MCP uitgelegd: AI veilig aan je systemen

De tekening hierboven is een vereenvoudiging. Wat daar de MCP-laag heet, is in de specificatie een MCP-server, en de controle zit op twee plekken. De server bepaalt welke tools er zijn en wat ze mogen. De AI-toepassing waarin je werkt, vraagt jou om toestemming voordat een tool iets doet. Beide plekken moeten goed zijn ingericht.

In dit artikel lees je wat MCP is en waar het vandaan komt, hoe het werkt, wat een MCP-server kan aanbieden, hoe het zich verhoudt tot een gewone koppeling, welke risico's er zijn en hoe je er verstandig mee begint. Alles over de werking komt uit de specificatie op modelcontextprotocol.io, versie 2026-07-28.

Wat is MCP?

MCP staat voor Model Context Protocol. Het is een open protocol waarmee toepassingen die met een taalmodel werken, op een vaste manier verbinding maken met gegevensbronnen en tools daarbuiten. De specificatie noemt drie doelen: context delen met taalmodellen, tools en mogelijkheden beschikbaar maken voor AI-systemen, en koppelingen bouwen die je kunt combineren.

Anthropic bracht MCP in november 2024 uit als open standaard. Op 9 december 2025 is het ondergebracht bij de Agentic AI Foundation, een nieuw fonds onder de Linux Foundation, samen met goose van Block en AGENTS.md van OpenAI. Volgens de Linux Foundation is MCP opgenomen in onder meer Claude, Cursor, Microsoft Copilot, Gemini, VS Code en ChatGPT, en waren er toen meer dan 10.000 gepubliceerde MCP-servers.

Het idee leent de specificatie van het Language Server Protocol, dat regelt hoe programmeertalen in allerlei ontwikkeltools werken. MCP doet hetzelfde voor AI: één manier om context en tools aan te sluiten, in plaats van een eigen koppeling per model en per systeem.

Hoe werkt MCP?

Er zijn drie rollen. Ze praten met elkaar in berichten volgens JSON-RPC 2.0, een bestaande standaard voor het uitwisselen van opdrachten en antwoorden.

De berichten gaan over een van twee standaardroutes. Bij stdio start de toepassing de server als een programma op dezelfde computer en praten ze via de standaard invoer en uitvoer. Bij Streamable HTTP is elk bericht een verzoek aan één adres van de server, die ergens anders kan staan.

De versie van 28 juli 2026 maakte MCP staatloos. Er is geen openingsgesprek meer waarin client en server afspraken maken. Elk verzoek draagt zelf de versie van het protocol en wat de client kan. Wie een server bouwt of kiest, let er dus op welke versies hij ondersteunt. Oudere versies werken nog via een terugvalregeling die de specificatie beschrijft.

Wat kan een MCP-server aanbieden?

Een server kan drie soorten dingen aanbieden. Het verschil zit vooral in wie ze in gang zet.

Andersom kan de toepassing de server iets teruggeven. In de huidige versie is dat vooral elicitation: de server vraagt de gebruiker om extra informatie, bijvoorbeeld een ontbrekend klantnummer. Drie oudere onderdelen, roots, sampling en logging, staan sinds 28 juli 2026 op de lijst om te verdwijnen. Ze werken nog tijdens een overgangsperiode, die volgens het beleid van MCP in de regel minstens twaalf maanden duurt, maar nieuwe koppelingen horen ze niet meer te gebruiken.

Tools zijn volgens de specificatie bedoeld om door het model te worden aangestuurd. Het model ziet welke tools er zijn en kiest er zelf een op basis van je vraag. Precies daarom is de veiligheid van tools het belangrijkste onderwerp van dit artikel.

Is MCP iets anders dan een gewone koppeling?

Ja en nee. Een MCP-server roept achter de schermen vaak gewoon de bestaande koppeling van een systeem aan, de API. Het verschil zit in wie de koppeling gebruikt. Een gewone koppeling volgt vaste regels die een ontwikkelaar heeft geschreven: als dit gebeurt, doe dat. Met MCP kiest een taalmodel zelf welke tool het gebruikt en met welke invoer. Dat is flexibeler, maar je weet vooraf minder precies wat er gaat gebeuren.

MCP is ook iets anders dan een llms.txt. Dat is een tekstbestand op een website dat AI-assistenten vertelt wat er op de site staat. Daarmee kan een assistent je site lezen, maar niets doen. Met MCP kan een assistent handelen in een systeem. Hoe AI-assistenten je site vinden en lezen, staat in ons artikel over vindbaar in AI.

Wat zegt de specificatie over veiligheid?

De specificatie is daar duidelijk over: MCP maakt toegang tot gegevens en het uitvoeren van code mogelijk, en wie het bouwt moet dat zorgvuldig regelen. Ze noemt drie principes:

• Toestemming en controle. Gebruikers moeten uitdrukkelijk instemmen met alle toegang tot gegevens en alle handelingen, en ze begrijpen. Ze houden zelf de regie over wat er gedeeld en gedaan wordt.
• Privacy. De toepassing moet uitdrukkelijk toestemming vragen voordat ze gegevens van de gebruiker aan een server laat zien, en mag gegevens niet zonder toestemming ergens anders heen sturen.
• Veilige tools. Tools staan voor het uitvoeren van willekeurige code en vragen voorzichtigheid. Beschrijvingen van wat een tool doet, gelden als onbetrouwbaar, tenzij ze van een betrouwbare server komen. De toepassing moet toestemming vragen voordat ze een tool aanroept.

Belangrijk is de zin die daarop volgt: MCP kan deze principes zelf niet afdwingen op het niveau van het protocol. Het hangt af van hoe de toepassing en de server gebouwd zijn. De specificatie zegt verder dat er altijd een mens in de lus hoort te zijn die een tool-aanroep kan weigeren, met duidelijke bevestigingsvragen. Een server moet alle invoer controleren, toegang regelen, het aantal aanroepen beperken en de uitvoer opschonen. Een toepassing hoort bij gevoelige handelingen om bevestiging te vragen, de invoer te tonen voordat ze een tool aanroept, en het gebruik van tools bij te houden in een logboek.

Welke risico's zijn er, en wat doe je ertegen?

Te ruime rechten. De beveiligingsrichtlijnen van MCP beschrijven het scenario waarin iemand een sleutel steelt die brede rechten heeft, zoals alle bestanden of de hele database. Hun advies: begin met een minimale set rechten voor alleen het lezen en ontdekken, en vraag pas meer als een handeling dat nodig heeft. Gebruik geen jokers als alles of volledige toegang.

Instructies in gegevens. Een model dat mails, documenten of webpagina's leest, kan daar tekst tegenkomen die zich voordoet als opdracht. OWASP noemt dit in zijn lijst van risico's voor taalmodellen indirecte prompt injection, en schrijft dat het onduidelijk is of je het volledig kunt voorkomen. OWASP adviseert onder meer minimale rechten, goedkeuring door een mens voor acties met risico, en externe inhoud apart houden en als zodanig markeren.

Een onbetrouwbare server. Een lokale MCP-server is een programma dat op je eigen computer draait, met dezelfde rechten als de toepassing. De specificatie eist dat een toepassing die zo'n server met één klik installeert, eerst het volledige commando toont dat wordt uitgevoerd, en om uitdrukkelijke toestemming vraagt. Ze raadt aan zulke servers af te schermen met zo min mogelijk rechten.

Inloggen. Inloggen is in MCP optioneel. Gebruikt een server een route via HTTP, dan hoort hij de regels voor autorisatie te volgen, gebaseerd op OAuth 2.1. Een server mag dan alleen sleutels aannemen die voor hem zijn uitgegeven, en ze niet doorgeven aan een ander systeem. Bij een lokale server via stdio komen de inloggegevens uit de omgeving van de computer.

Hoe begin je verstandig?

1. Kies één taak met een duidelijke waarde, zoals aanvragen aanvullen met gegevens uit je klantenbestand of stukken uit één map samenvatten.
2. Schrijf op welke acties de taak nodig heeft, en welke niet. Alles wat niet op die lijst staat, krijgt de koppeling niet.
3. Begin met alleen lezen waar het kan. Schrijven, versturen en verwijderen komen later, en alleen met bevestiging.
4. Geef de koppeling een eigen account met eigen rechten, niet de inlog van een beheerder.
5. Kies de server met zorg. Liefst een van de leverancier van het systeem zelf, of een die je laat bouwen en kunt inzien.
6. Test met nepgegevens voordat je echte klantgegevens aansluit.
7. Houd een logboek bij en kijk de eerste weken elke uitkomst na. Dat levert vertrouwen op, en de voorbeelden om de koppeling te verbeteren.
8. Pas daarna de volgende taak. Zo groeit er een geheel dat je begrijpt, in plaats van een wildgroei die niemand overziet.

Bij onze AI-integraties beginnen we zo: klein, op één proces, bovenop wat er al draait, en met een mens die aftekent. Meer over AI die zelf stappen zet, lees je in ons artikel over AI-agents.

Waar blijven je gegevens?

MCP regelt hoe een AI-toepassing met een server praat, niet waar je gegevens verwerkt worden. Wat een tool teruggeeft, gaat naar het taalmodel dat je gebruikt, en dat model draait bij de aanbieder die je kiest. Waar je gegevens heen gaan, hangt dus af van drie keuzes: welke AI-toepassing, welk model en welke server. Leg die per koppeling vast. Werk je met persoonsgegevens, kijk dan ook welke afspraken je met elke partij hebt. Meer daarover lees je op onze pagina over een AVG-proof website.

Wanneer dit niet geldt

Moeten twee systemen steeds hetzelfde met elkaar doen, zoals een nieuwe bestelling doorzetten naar je boekhouding, dan is een gewone koppeling of automatisering vaak eenvoudiger en voorspelbaarder dan een taalmodel dat zelf kiest. MCP heeft zin waar de vraag steeds anders is en een assistent moet kiezen welke informatie of actie past. Meer over die afweging lees je bij AI-automatisering.

Heb je gegevens die je niet met een AI-aanbieder mag of wilt delen, dan helpt MCP je niet: het regelt de verbinding, niet de verwerking. Dan is de eerste vraag welk model je mag gebruiken, niet hoe je het koppelt.

Wat we niet weten: de specificatie verandert nog. De versie van 28 juli 2026 haalde onder meer de sessies en het openingsgesprek uit het protocol. Wat hier staat, klopt voor die versie. We hebben ook niet gemeten hoeveel tijd een MCP-koppeling een bedrijf bespaart, en noemen daarom geen getal.

Welke koppeling zou jou tijd geven? Noem het systeem waar je team het meest in werkt, dan schetsen we een veilige eerste stap. Koppelingen, code en inloggegevens komen op jouw naam; meer daarover bij AI-integraties. Je werkt rechtstreeks met Nawid; per project zet hij een vast team van specialisten in.