FAQ Model Context Protocol: alles wat je moet weten

Ik kwam ook het Agent2Agent-protocol (A2A) tegen, is dat een concurrent voor MCP?

Nee, MCP dient voor de communicatie tussen een AI-agent en servers die verschillende tools aanbieden voor gebruik door de agent. Een aanbieder van verre reizen kan bijvoorbeeld een MCP-server aanbieden die treinverbindingen uit zijn database opvraagt en terugstuurt.

In principe kan er achter zo’n tool ook een AI zitten, maar dat is nogal ongebruikelijk en geen doel van het protocol.

Het Agent2Agent-protocol dient daarentegen expliciet voor de communicatie tussen twee AI-agents, zodat bijvoorbeeld een door de gebruiker lokaal beheerde agent kan samenwerken met de agent van een externe dienstverlener.

Er zijn nog diverse andere protocollen in dit bloeiende vakgebied, zoals het Agent Communication Protocol (ACP), dat inmiddels echter in A2A is geïntegreerd, en het Agent Client Protocol (ook ACP), dat dient voor de communicatie tussen (coding-)agents en de editor van een ontwikkelaar.

Het is allemaal wat onoverzichtelijk, maar geen van die protocollen vormt een directe concurrentie voor MCP. Het gaat eerder om uitbreidingen die aanvullende scenario’s bestrijken. Wat zich daarvan zal doorzetten, is moeilijk in te schatten.

Zijn er alternatieven voor MCP?

Ja en nee. Sommige ontwikkelaars geven inmiddels de voorkeur aan skills, een eveneens door Anthropic geïntroduceerd formaat dat MCP in bepaalde gevallen kan vervangen. Skills zijn niets anders dan mappen met instructies, scripts en andere bronnen. Daarmee kunnen agents ‘lezen’ hoe ze bepaalde, terugkerende taken moeten uitvoeren.

Agents die toegang hebben tot commandlinetools kun je in veel gevallen in plaats van met een MCP-tool ook via een skill leren hoe ze dezelfde taak met commandlinetools moeten uitvoeren.

Dat heeft een aantal voordelen. Zo verbruikt een skill bijvoorbeeld doorgaans minder tokens dan MCP-tools. Het is echter vooral een alternatief voor MCP als de AI-agent sowieso toegang heeft tot een commandline met geschikte tools. En je moet de competentie hebben om het risico van individuele skills in te schatten.

Kan MCP ook worden gebruikt met een zelf gehost lokaal taalmodel?

Ja – MCP schrijft niet voor welk taalmodel op de achtergrond draait. De vraag is echter minder een kwestie van het model dan van de host. In de MCP-terminologie is dat de naam van de software waarin gebruikers met het LLM communiceren, bijvoorbeeld via een desktopapplicatie met een chatinterface. De host beheert de verbindingen met de MCP-servers en stelt hun functies beschikbaar aan het taalmodel.

Voor lokaal gebruik is dus een hostapplicatie nodig die zowel lokale modellen kan integreren als MCP-servers kan aanspreken. Dergelijke programma’s bestaan al: 5ire (uitgesproken als ‘fire’) is bijvoorbeeld een gratis opensource-applicatie die draait op Windows, macOS en Linux, verschillende modellen ondersteunt en MCP-servers kan integreren. Hetzelfde geldt voor Open WebUI, dat als front-end voor lokaal draaiende modellen kan worden ingezet.

Is MCP wel veilig?

De vraag naar de veiligheid doet zich niet zozeer voor bij het Model Context Protocol zelf, maar wel bij de gebruikte MCP-servers. Een lokale MCP-server is simpelweg software die op je computer draait en die je met dezelfde argwaan moet bekijken als elke ander programma dat je installeert.

Ook externe MCP-servers die via een URL worden geïntegreerd, vormen een risico. Ze kunnen met kwaadaardige instructies het taalmodel van je MCP-host beïnvloeden en zo op diverse manieren schade aanrichten – afhankelijk van de beschikbare mogelijkheden van de host – tot en met het installeren van malware.

Houd er rekening mee dat kwaadaardige MCP-servers actief kunnen worden zodra ze zijn geïnstalleerd of met de MCP-host verbonden zijn. Een AI-agent kan dus direct geïnfecteerd worden, zelfs zonder een tool van een kwaadaardige server op te roepen. In theorie zou je bij het instellen van een server de daardoor aangeboden tools kritisch kunnen controleren.

Een dergelijke controle is echter weinig zinvol, omdat dit niet alleen de nodige kennis vereist, maar ook achterhaald raakt zodra de server zijn toolbeschrijvingen aanpast – wat hij op elk moment kan doen.

In het ergste geval verandert een schijnbaar onschuldige server zo ongemerkt in een kwaadaardige. In het beste geval waarschuwt je MCP-host je bij elke update, zodat je die controle steeds opnieuw met dezelfde zorgvuldigheid zelf kunt uitvoeren.

In principe moet je daarom uitsluitend MCP-servers gebruiken waarvan je de fabrikant vertrouwt. Controleer goed wie dat is: veel MCP-servers voor bekende producten zijn niet afkomstig van de fabrikant van het product, maar van externe ontwikkelaars.

Waarop moet ik letten om te voorkomen dat het gebruik van MCP de veiligheid van mijn gegevens of die van klanten in gevaar brengt?

Ook onschuldige MCP-servers kunnen door aanvallers worden misbruikt als ze er gegevens heen kunnen sturen. Dan zijn zogeheten prompt-injections mogelijk. Het gaat dus om MCP-servers die gegevens uit onbetrouwbare bronnen verwerken, zoals servers die e-mails lezen of websites doorzoeken.

Om van zo’n prompt-injection een probleem te maken, moeten er nog twee factoren bijkomen: de aangevallen AI-agent moet toegang hebben tot gegevens die bescherming verdienen (anders zou er geen doelwit voor een aanval zijn) en hij moet die gegevens kunnen omleiden, verwijderen of wijzigen (anders zou een aanval geen zin hebben). Die drievoudige combinatie wordt meestal Lethal Trifecta genoemd, een term die is bedacht door ontwikkelaar Simon Willison.

Een Lethal Trifecta kan ook ontstaan door twee of meer MCP-servers op je MCP-host te combineren. Op zichzelf is elke server misschien te beperkt om gevaarlijk te worden, maar in combinatie zijn ze kwetsbaar. Je moet MCP-servers daarom altijd zo restrictief mogelijk gebruiken: schakel op de host alleen de benodigde servers in en bij elke server alleen de tools die op dat moment nodig zijn.

Zorg ervoor dat je nooit een combinatie van tools actief hebt die samen de drie aspecten van Lethal Trifecta bevatten, en laat de AI-agent in principe zo geïsoleerd mogelijk werken. Gegevens die voor hem nooit bereikbaar zijn, kan hij ook niet verraden of vervalsen.

[1] Jo Bager, Ronald Eikenberg en Marco den Teuling, Model Context Protocol: AI-modellen verbinden met apps en data, c’t 11/2025, p.58

(Jo Bager, Jan Mahn, Sylvester Tremmel en Marco den Teuling)