Keine Hintertür über den Chat: App-Berechtigungen in KI-Tool-Aufrufen durchsetzen

Das Wichtigste in Kürze

• Wer einer kostenpflichtigen Desktop-App einen MCP-Server hinzufügt, öffnet einen zweiten Zugang. Steckt die Planprüfung nur in den Oberflächen der App, umgeht der Weg über die KI sie.
• In KwaFlux durchlaufen KI-Tool-Aufrufe dieselbe Anmelde- und Planprüfung wie Klicks, und zwar an derselben Stelle: in der Steuerungsebene der App, nicht im MCP-Skript.
• Der Worker, der den Auftrag ausführt, prüft ein zweites Mal: Bevor er kostenpflichtige Arbeit beginnt, verifiziert er eine mit Ed25519 signierte Lease.
• Wird eine Aufgabe fortgesetzt oder wiederholt, laufen die Prüfungen in genau diesem Moment erneut. Ein abgelaufener Plan oder eine ausgeschaltete Einstellung lässt sich durch Wiederholen also nicht am Leben halten.

Als wir KwaFlux um einen MCP-Server erweiterten, stand eine Regel an erster Stelle: Ein KI-Assistent soll genau das tun können, was Sie in der App tun können, nicht mehr und nicht weniger. Die Kontoprüfung, die eine Funktion schützt, gilt deshalb für Tool-Aufrufe genauso wie für Klicks.

Sie muss außerdem greifen, wenn der Assistent eine Aufgabe später wiederholt, nachdem sich Ihr Plan oder Ihre Einstellungen womöglich geändert haben.

In diesem Leitfaden erfahren Sie, wo ein zweiter Weg zu kostenpflichtigen Funktionen meist entsteht, wie KwaFlux für beide Wege mit einer einzigen Prüfung auskommt, was die signierte Lease des Workers hinzufügt und warum jede Wiederholung erneut geprüft wird.

Inhalt

1. Was ist eine Berechtigungsprüfung?
2. Wo die Hintertür meist entsteht
3. Eine Prüfung, in der App
4. Eine zweite Prüfung im Worker
5. Fortsetzen und Wiederholen durchlaufen die Prüfungen erneut
6. Was über MCP kostenlos ist
7. Wofür dieses Design gedacht ist und wofür nicht
8. Häufige Fragen

Was ist eine Berechtigungsprüfung?

Eine Berechtigungsprüfung ist der Schritt, in dem eine Software bestätigt, dass das angemeldete Konto den Plan oder die Lizenz hat, die eine Funktion voraussetzt, bevor sie die Funktion ausführen lässt.

In KwaFlux brauchen die Funktionen, die Dateien schreiben, eine Anmeldung und einen Plan: Exporte (einschließlich KI-Verbesserung), Konvertierungen, Dateireparaturen und Downloads aus einem Link. Alles andere, etwa Stöbern, Importieren, Vorschauen und die Diagnose einer Datei, funktioniert ohne Konto.

Wo die Hintertür meist entsteht

Desktop-Apps prüfen den Plan oft in der Benutzeroberfläche: Ein Button ist deaktiviert, oder wer darauf klickt, landet auf einem Upgrade-Bildschirm. Das funktioniert, bis ein zweiter Aufrufer dazukommt.

Ein MCP-Server ist ein zweiter Aufrufer. Schickt er Aufträge direkt an die Engine oder ruft er eine interne Funktion auf, die bisher der Button geschützt hat, läuft die Prüfung in der Oberfläche nicht. Aus diesem Grund verortet die MCP-Spezifikation die Zugriffskontrolle auf der Serverseite: Server „MUST“ alle Tool-Eingaben validieren und „angemessene Zugriffskontrollen implementieren“. Eine Prüfung, die im Button steckt, zählt nicht.

Eine Prüfung, in der App

KwaFlux setzt die Prüfung dort an, wo jede Anfrage vorbei muss: in der Steuerungsebene innerhalb der laufenden App. Das MCP-Skript entscheidet nichts über Pläne. Es reicht eine typisierte Anfrage weiter, und die App antwortet.

Sind Sie nicht angemeldet oder deckt Ihr Plan die Funktion nicht ab, bekommt der Assistent einen strukturierten Fehler mit genau diesem Hinweis und kann Ihnen sagen, dass Sie sich anmelden sollen. Umgehen kann er das nicht, denn es gibt nichts anderes, was er aufrufen könnte. Wie die Ebenen zusammenspielen, lesen Sie unter warum KI-Agenten nicht auf den Bildschirm klicken sollten.

Eine zweite Prüfung im Worker

Die Prüfung der App entscheidet, ob ein Auftrag in die Warteschlange darf. Der Worker, also der separate Prozess, der die Engine tatsächlich ausführt, prüft selbst noch einmal, bevor er kostenpflichtige Arbeit beginnt: Er verifiziert eine mit Ed25519 signierte Lease für die Aufgabe.

Weil die Signatur in einem anderen Prozess geprüft wird, hängt die Entscheidung nicht an einer einzigen Stelle. Ein Auftrag, der den Worker auf anderem Weg und ohne gültige signierte Lease erreicht, führt seine kostenpflichtigen Funktionen nicht aus.

Ed25519 ist das in RFC 8032 spezifizierte Signaturverfahren auf Basis von Edwards-Kurven. Es arbeitet mit kleinen Schlüsseln und Signaturen (bei Ed25519 öffentliche Schlüssel mit 32 Byte und Signaturen mit 64 Byte), und die Verifikation ist schnell. Das passt zu einer Prüfung, die für jede Aufgabe stattfindet.

Randnotiz: Was eine Lease enthält und wie lange sie gilt, beschreiben wir bewusst nicht. Der Sinn des Designs ist, dass der Worker sie verifizieren kann, ohne demjenigen zu vertrauen, der ihm den Auftrag übergeben hat.

Fortsetzen und Wiederholen durchlaufen die Prüfungen erneut

Wiederholungen sind der heikle Teil. Eine Aufgabe, die beim Einreihen erlaubt war, ist es eine Stunde später beim Fortsetzen vielleicht nicht mehr. KwaFlux behandelt Fortsetzen und Wiederholen als neue Entscheidungen:

• Der Plan wird erneut geprüft. Ist Ihr Plan abgelaufen, seit die Aufgabe eingereiht wurde, scheitert das Fortsetzen oder Wiederholen einer kostenpflichtigen Aufgabe an der Prüfung, genau wie eine neue Anfrage.
• Die Download-Einstellung wird erneut geprüft. Haben Sie Downloads durch Agenten ausgeschaltet, nachdem ein Assistent einen eingereiht hat, wird die Wiederholung abgelehnt. Siehe warum eine KI keine Downloads für Sie freigeben kann.
• Die Zugehörigkeit wird erneut geprüft. Ein Assistent kann nur Aufgaben fortsetzen oder wiederholen, die er selbst eingereicht hat.

Die Alternative wäre eine Aufgabe, die nach einer einmaligen Freigabe beliebig oft wiederholt werden kann, gestützt auf eine Entscheidung, die nicht mehr gilt. Die Prüfung im Moment der Aktion schließt diese Lücke.

Was über MCP kostenlos ist

Was in KwaFlux kostenlos ist, bleibt es auch über MCP. Ohne Anmeldung kann ein Assistent:

• prüfen, ob KwaFlux läuft und angemeldet ist;
• Aufgaben auflisten und ihren Status lesen;
• eine beschädigte Datei diagnostizieren, um zu sehen, ob sie sich reparieren lässt;
• seine eigenen Aufgaben pausieren oder abbrechen.

Die kostenlosen Vorschauen von 1, 3 und 5 Sekunden bleiben in der App; der Assistent rendert sie nicht.

Wofür dieses Design gedacht ist und wofür nicht

Dieses Design sorgt dafür, dass auf beiden Wegen dieselben Regeln gelten. Ein KI-Assistent schaltet nichts frei, und er nimmt Ihnen nichts weg, worauf Sie Anspruch haben. Jede Anfrage durchläuft dieselbe Prüfung, und jede Aufgabe, die der Assistent startet, erscheint in der Aufgabenliste der App, markiert mit dem Assistenten, der sie eingereicht hat.

Den Schutz des Kanals selbst ersetzt es nicht. Der sorgt dafür, dass andere Konten und andere Computer gar nicht erst mit KwaFlux sprechen können. Mehr dazu unter den lokalen Kanal absichern.

Fazit

Eine KI-Schnittstelle für eine kostenpflichtige App ist eine gute Gelegenheit herauszufinden, wo Ihre Prüfungen wirklich sitzen. KwaFlux hält für Klicks wie für Tool-Aufrufe eine einzige Prüfung in der Steuerungsebene der App, lässt den Worker vor kostenpflichtiger Arbeit eine signierte Lease verifizieren und prüft erneut, sobald eine Aufgabe fortgesetzt oder wiederholt wird. Der Assistent bekommt dasselbe KwaFlux wie Sie.

Dasselbe KwaFlux, ob aus der App oder über Ihren Assistenten

Über den lokalen MCP-Server von KwaFlux starten Codex, Claude, Cursor und andere MCP-Apps dieselben Aufträge, die Sie in der App starten können, nach denselben Regeln. Die KI-Verarbeitung läuft auf Ihrer eigenen GPU, und Ihre Mediendateien werden für die Verarbeitung nicht hochgeladen. KwaFlux läuft unter Windows 10 (64-Bit, Version 1809 oder neuer), Windows 11 und macOS 12 oder neuer auf Apple Silicon. Dateien importieren und die App erkunden geht ohne Konto. Anmeldung und ein bezahlter Plan sind nur für Export, Konvertierung, Dateireparatur und Datei-Download aus einem Link nötig.

KwaFlux laden · Pläne ansehen