Googles MCP Toolbox: Datenbanken für KI-Agenten per MCP freigeben

Google hat das Java-SDK des MCP Toolbox for Databases in Version 1.0 veröffentlicht. Heise Developer berichtete am 12. Oktober 2026 darüber. Der Toolbox selbst ist ein Open-Source-Server auf GitHub, der Agenten, IDEs und Anwendungen Zugriff auf Datenbanken über das Model Context Protocol gibt. Die Idee dahinter: Das Modell schreibt in der Regel kein SQL, es wählt aus einer Liste erlaubter Abfragen; nur das vorgefertigte Tool execute_sql gibt beliebiges SQL frei.

Wie der Toolbox arbeitet

Entwickler legen in einer Datei namens tools.yaml fest, welche Quellen (Datenbankverbindungen), Tools (Aktionen), Toolsets (Gruppen von Tools), Prompts und Ressourcen es gibt. Die Datei wird mit dem Parameter --config geladen. Ein Tool ist dort etwa eine parametrisierte SQL-Abfrage. Der Agent wählt das passende Tool und liefert die Parameter, die Abfrage selbst schreibt er nicht.

Daneben gibt es vorgefertigte Tools, die sich mit --prebuilt=<datenbank> einschalten und auf Toolsets begrenzen lassen, etwa postgres/data. Beide Wege führen zum selben Server.

Was das Java-SDK 1.0 bringt

Version 1.0.0 (Release Notes vom 9. September, das Jahr nennt Heise nicht) führt Standardwerte für Tool-Parameter und Hooks ein, die vor und nach einem Tool-Aufruf laufen. Es braucht Java 17 oder neuer, mit Java 21 auch virtuelle Threads, steht unter Apache 2.0 und ist über com.google.cloud.mcp:mcp-toolbox-sdk-java:1.0.0 einbindbar.

Eine Änderung bricht Bestehendes: Parameter, die vorab mit bindParam gebunden werden, etwa der Name des angemeldeten Nutzers, erscheinen nicht mehr in der Tool-Definition, die das Modell sieht. Wer von Version 0.2 kommt, prüft, ob Prompts oder Tests darauf bauen. Heise erwähnt außerdem, dass das Java-SDK hinter den SDKs für Python, TypeScript und Go zurückliegt und noch keine Pakete für LangChain, LlamaIndex oder Googles ADK hat. Als Beispiel dient eine Anwendung aus Spring Boot, LangChain4j und AlloyDB.

Unterstützte Datenbanken

Heise nennt für die Java-Seite AlloyDB, BigQuery, Cloud SQL, Spanner, PostgreSQL, MySQL, SQL Server, Oracle, MongoDB und Snowflake. Die GitHub-Seite ist breiter: zusätzlich Firestore, MariaDB, Redis, Elasticsearch, CockroachDB, ClickHouse, Couchbase, Neo4j und Trino. Maßgeblich ist die Liste im Repo, wer eine bestimmte Datenbank braucht, prüft sie dort.

Vor dem Anbinden klären

Die Sicherheitshinweise stammen aus Heise und der GitHub-Seite, die Gewichtung ist unsere.

• Ein Agent mit festen, parametrisierten Abfragen kann weniger als einer mit freiem SQL. Das ist der eigentliche Gewinn des Konzepts.
• Die vorgefertigten Tools enthalten laut GitHub-Seite execute_sql, das beliebiges SQL ausführt. Wer sie nutzt, begrenzt Toolsets und Datenbanken, die er freigibt.
• Das Beispiel-tools.yaml auf GitHub enthält ein Passwort im Klartext. In der Praxis gehört das in eine Secrets-Verwaltung.
• Der Toolbox lädt seine Konfiguration standardmäßig neu, wenn sich die Datei ändert. Mit --disable-reload lässt sich das abschalten.
• npx @toolbox-sdk/server startet immer die neueste veröffentlichte Version. Die GitHub-Doku empfiehlt für verlässliche Installationen die Binärdatei oder ein Container-Image; unser Zusatz: im Betrieb eine feste Version nutzen.
• Das SDK gibt eine Warnung aus, wenn Zugangsdaten über unverschlüsseltes HTTP gehen würden. Die Authentifizierung ist vom Client getrennt (CredentialsProvider, AuthMethods), Google-OIDC-Token kommen aus den Application Default Credentials.

Ein nur lesendes Datenbankkonto bleibt trotz aller Konfiguration die letzte Verteidigungslinie. Bei uns hängen rund 15 MCP-Sidecars an LibreChat. Für jeden neuen MCP-Server stellt sich dieselbe Frage: Was passiert, wenn das Modell ihn falsch benutzt?

Weiterführende Quellen

• heise Developer: Datenbanken mit Java, KI und MCP steuern: Bericht vom 12. Oktober 2026 zum Java-SDK 1.0
• GitHub googleapis/genai-toolbox: Projektseite des MCP Toolbox for Databases, Datenbankliste und Konfiguration