zu lesen, ohne HTML zu scrapen.

Praktische Anwendungsfälle

Webhook-Tests. Ein Agent, der eine Shopify-Integration baut, kann “den Order-Create Webhook einrichten” – er schreibt den Handler, startet den lokalen Dev-Server, ruft das Pinggy MCP-Tool auf, um einen HTTP-Tunnel zu öffnen, und gibt die URL an Shopify weiter. Das reduziert einen normalerweise mehrstufigen manuellen Prozess auf eine einzige Interaktion.

Geräte- und Sensorgesteuerte Anwendungen. Für IoT-Sensoren oder Raspberry Pi, die eine Cloud-Endpoint erreichen sollen, kann der Agent einen TCP-Tunnel öffnen und die öffentliche Adresse zurückgeben, ohne dass der Entwickler manuell SSH-Befehle rekonstruieren muss.

Datei- und Ordnerfreigabe. Pinggy’s CLI kann ein lokales Verzeichnis direkt bereitstellen (pinggy --serve /pfad/zur/datei), und diese Funktion ist auch im MCP-Server integriert – “teile meinen ~/Downloads-Ordner” ist ein dokumentiertes Beispiel. Für Kollegen, die einen Datensatz oder Build-Output prüfen, entsteht so ein öffentlicher Link, ohne dass Daten in eine Drittanbieter-Cloud hochgeladen werden müssen.

Sicherheitsüberlegungen

Keinesfalls sollte man die eigene Einschätzung vernachlässigen. Die MCP-Dokumentation von VS Code warnt ausdrücklich: lokale MCP-Server können beliebigen Code auf dem Rechner ausführen. Man sollte nur Server von vertrauenswürdigen Quellen hinzufügen und vorher prüfen. Pinggy beschreibt seinen MCP-Server als “early and experimental” – daher gilt die übliche Sorgfaltspflicht: Vor der Freigabe von Netzwerk- und Dateisystemzugriff den Source-Code prüfen. Das “Agent asked politely”-Schema ist kein Garant für Sicherheit. IP-Whitelisting und Authentifizierungsoptionen (Basic Auth, Bearer Tokens) sind verfügbar und sollten standardmäßig genutzt werden.

Zukunftsausblick

MCP standardisiert nicht nur Dateizugriff und API-Aufrufe – es gibt Agenten eine Netzwerk-Schnittstelle zu den Tools, die Entwickler bereits nutzen. Tunnelmanagement war eine naheliegende Erweiterung: Entwickler führen die gleichen Befehle manuell aus, und ein Agent, der Webhook-Handler schreibt, kann ebenso das Tool aufrufen, das den Tunnel öffnet. Ob Sensor, Webhook oder Ordner – das Prinzip bleibt: Beschreibe, was erreichbar sein soll, und das Tool kümmert sich um den Rest.

---

Changelog

Dieses Stück wurde anhand eines früheren Entwurfs überarbeitet. Quellen und Korrekturen:

1. MCP-Ankündigungsdatum und Kontext – bestätigt auf 25.11.2024, mit Bezug auf Anthropic’s Ankündigung und technische Rückblicke. (Anthropic, “Introducing the Model Context Protocol,” anthropic.com/news/model-context-protocol; NeuralCoreTech, “Why MCP Became the Standard for Agentic AI,” Mai 2026)
2. Transportlayer korrigiert – die ursprüngliche Version erwähnte SSE als aktuellen Remote-Transport. Tatsächlich wurde in der Revision vom 26. März 2025 HTTP+SSE durch Streamable HTTP ersetzt; SSE bleibt nur für Abwärtskompatibilität, mit Abschaltterminen (z.B. Atlassian Rovo MCP Server am 30. Juni 2026). (modelcontextprotocol.io/specification/2025-11-25/basic/transports; GitHub modelcontextprotocol/python-sdk issue #2278; Atlassian Community, “HTTP+SSE Deprecation Notice”)
3. Adoption und Governance – Unterstützung durch OpenAI (März 2025), Google DeepMind (April 2025), Übergabe an die Linux Foundation (Dezember 2025), aktuelle Zahlen (97M+ Downloads, 10.000+ Server). (NeuralCoreTech, Mai 2026; Cuttlesoft, “Anthropic’s Model Context Protocol,” Feb 2026)
4. Tools-Updates für 2026 – Windsurf wurde von Google übernommen, läuft jetzt bei Cognition AI mit SWE-1.5, Cursor erreichte eine Bewertung von 29,3 Mrd. USD, Claude Code läuft auf sechs Plattformen. (Wikipedia, “Cognition AI”; Taskade, “Windsurf Review 2026”; ValueAddVC, “Cursor (Anysphere) Valuation 2026”; Fastio, “Claude Code IDE Setup for VS Code and JetBrains (2026)”)
5. Repository-Quelle korrigiert – offizielle Quelle ist github.com/Pinggy-io/pinggy_mcp. (pinggy.io/docs/ai_agents/)
6. OAuth 2.0-Gerüchte entfernt – keine Bestätigung in der Pinggy-Dokumentation.
7. WebDAV-Mechanismus korrigiert – Pinggy nutzt pinggy --serve <pfad>, keine WebDAV-Implementierung.
8. Installationsanleitungen aktualisiert – unterschiedliche Konfigurationspfade und Keys für VS Code, Cursor, Windsurf, Claude Code; Voraussetzungen (Python 3.10+, uv). (pinggy.io/docs/ai_agents/)
9. Beispiel-Prompts ergänzt – IP-Whitelisting, Folder Sharing, laut Pinggy-Dokumentation.
10. SEO-Formatierung angepasst – keine unnötigen Hervorhebungen.
11. Sicherheits-Hinweis – lokale MCP-Server können beliebigen Code ausführen; nur vertrauenswürdige Quellen verwenden. (code.visualstudio.com/docs/agent-customization/mcp-servers; pinggy.io/docs/ai_agents/)