AI-wereld in de greep van Model Context Protocol (MCP)

Toen Anthropic in november 2024 het Model Context Protocol (MCP) open-source beschikbaar stelde, kon het niet voorzien hoe snel en wijdverspreid het zou worden opgepikt. Inmiddels beschikken talloze vendoren over MCP-support of bieden zij methodes aan om MCP te beveiligen, uit te breiden of flexibeler te maken. Wat verklaart dit succes? En belangrijker: welke risico’s en tekortkomingen zijn er verbonden aan deze snelle adoptie?

Een gestandaardiseerde aansluiting voor AI

Bij de introductie was de kracht van MCP direct duidelijk. De meest heldere uitleg komt uit de officiële documentatie: “MCP is een open protocol dat standaardiseert hoe applicaties context bieden aan LLM’s. Zie MCP als een USB-C poort voor AI-toepassingen.” Die vergelijking gaat diep: zoals USB-C apparaten universeel verbindt met randapparatuur, standaardiseert MCP de verbinding tussen AI-modellen en externe databronnen of tools.

Dit is essentieel voor het bouwen van agentic AI: systemen die meer doen dan alleen tekst of beeld genereren. Omdat LLM’s vanwege hun architectuur niet eenvoudig opnieuw getraind kunnen worden met nieuwe data — zelfs niet met extreme rekenkracht — is externe toegang tot data en systemen noodzakelijk. MCP standaardiseert precies deze toegang: als een applicatie een API-endpoint aanbiedt, kan dit vaak direct worden ontsloten via een MCP-server. Zo ontstaat de fundering voor AI’s die bedrijfsdata kunnen raadplegen en daar zelfstandig acties op baseren.

De vergelijking met USB-C gaat nog verder: voordat Thunderbolt en andere alles-in-één standaarden konden ontstaan, moest eerst een universeel basale verbinding bestaan. MCP vervult nu die rol voor GenAI-toepassingen.

De werking van MCP

MCP bestaat uit een aantal kerncomponenten:

• MCP-server: de interface die data en functionaliteiten aanbiedt.

• MCP-client: onderdeel van een AI-applicatie, die de verbinding met een of meer servers onderhoudt.

• MCP-host: de AI-applicatie zelf, doorgaans een LLM met agentic vaardigheden.

• Data of dienst: het systeem dat benaderd wordt via MCP.

De communicatie loopt via Server-Sent Events (SSE) over HTTP of via STDIO voor lokale verbindingen, wat brede toepasbaarheid garandeert, van cloudomgevingen tot on-device toepassingen.

Impact en snelle verspreiding

De gebruikservaring van AI dankzij MCP wordt bijzonder intuïtief. Het instellen van tools wordt overbodig; een AI kan simpelweg muis- en toetsenbordbediening krijgen en zelfstandig acties uitvoeren zoals een LinkedIn-post aanmaken. Dit biedt een open alternatief voor oplossingen als Claude's Computer Use of OpenAI’s Operator, waarbij men niet langer gebonden is aan specifieke modelleveranciers.

De adoptie begon niet direct bij grote concurrenten, maar onafhankelijke ontwikkelaars zoals Cursor en Zed implementeerden MCP al snel. Internationale techgiganten volgden: Alibaba en Baidu in China voegden MCP toe aan hun ecosystemen. Deze wereldwijde adoptie zorgde ervoor dat ook partijen als Google en OpenAI eenvoudig konden instappen.

MCP beweegt zich inmiddels in dezelfde klasse als eerdere open standaarden als Kubernetes (containers) en OAuth (identiteit en toegang). Zoals gebruikelijk bij deze protocollen, raakt de oorspronkelijke bedenker steeds meer op de achtergrond en wordt de technologie een gemeenschappelijk fundament.

Kritiek en risico’s

Ondanks zijn populariteit is MCP niet zonder gebreken. De belangrijkste kritiek richt zich op beveiliging. Initieel ontbrak een duidelijke standaard voor authenticatie. Ook vertrouwt MCP doorgaans blindelings op de input van de LLM, met alle risico’s van dien. Prompt injections, command hijacking en zelfs remote code execution liggen op de loer: een aanvaller hoeft alleen maar de juiste instructies te geven aan een model om volledige controle over een systeem te krijgen.

Omdat MCP geen ingebouwde beveiligingslaag heeft, zal net als bij Kubernetes de beveiliging vooral afhankelijk zijn van de implementatie. Ontwikkelaars worden verleid door de kracht van de nieuwe mogelijkheden, maar zijn zich niet altijd bewust van de beveiligingsimplicaties.

Toch is deze kritiek deels onvermijdelijk. Nieuwe protocollen die direct secure by design zijn, hebben vaak moeite om snelle adoptie te bereiken. Harde beveiligingseisen zouden MCP wellicht te log hebben gemaakt voor deze vroege fase.

Positief is dat beveiligingsbedrijven MCP ook als kans zien: zo bouwde Wiz een eigen MCP-server met cloud visibility en contextuele intelligentie, hoewel ze tegelijkertijd waarschuwen voor gevaren zoals RCE-aanvallen en datalekken. Naar verwachting zullen gespecialiseerde beveiligingsoplossingen zich snel ontwikkelen rondom het MCP-ecosysteem.

De toekomst: volwassenwording in stroomversnelling

Nu MCP de standaard is voor GenAI-connectiviteit, ligt de bal niet langer alleen bij Anthropic. Grote partijen springen in om de volwassenheid van het ecosysteem te versnellen. Docker, bekend van de containerrevolutie, werkt bijvoorbeeld aan het productieklaar maken van MCP via projecten als de Docker MCP Catalog en MCP Toolkit. Bekende namen zoals Stripe, Elastic, Heroku, Pulumi en Grafana Labs zijn onder de eerste gebruikers.

Hoewel de wens om MCP te benutten momenteel groter is dan de werkelijke volwassenheid van de implementaties, wijst de brede adoptie erop dat verbeteringen niet lang op zich zullen laten wachten. De komende tijd mogen we wekelijkse updates verwachten: van robuustere beveiligingslagen tot nieuwe en innovatieve toepassingen van het protocol.

Door: Drifter