Wat is het Model Context Protocol (MCP)? De standaard die AI verbindt met tools en data

Het Model Context Protocol (MCP) is een open standaard die AI‑toepassingen in staat stelt verbinding te maken met externe tools, data, prompts en andere mogelijkheden via een consistente interface. In plaats van voor elke model‑en‑systeemcombinatie een eigen integratie te bouwen, kunnen ontwikkelaars een gedeelde protocol implementeren tussen een AI‑host en een MCP‑server.

MCP wordt vaak beschreven als een universele connector voor AI, maar de analogie is onvolledig. Het protocol verplaatst niet alleen data. Het definieert hoe deelnemers mogelijkheden opzetten, bronnen en acties blootleggen, gestructureerde berichten uitwisselen en beveiligingsgrenzen handhaven. Dat maakt het een belangrijk onderdeel van de opkomende infrastructuur voor AI‑assistenten en -agenten.

Waarom MCP bestaat

Een model op zichzelf kan de privé‑documenten van een bedrijf niet inzien, een lokale repository niet inspecteren, geen live‑database bevragen of een interne service aanroepen. Ontwikkelaars hebben die mogelijkheden historisch verbonden via eenmalige plugins en applicatiespecifieke API’s.

Die aanpak creëert een integratieprobleem. Als tien AI‑toepassingen elk verbinding moeten maken met tien systemen, kunnen teams eindigen met tientallen op maat gemaakte adapters. Elke adapter kan tools, context, authenticatie, fouten en updates anders representeren.

MCP creëert een gemeenschappelijk contract. Een MCP‑compatibele applicatie kan communiceren met MCP‑servers die mogelijkheden in een bekend formaat blootleggen. De officiële Model Context Protocol-specificatie definieert het protocol, terwijl individuele hosts en servers bepalen welke functies en beveiligingsbeleid ze ondersteunen.

De MCP‑architectuur

MCP scheidt de conversatie‑ en modellogica van de AI‑applicatie van de integratielogica die vereist is voor elke gegevensbron of service. De host kan meerdere client‑verbindingen tegelijk onderhouden — één voor een bestandsservers, één voor een databaseserver en een andere voor een bedrijfsapplicatie — terwijl hij hun mogelijkheden aan het model presenteert via een consistente interface.

De server is niet per se een externe internetsdienst. Hij kan lokaal naast een desktopapplicatie draaien, binnen een bedrijfsnetwerk, of als een remote service. Die implementatiekeuze verandert het transport‑ en vertrouwensgrens, maar niet de kernrelatie: een client ontdekt mogelijkheden van een server en wisselt gestructureerde berichten met die server uit.

MCP maakt gebruik van een host‑client‑serverarchitectuur.

• Host: de AI‑applicatie waarmee de gebruiker interacteert, zoals een assistent, programmeeromgeving of agentplatform.
• Client: een protocolcomponent die door de host wordt gecreëerd om een verbinding met een specifieke MCP‑server te onderhouden.
• Server: een programma dat geselecteerde tools, bronnen of prompts blootlegt aan MCP‑clients.

Een host kan tegelijk met meerdere servers verbinden. De ene server kan toegang bieden tot een bestandsrepository, een andere tot een project‑managementsysteem en een derde tot een interne database. De host blijft verantwoordelijk voor de gebruikerservaring, modelorchestratie, toestemming en de informatie die in de modelcontext wordt geplaatst.

Berichten worden gestructureerd volgens JSON‑RPC‑conventies. Tijdens de initialisatie onderhandelen deelnemers over protocolversies en mogelijkheden. Die onderhandeling is belangrijk omdat clients en servers niet elke optionele functie hoeven te implementeren.

Tools, bronnen en prompts

MCP organiseert door de server geleverde mogelijkheden in verschillende primitieve eenheden. De drie meest bekende zijn tools, resources en prompts.

Tools

Een tool is een uitvoerbare functie die de AI-toepassing kan aanroepen. Voorbeelden zijn het doorzoeken van een klantendatabase, het aanmaken van een issue, het uitvoeren van een query of het ophalen van de huidige voorraad. Een tooldefinitie bevat een naam, beschrijving en inputschema zodat het model en de runtime weten welke argumenten verwacht worden.

Het gebruik van een tool kan externe systemen wijzigen, daarom moeten hosts betekenisvolle beschrijvingen tonen, invoer valideren, permissies toepassen en bevestiging vragen voor ingrijpende acties.

Resources

Een resource is context die een applicatie kan lezen, zoals een bestand, database‑record, documentatiepagina of gegenereerd rapport. Resources gebruiken identifiers en kunnen metadata blootleggen, zoals een naam en mediatype. Ze bieden hosts een gestandaardiseerde manier om informatie te ontdekken en op te halen zonder te doen alsof elke leesoperatie een actie is.

Prompts

Prompts zijn herbruikbare sjablonen of workflows die een server beschikbaar stelt aan de host. Ze kunnen gebruikers helpen een mogelijkheid correct aan te roepen, gestructureerde argumenten te leveren, of domeinspecifieke instructies te combineren met relevante context.

MCP ondersteunt ook mogelijkheden in de tegenovergestelde richting. Afhankelijk van wat er wordt onderhandeld, kan een server de host vragen modelvoltooiingen of gebruikersinvoer te verkrijgen. Het belangrijke ontwerprincipe is expliciete onderhandeling van mogelijkheden in plaats van aan te nemen dat elke deelnemer elke bewerking kan uitvoeren.

Wat gebeurt er tijdens een MCP-toolaanroep?

Stel je een AI‑codeassistent voor die is verbonden met een repository‑analyse‑server.

1. De host maakt verbinding met de MCP-server en onderhandelt over ondersteunde mogelijkheden.
2. De client vraagt de lijst met beschikbare tools op.
3. De server retourneert gestructureerde tooldefinities, inclusief hun inputschema’s.
4. De host maakt geselecteerde toolbeschrijvingen beschikbaar voor het model.
5. Het model stelt een toolaanroep voor, zoals het zoeken naar verwijzingen naar een functie.
6. De host controleert het beleid en vraagt, indien nodig, de gebruiker om goedkeuring.
7. De client stuurt het gevalideerde verzoek naar de server.
8. De server voert de bewerking uit en retourneert gestructureerde inhoud of een fout.
9. De host beslist welk deel van het resultaat aan het model wordt verstrekt voor de volgende stap.

MCP standaardiseert de uitwisseling, maar bepaalt niet of het model vertrouwd mag worden om een tool aan te roepen. Die beslissing ligt bij de host en zijn beleidslaag.

MCP vervangt geen API’s

Een MCP-server omsluit vaak bestaande API’s, software‑development kits, command‑line‑tools of databasetrijders. Die onderliggende interfaces voeren nog steeds het daadwerkelijke werk uit. MCP voegt een AI‑gerichte ontdekkings‑ en interactielaag erboven toe.

Dit onderscheid verklaart waarom MCP complementair is aan REST, GraphQL en andere toepassingsinterfaces. Een betalingsservice kan zijn volwassen API behouden, terwijl een MCP-server een zorgvuldig beperkt deel van de bewerkingen blootlegt met modelvriendelijke beschrijvingen en schema’s.

MCP vs. functie‑aanroepen

Functie‑ of tool‑aanroepen is een modelcapaciteit: het model kan een gestructureerd verzoek teruggeven om een functie aan te roepen. MCP is een protocol voor het ontdekken en communiceren met aanbieders van tools en context.

De twee werken vaak samen. Een MCP-server vertelt de host welke tools bestaan. De host presenteert geselecteerde definities aan een model. Het model genereert een toolaanroep. De host gebruikt vervolgens MCP om dat verzoek naar de juiste server te sturen.

MCP vs. Agent2Agent

MCP verbindt een AI‑applicatie met mogelijkheden en context. Agent2Agent, of A2A, richt zich op communicatie tussen autonome agenten die mogelijk eigendom zijn van verschillende systemen of organisaties.

Een praktisch systeem kan beide gebruiken. Een agent kan MCP gebruiken om toegang te krijgen tot zijn tools en data, en vervolgens A2A gebruiken om een grotere taak aan een andere agent uit te besteden. MCP beantwoordt ‘Hoe kan deze applicatie die mogelijkheid gebruiken?’ A2A beantwoordt ‘Hoe kunnen deze agenten het werk coördineren?’

Beveiligingsrisico’s en controles

Een beveiligde host houdt een expliciete whitelist van servers en tools bij, toont duidelijke toestemming wanneer toegang wordt verleend, en koppelt elke oproep aan de gebruiker of workload‑identiteit die deze heeft geautoriseerd. Toolschema’s moeten voldoende smal zijn om onverwachte argumenten af te wijzen, terwijl auditlogs de server, mogelijkheid, invoer, resultaatstatus en goedkeuringspad moeten registreren.

Geretourneerde bronnen en toolresultaten vormen eveneens een oppervlak voor prompt‑injectie. Een document dat via MCP wordt gelezen kan tekst bevatten die het model vraagt zijn instructies te negeren of gegevens te exfiltreren. De host moet het onderscheid tussen onbetrouwbare inhoud en systeembeleid behouden en moet voorkomen dat de output van de ene server stilzwijgend de permissies van een andere server uitbreidt.

Standaardisatie verbetert de interoperabiliteit, maar maakt een server niet automatisch betrouwbaar. Een MCP‑server kan gevoelige gegevens, misleidende tool‑beschrijvingen, onveilige handelingen of gecompromitteerde afhankelijkheden blootleggen. Onbetrouwbare inhoud die via een bron wordt opgehaald kan eveneens prompt‑injectie‑instructies bevatten die bedoeld zijn om het model te manipuleren.

Belangrijke maatregelen omvatten:

• Minimaal privilege: geef elke server alleen de inloggegevens en scope die nodig zijn voor zijn doel.
• Serververtrouwen: verifieer de bron, code, eigendom en update‑pad van servers voordat ze worden verbonden.
• Zichtbaarheid voor gebruikers: maak duidelijk welke server gegevens ontvangt en welke actie deze zal uitvoeren.
• Invoervalidatie: handhaaf schema’s en bedrijfsregels buiten het model.
• Goedkeuringsgrenzen: bevestig gevoelige, externe, financiële of destructieve handelingen.
• Dataminimalisatie: vermijd het verzenden van volledige documenten of gesprekken wanneer slechts een klein deel nodig is.
• Loggen en intrekken: registreer oproepen, monitor afwijkingen, en maak inloggegevens en verbindingen eenvoudig uitschakelbaar.

Het MCP‑project blijft zijn architectuur en beveiligingsrichtlijnen verfijnen. De 2026-specificatie‑update van het project illustreert hoe de standaard evolueert rond eenvoudigere infrastructuur, autorisatie en productie‑implementatie.

Wanneer zouden ontwikkelaars MCP moeten gebruiken?

MCP is een goede keuze wanneer meerdere AI‑clients een consistente verbinding met dezelfde functionaliteit nodig hebben, wanneer tools tijdens runtime ontdekt moeten kunnen worden, of wanneer een team AI‑orchestratie wil scheiden van systeem‑specifieke integratiecode.

Een directe functieroep kan eenvoudiger blijven voor een kleine applicatie met één streng gecontroleerde backend. Het adopteren van het protocol brengt eigen operationele werkzaamheden met zich mee: beheer van de serverlevenscyclus, compatibiliteitstesten, authenticatie, observabiliteit en governance.

Wat te onthouden over het Model Context Protocol (MCP)

MCP is een gemeenschappelijke taal tussen AI‑applicaties en de tools en context eromheen. De waarde ervan ligt in het vervangen van geïsoleerde integratieconventies door een ontdekkbaar, gestructureerd en uitbreidbaar protocol.

De standaard elimineert niet de noodzaak van zorgvuldige engineering. Hosts moeten nog steeds bepalen welke servers ze vertrouwen, welke functionaliteiten ze blootstellen, welke gegevens ze delen en wanneer een persoon een actie moet goedkeuren. MCP maakt verbindingen draagbaar; governance maakt ze veilig en bruikbaar.