Anaconda MCP ist allgemein verfügbar und soll Coding-Agenten bei Paketen auf Fakten prüfen

Das Problem: Agenten wählen Pakete ohne Faktengrundlage

Laut Anaconda übernehmen Coding-Agenten inzwischen die Abhängigkeitsverwaltung in Data-Science- und KI-Projekten: Ein Nutzer beschreibt, was das Projekt braucht, und der Agent wählt Pakete aus, fixiert Versionen und startet den Installer. Das Unternehmen erklärt, der Agent treffe diese Entscheidungen ohne Zugriff auf zentrale Fakten, etwa welche Pakete in conda existieren, welche Versionen sich gemeinsam auflösen lassen, welche offene Schwachstellen haben und welche Kanäle die Organisation freigegeben hat. Die Lücke fülle er mit Trainingsdaten.

Anaconda nennt zwei Beispiele. Ein Skript importiert cv2, und der Agent versucht, cv2 statt opencv zu installieren. Oder er bezieht Pakete von conda-forge, obwohl die Organisation nur main erlaubt. Die Folge sei laut Unternehmen, dass Entwickler die Abhängigkeitsarbeit von Hand prüfen oder das Problem erst später bei einem fehlgeschlagenen Build oder einem Audit bemerken.

Der Beitrag verweist auch auf die Sicherheitsrisiken erfundener Paketnamen. Ein begutachtetes Papier, das auf der USENIX Security 2025 vorgestellt wurde, ergab: Über 16 Modelle zur Codegenerierung hinweg existierten 19,7 % der vorgeschlagenen Pakete nicht. Als Prompts, die einen falschen Namen hervorgebracht hatten, erneut ausgeführt wurden, tauchte dieser Name in 43 % der Fälle in allen 10 Versuchen wieder auf. Die Studie umfasste PyPI und npm und nutzte Modelle von Anfang 2024. Anaconda weist darauf hin, dass wiederkehrende Namen solche sind, die ein Angreifer vorhersagen und registrieren kann.

Im Januar 2026 stellte Charlie Eriksen, Forscher bei Aikido Security, fest, dass ein LLM zwei echte npm-Pakete, jscodeshift und react-codemod, zu einem nicht existierenden Paket namens react-codeshift verschmolzen und in eine Reihe generierter Agent-Skills geschrieben hatte. Als Eriksen den leeren Namen selbst registrierte, wiesen bereits 237 GitHub-Repositories Agenten an, es zu installieren, und Agenten luden es auch danach weiter herunter.

Vier schreibgeschützte Werkzeuge und was sich seit der Beta geändert hat

Der Remote-Server bietet vier Werkzeuge: Paketfakten und Abhängigkeiten, kuratierte Daten zu Common Vulnerabilities and Exposures (CVE) samt Versionen mit Fehlerbehebung, die Kanal- und Richtlinienkonfiguration der Organisation sowie die Suche im Community-Forum. Die Arbeit erledigt weiterhin der Agent, doch er prüft vor der Auswahl Fakten, Schwachstellen und Richtlinien. Anaconda gibt an, rund 20.000 conda-Pakete in den Kanälen main und main-x zu bauen und zu pflegen und deren Schwachstellendaten zu kuratieren.

• package_info liefert für ein benanntes Paket Versionen, Abhängigkeitsbeschränkungen, unterstützte Plattformen, Build-Varianten, Download-Zahlen und eine CVE-Zusammenfassung. Das Werkzeug steht allen Nutzern mit Anaconda-Konto zur Verfügung.
• package_security liefert für eine exakte Paketversion Schweregrad, Status, CVSS-Vektor, CWE-Kategorie, den Kommentar eines Anaconda-Analysten und eine behobene Version als conda-MatchSpec. Es erfordert ein Business- oder Enterprise-Abonnement. Enthalten sind nur aktive und gemeldete Schwachstellen; behobene, bestrittene und entschärfte CVEs sind ausgeschlossen.
• org_config liefert die Kanäle und die Richtlinienkonfiguration der Organisation, sodass ein Agent angeben kann, welche Richtlinie ein Paket blockiert. Auch dafür ist Business oder Enterprise nötig.
• search_forum durchsucht das Anaconda-Community-Forum per Stichwort und steht allen Nutzern mit Konto offen.

In der Beta lief das Werkzeug lokal und führte Aktionen auf dem Rechner des Nutzers aus. Jetzt läuft es remote unter https://anaconda.com/api/mcp über Streamable HTTP. Muss eine Umgebung geändert werden, führt der Agent conda mit den vom Nutzer konfigurierten Berechtigungseinstellungen aus. Es gibt kein lokales Paket, das installiert oder aktualisiert werden müsste. Beta-Nutzern wird empfohlen, das Paket anaconda-mcp zu entfernen.

Anaconda liefert zudem einen kostenlosen Agent-Skill namens Anaconda Intelligence mit, der dem Agenten sagt, welches Werkzeug er wann aufrufen soll, etwa org_config zu Beginn einer Sitzung.

Sicherheitsscan und Einrichtung

Enkrypt AI, inzwischen Teil von Anaconda, untersucht Sicherheitsrisiken in MCP-Servern. Nach Angaben des Unternehmens scannte das Team innerhalb von zwei Monaten mehr als 268.000 Werkzeuge auf 25.000 MCP-Servern und fand über 143.000 Schwachstellen, von denen 73 % dieser Server betroffen waren. Vor dem Start scannte dasselbe Team Anaconda MCP und fand keine Schwachstellen.

Jedes Werkzeug erfordert eine Authentifizierung über ein Anaconda-Konto, und der Server erkennt die Organisation anhand dieses Kontos. Ohne Organisation liefern die Werkzeuge Ergebnisse ohne Richtlinieninformationen. Ohne Business- oder Enterprise-Tarif geben policy_status und policy_detail null zurück, und org_config meldet no_subscription.

Der Server funktioniert mit jedem MCP-Client, der Remote-Server unterstützt, darunter Kilo, Claude Code, Cursor und Codex. Nutzer können sich über die Anaconda-CLI mit dem Befehl ana mcp setup verbinden, über den Kilo Marketplace in VSCode und JetBrains oder indem sie die Serveradresse in die MCP-Konfiguration des Agenten eintragen. Anaconda empfiehlt, den Server mit Fragen wie "What versions of numpy are available?" oder "What policies are applied to our channels?" zu testen.

Was das für Entwickler und Plattformteams bedeutet

Für Entwickler schlägt der Agent Pakete künftig mit Anacondas Daten in der Hand vor: welche Pakete in den nutzbaren Kanälen existieren, wovon sie abhängen und welche offene kritische Schwachstellen haben. Anaconda betont, dass Nutzer weiterhin prüfen, was der Agent vorschlägt.

Für Teams, die für Paketrichtlinien zuständig sind, verweist das Unternehmen auf Empfehlungen der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA), der National Security Agency (NSA) und ihrer Partner der Five Eyes: vertrauenswürdige Registries mit freigegebenen Drittkomponenten zu pflegen und Agenten auf Werkzeuge und Versionen einer Allowlist zu beschränken. Organisationen, die Anaconda-Kanäle mit Richtlinien im Package Security Manager verwalten, führen eine solche Registry bereits, und Anaconda MCP lässt die Agenten der Entwickler sie auslesen. Ist ein Paket blockiert, kann der Agent dem Entwickler sagen, welche Richtlinie greift und was er beim Administrator beantragen muss.