Een analist wil dat zijn assistent vragen kan beantwoorden over de verkoopcijfers. Hij vindt een MCP-server voor het datawarehouse, plakt een verbindingsreeks in een configuratiebestand, en binnen tien minuten kan de assistent de database bevragen.
Dat is precies waarvoor MCP is bedacht, en het werkt: vragen die vroeger een rapportverzoek aan een collega waren, beantwoordt de assistent nu zelf. Wel is er zonder ticket of inkoopbesluit een koppeling gelegd tussen een AI-dienst en het systeem waar de omzetcijfers in staan. Het loont om beide kanten te begrijpen.
Wat is MCP, en welk probleem lost het op?
Het Model Context Protocol is een open standaard, in november 2024 geïntroduceerd door Anthropic, die beschrijft hoe een AI-assistent kan praten met systemen buiten zichzelf. De specificatie is openbaar.
Het probleem dat het oplost, is echt. Voordat MCP er was, moest elke combinatie van assistent en systeem apart worden gebouwd: een koppeling voor deze assistent met dat CRM, nog een voor die assistent met hetzelfde CRM. Met een gedeelde standaard bouw je de koppeling één keer en praat elke assistent die de standaard ondersteunt ermee.
USB deed hetzelfde voor randapparatuur, en het gevolg is ook hetzelfde: het aantal koppelingen schiet omhoog omdat de drempel weg is.
Wat doet een MCP-server?
Een MCP-server is een klein programma dat aan twee kanten praat.
Aan de systeemkant maakt hij verbinding met wat je wilt ontsluiten: een mailbox, een agenda, een database, een dienst met een API of gewoon de bestanden op een schijf.
Aan de assistentkant meldt hij welk gereedschap beschikbaar is. Niet als documentatie voor mensen, maar als een machineleesbare beschrijving: dit gereedschap heet zoek_klant, het verwacht een naam, het geeft een klantrecord terug. De assistent leest die lijst en kan het gereedschap vervolgens aanroepen.
Een belangrijk detail: de assistent kiest zelf wanneer hij welk gereedschap gebruikt. Jij vraagt om verkoopcijfers, en het model bepaalt welke aanroepen daarvoor nodig zijn. Dat is precies wat een agent tot een agent maakt.
Wat kun je ermee?
Met een paar koppelingen wordt een assistent een collega die in je eigen systemen kan kijken. Hij bereidt een overleg voor met de agenda en de laatste mails over het onderwerp. Hij zoekt een klantrecord op voordat je terugbelt. Hij beantwoordt een vraag over de verkoopcijfers zonder dat iemand een export maakt. Of hij zet een ticket klaar in het systeem dat je team al gebruikt.
Steeds meer leveranciers bieden zelf een MCP-server voor hun product aan. Dat maakt het makkelijker om te beginnen met een koppeling die door de bouwer van het systeem is gemaakt, in plaats van door een onbekende.
Waar moet je op letten?
Niet op het protocol zelf: dat is een specificatie, en een goede. Het risico zit in wat eromheen ontstaat.
Het is code van iemand anders. Een MCP-server is een programma dat je installeert en dat namens jou toegang krijgt. Dat is een toeleveringsketen, met dezelfde vragen als bij elke afhankelijkheid. In juli 2025 werd CVE-2025-6514 gepubliceerd, een kwetsbaarheid in mcp-remote, een veelgebruikte proxy met honderdduizenden downloads. Dat is niet uitzonderlijk voor jonge software; het is wel een reden om te weten wat je draait.
De rechten zijn ruimer dan de taak. Bij het koppelen wordt vaak volledige toegang gevraagd waar leesrechten hadden volstaan. Dat is makkelijker voor de maker, maar het bereik wordt groter dan nodig.
Tokens verlopen niet. Een verleend token blijft in de praktijk geldig tot iemand het intrekt, ook nadat de gebruiker zijn wachtwoord heeft gewijzigd. Kortlevende tokens worden aanbevolen, langlevende zijn de praktijk, omdat ze minder gedoe geven.
Niemand heeft het beoordeeld. Dit weegt het zwaarst. De koppeling is gelegd door iemand die zijn werk sneller wilde doen, en dat is precies hoe shadow AI altijd binnenkomt.
Wat is het verschil met tekst in een chatbot plakken?
Bij de eerste golf shadow AI ging het om een tabblad: iemand opende een chatbot en plakte er iets in. Vervelend, en beperkt tot wat die persoon plakte.
Bij een MCP-koppeling gaat het om een deur. Er wordt geen tekst gedeeld maar toegang, en die toegang blijft bestaan als de medewerker naar huis gaat. Wat er daarna doorheen komt, hangt af van wat de assistent nodig denkt te hebben.
Daar komt bij dat een assistent met koppelingen ook inhoud van buiten leest, en dus gevoelig is voor instructies die daarin verstopt zitten. Meer daarover lees je in onze uitleg over promptinjectie.
Hoe leg je een koppeling goed?
- Weet welke er zijn. Op beheerde machines is te zien welke MCP-servers zijn geïnstalleerd. Zonder beheer moet je rondvragen, en krijg je een onvolledig antwoord.
- Beoordeel de herkomst. Van de leverancier van het systeem zelf, of van een onbekende repository? Dat is hetzelfde onderscheid als bij elke afhankelijkheid.
- Beperk de rechten bij het koppelen. Leesrechten waar lezen genoeg is. Dit is het moment waarop het kan, want daarna kijkt niemand er nog naar.
- Laat tokens verlopen. En zorg dat er een plek is waar ze in te trekken zijn.
- Behandel het als een leverancier. Dat is het ook. Stel dezelfde vragen als wanneer je een AI-tool goedkeurt.
Begin met één koppeling die echt tijd scheelt, bij voorkeur met de MCP-server van de leverancier van het systeem zelf, met leesrechten en een token dat verloopt. Schrijf op wie hem heeft gelegd en waarvoor. Dan heb je de winst van MCP, en weet je over een jaar nog welke deuren er openstaan en hoe je ze sluit.
