Voordat je MCP aan je AI-stack hangt: heeft iemand naar input en output gekeken?

Voordat je een Model Context Protocol (MCP) aan een AI-stack hangt, is er eigenlijk maar één vraag die ertoe doet: heeft iemand echt goed gekeken naar wat erin gaat, wat eruit komt, en wie daar toestemming voor heeft? MCP maakt het opvallend makkelijk om AI te koppelen aan andere systemen, en precies die gemakkelijkheid maakt de vraag urgenter in plaats van overbodig.

Dit is relevant omdat agentic AI-stacks momenteel razendsnel worden gekoppeld aan interne systemen, klantdata en externe tools, vaak sneller dan de security-review die daarbij hoort. Een protocol dat "standaard" aanvoelt, wordt daardoor makkelijk overgeslagen in het soort vragen die je normaal bij elke nieuwe integratie zou stellen.

Onderzoek van Unit42 liet zien dat MCP sampling een extra aanvalsvlak opent dat niet vanzelfsprekend is: prompt injection, conversation hijacking en verborgen tool-invocation. Met andere woorden, als een server kan vragen om iets terug te sturen of een actie in gang te zetten, dan is de vraag wie dat mag initiëren en onder welke voorwaarden minstens zo belangrijk als de vraag of de koppeling technisch werkt.

De kern van het probleem zit niet in MCP als protocol, maar in de aanname dat een gestandaardiseerd protocol automatisch een veilig protocol is. Dat is het niet. Veiligheid zit in de implementatie: welke rechten een server krijgt, of acties gelogd worden, of input en output gevalideerd worden voordat ze iets in gang zetten, en wie er uiteindelijk beslist wanneer een actie mag worden uitgevoerd. Een koppeling die "gewoon werkt" zegt niets over of die vier dingen goed zijn ingericht.

Voor een team dat een MCP-server wil aansluiten, betekent dit in de praktijk: eerst in kaart brengen wat er precies door die laag heen beweegt, welke systemen erbij kunnen, en welke acties zonder mens ertussen kunnen worden uitgevoerd. Pas als die vragen beantwoord zijn, is uitrol de volgende stap, niet ervoor.

Dit sluit aan bij hoe wij bij Oneminded naar datasecurity kijken: nooit als reden om AI niet te gebruiken, wel als reden om zelf te bepalen waar data staat en wie erbij kan. En omdat een MCP-koppeling vaak op je echte klantdata draait, bepaal jij waar die staat en wie erbij kan, niet de tool. Die controle wil je behouden, niet impliciet aan een protocol overlaten omdat het "standaard" aanvoelt.

Ga je zelf een MCP-server of vergelijkbare integratie aansluiten, stel dan eerst de vraag die hier centraal staat: heeft iemand echt gekeken naar de input en output, en wie beslist er als er iets misgaat? Wil je die vraag samen doorlopen voor jouw AI-stack? Je kunt ons bellen.