de stekker, niet de intelligentie

Even iets rechtzetten, want hier gaat het in de meeste stukken meteen mis: MCP maakt AI niet slimmer. Het Model Context Protocol is gewoon een stekker. Een afspraak over hoe een AI-programma mag lezen en handelen in de software die je toch al hebt, van je boekhouding tot je planning. En voor mij is dat geen theorie, hoor. Ik werk er elke dag mee, via zo’n koppeling op het CRM van een installatiebedrijf. Wat me vooral opvalt, is het tempo. In dertien maanden groeide het van een Anthropic-project uit tot een industriestandaard onder de Linux Foundation, omarmd door OpenAI, Google en Microsoft. Dus plakken leveranciers nu overal “agent-ready” op. Alleen zegt die hele adoptie niks over de twee dingen die voor jou tellen. Hangt jouw software er al aan? En die koppeling die er misschien wél is, kun je die vertrouwen? Het eerlijke antwoord op allebei, voorlopig even: meestal niet. Tenzij je het zelf nagaat.

In context verslaat de prompt schreef ik het al: een AI is zo goed als de informatie waar hij bij kan. Dit stuk gaat over de laag eronder. Over de deur waardoor hij erbij komt.

wat is mcp precies?

Loodgieterswerk. En dat bedoel ik als compliment, hoor. Kijk, vóór MCP had elke combinatie van een AI-toepassing en een softwarepakket zijn eigen maatwerkkoppeling nodig. Tien programma’s op tien systemen? Honderd koppelingen. Met MCP bouwt elk systeem er eentje, één koppelvlak, een MCP-server, en daar sluit elke AI-toepassing die de standaard spreekt op aan. Tien plus tien, in plaats van tien keer tien. Via zo’n server mag een taalmodel tools aanroepen (handelingen dus) en gegevens lezen, altijd langs datzelfde stramien. Bij dat installatiebedrijf komt het er domweg op neer dat mijn agent in hetzelfde CRM zit als de planning. Op dezelfde borden.

Anthropic zette het protocol op 25 november 2024 online als open standaard, met kant-en-klare servers voor onder meer GitHub, Slack en Postgres (Anthropic, 2024). Ruim een jaar later, op 9 december 2025, gaf het bedrijf het beheer uit handen aan de Agentic AI Foundation onder de Linux Foundation. Medeopgericht met Block en OpenAI, en gesteund door Google, Microsoft, AWS en nog een paar (Anthropic en Linux Foundation, 2025). Bij die overdracht meldde Anthropic zelf ruim tienduizend actieve publieke MCP-servers en meer dan 97 miljoen SDK-downloads per maand. Zelfrapportage van de beheerder, dus die cijfers weeg ik wat lichter. Al klopt de orde van grootte wel met wat je zag gebeuren.

waarom hoor je er nu ineens overal over?

Omdat de concurrenten van de bedenker het overnamen. Snel ook. OpenAI kondigde op 26 maart 2025 bij monde van Sam Altman MCP-ondersteuning aan en schoof aan bij de stuurgroep (TechCrunch, 2025). Twee weken later volgde Google DeepMind al, met Demis Hassabis die MCP publiekelijk “een goed protocol dat hard op weg is een open standaard voor het agent-tijdperk te worden” noemde (TechCrunch, 2025). En Microsoft? Die bouwde het in Copilot Studio en zelfs in Windows 11 (Microsoft, 2025). Tel even mee. Vier partijen die elkaar op elk ander vlak het licht in de ogen niet gunnen, kozen binnen vijf maanden dezelfde stekker. Dat gebeurt bijna nooit. En dat is voor mij het echte nieuws: er kwam voor het eerst één deur waar iedereen doorheen wil. De AI zelf werd er geen dag slimmer van.

Voor een bedrijf betekent die deur iets heel concreets. Software waarvan de handelingen via zo’n koppelvlak bereikbaar zijn, kun je door mensen laten bedienen én door agents. Met precies dezelfde acties. Vanuit de bouwkant beschrijf ik dat verschil in waarom ik een agent-native crm bouwde. Maar let even op dat woordje kan, hè. De standaard maakt het mógelijk. Vanzelf gaat het niet.

wat gaat het je brengen?

Tot zover de stekker en de zorgen. Maar de interessantste vraag is niet of het al veilig genoeg is of af genoeg. Die is: wat gaat het je brengen?

In mijn ervaring is MCP echt een gamechanger. Het brengt agentic AI dicht bij de organisatie en op de werkvloer, juist omdat het direct gekoppeld kan worden aan de systemen waar je echt mee werkt. Zonder die systemen is een agent functioneel niet toereikend. Dan heeft hij de context en de tools niet om echt agentic werk te doen in de software waar jij als bedrijf mee werkt.

Ik denk dat MCP een bedrijfsstandaard gaat worden voor de software van bedrijven, met een hele rechte structuur eronder. Bij ons is dat ook zo geregeld. In fikst is alles wat je kunt configureren ook via de MCP te configureren. We hebben het juist in het begin zo opgezet. Die structuur kan de gebruiker daarna zelf configureren, en zelfs dat gaat weer via de standaard admin-rol, via de MCP.

Dus je beweegt naar een markt waar implementatieconsultants niet eens meer nodig zijn. Een functioneel beheerder kan het hele systeem inrichten, en zijn eigen automation-flows erbij, met de MCP. Zo schuif je langzaam naar een markt waar die hele implementatiekosten eigenlijk niet meer nodig zijn.

is jouw software er al klaar voor?

Waarschijnlijk niet uit de eerste hand. En dat vond ik nog de nuchterste uitkomst van al het uitzoekwerk voor dit stuk: geen van de grote Nederlandse MKB-softwareleveranciers bood bij het schrijven zelf een officiële MCP-server aan. Geen één. Het CRM waar ik elke dag op werk heeft er wél eentje, van de leverancier zelf. En laat dat nou net geen Nederlands pakket zijn. Wat je hier wél vindt: wrappers van derde partijen. Zo legt een unified-API-leverancier exact dezelfde MCP-schil over twaalf verschillende boekhoudpakketten (Apideck, 2026). Kan legitiem zijn. Kan nuttig zijn, hoor. Alleen verschuift je vertrouwensvraag daarmee flink: je vertrouwde tot nu toe je boekhoudpakket, en voortaan moet je ook de tussenpartij vertrouwen die namens jouw agent bij je administratie mag.

En dan is de standaard ook nog eens jong. Dertien maanden, en nu al drie flinke herzieningen. Waaronder een fundamentele aanscherping van de autorisatie medio 2025 en een grote update precies een jaar na lancering (WorkOS, 2025). Op zich niks geks, HTTPS en OAuth zijn ook stap voor stap volwassen geworden. Maar het betekent wél dat “MCP-ondersteuning” die ze je vandaag beloven, volgend jaar heel andere garanties kan inhouden. In mijn eigen stack loopt dat trouwens snel op: naast het CRM hangen er ook koppelingen naar Make en Moneybird, en elke schakel moet je onderhouden zodra er ergens iets schuift. Dus vraag door. Welke versie? En wie onderhoudt die koppeling straks nog? “Wij ondersteunen MCP”, daar heb je op zichzelf weinig aan.

hoe veilig is het?

De standaard dwingt veiligheid niet af. En wat dat oplevert is inmiddels gewoon gemeten. Ik ben die metingen gaan lezen om een simpele reden, hoor: mijn agents staan op échte bedrijfssoftware. Een studie op bijna achtduizend live remote MCP-servers vond dat 40,55 procent geen enkele authenticatie afdwingt (arXiv, 2026). Ruim veertig procent. Gewoon open. Een peer-reviewed meting op 1.899 open-source-servers vond bij 7,2 procent een serieuze kwetsbaarheid, met gelekte inloggegevens als koploper, en bij 5,5 procent gevoeligheid voor tool poisoning (arXiv, 2025). En het veelzeggendste zit onderin dat onderzoek: de officiële referentie-servers scoorden nul gevonden kwetsbaarheden, en dat lange staartje van community-servers een mediaan van twee per stuk. Zie je? Het probleem zit zelden in de standaard zelf. Het zit in de wildgroei eromheen.

Tool poisoning, dat verdient uitleg in gewone taal, want dit is het concreetste nieuwe risico. Elke tool die een agent kan gebruiken heeft een beschrijving. Jij krijgt die nooit te zien. Het taalmodel wél. En beveiligingsonderzoekers lieten in april 2025 zien dat je in die beschrijving verborgen instructies kunt stoppen, die het model dan braaf opvolgt (Invariant Labs, 2025). In een benchmark met bewust vergiftigde tools trapte zelfs het best presterende model er in ruim twee derde van de aanvallen in. En de knappere modellen bleken juist gevoeliger, omdat de aanval hun sterke instructie-volggedrag misbruikt (MCPTox, 2025). Even eerlijk: dat zijn laboratoriumcijfers onder gerichte aanvalscondities, geen gemeten praktijkschade. Hoort erbij. De richting is alleen wél duidelijk. Simon Willison vat het samen als de dodelijke drie-eenheid: een agent met toegang tot privédata, blootstelling aan onvertrouwde content en een kanaal naar buiten. Dat is een risico, en koppelstandaarden maken het makkelijker om die drie per ongeluk tegelijk aan te zetten (Willison, 2025). De Autoriteit Persoonsgegevens waarschuwde in februari 2026 voor precies dit risicopatroon bij autonome AI-agents met plug-ins, zonder MCP bij naam te noemen (AP, 2026). En hoe je je hier praktisch tegen indekt, met permissies, scopes en logging in plaats van goede bedoelingen, dat staat in de vangrails.

wat vraag je voordat je een agent op je software loslaat?

Zes vragen. Techniek heb je er niet voor nodig, en een leverancier die er zenuwachtig van wordt, nou, die vertelt je daarmee ook wat.

1. Van wie is die MCP-server nou eigenlijk? Van de leverancier zelf, of van een derde partij? En wie onderhoudt hem straks, bij de volgende specversie?
2. Welke rechten krijgt de agent precies? Lezen, schrijven, welke onderdelen? Alles-of-niets is een rood vlag.
3. Draait de koppeling mét authenticatie, en waar staan de sleutels? Ruim veertig procent van de live servers dwingt niks af, dus vraag gewoon expliciet hoe die van jou het doet.
4. Wie controleert de tools en hun beschrijvingen die het model te lezen krijgt? En wanneer is dat voor het laatst gebeurd?
5. Wat wordt er gelogd van wat de agent uitspookt, en kun je daar zelf bij?
6. En als het misgaat: kun je die handeling terugdraaien? En wanneer springt er een mens bij?

De stekker is er. En hij is serieus, hoor. De hele industrie draagt hem, een neutrale stichting bestuurt hem. En dat software daardoor echt door agents te bedienen wordt, dat zie ik elke werkdag gebeuren. Wat de standaard je alleen niet geeft, is het oordeel over wie er in jóuw systemen mag prikken. Dat blijft een architectuur- en governancevraag. En die beantwoordt niemand voor je.