--- id: CP-264 slug: ai-agents-tools-mcp-protocol lang: nl title: AI-agents, tools en het MCP-protocol description: "Een AI-agent roept in uw plaats tools aan: mail, bestanden, API's. Wat er mis kan gaan en hoe u de rechten van de agent beperkt." canonical_url: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “AI-agents, tools en het MCP-protocol”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ it: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # AI-agents, tools en het MCP-protocol Een AI-agent is een taalmodel dat tools heeft gekregen: een mailbox lezen, bestanden openen, een website doorbladeren, een API aanroepen. Onderzoek uit 2022 en 2023 beschrijft modellen die getraind zijn om te beslissen welke API's ze aanroepen, wanneer ze dat doen en met welke argumenten [1], of die met enkele voorbeelden worden aangestuurd om redeneren en handelen af te wisselen en externe bronnen te raadplegen [2]. OWASP, dat de lijst met de belangrijkste risico's van toepassingen op basis van taalmodellen bijhoudt, spreekt van "agency": het vermogen om functies aan te roepen of met andere systemen samen te werken via extensies, die leveranciers ook tools, skills of plugins noemen. De keuze welke extensie wordt gestart, kan aan de agent zelf worden overgelaten, die beslist op basis van het verzoek of van het resultaat van een eerdere aanroep [3]. Voor de medewerker wordt de vraag eenvoudig: wat kan deze agent in mijn naam doen, en wie controleert voordat het gebeurt? ## In 30 seconden - Waar het gebeurt: in elke assistent die uw e-mails, uw documenten of webpagina's leest en kan handelen (versturen of verwijderen) zonder dat u bij elke stap klikt [3]. - Wat de aanvaller wil: een instructie verstoppen in inhoud die de agent gaat lezen, zodat die in zijn plaats handelt, bijvoorbeeld door gevoelige e-mails door te sturen [3]. - De reflex: geef de agent het strikte minimum aan rechten, eis uw goedkeuring vóór elke handeling met gevolgen (versturen, verwijderen, publiceren) en lees na wat de agent heeft voorbereid [3]. - Als het al gebeurd is: breng uw beveiligingsteam op de hoogte, met de datum en de tools die op dat moment met de agent verbonden waren. Activiteitenlogboeken van tools helpen om afwijkende handelingen op te sporen [3]. ## Directe vragen ### Waarin verschilt een agent van een gewone chatassistent? Een chatassistent antwoordt. Een agent handelt: hij roept het model herhaaldelijk aan en gebruikt het resultaat van eerdere aanroepen om de volgende te sturen [3]. Elke gekoppelde tool vergroot wat een fout of een manipulatie kan aanrichten. ### Wat is het MCP-protocol? De bronnen die voor dit artikel zijn verzameld, beschrijven MCP niet. Ze gaan over tools, extensies en connectoren in het algemeen, en de hieronder beschreven risico's gelden voor elke manier om een agent aan een tool te koppelen. Het protocol zelf wordt hier dus niet uitgewerkt. ### Wat is een indirecte promptinjectie? Dat is het geval waarin het model instructies ontvangt die verborgen zitten in externe inhoud, zoals een website of een bestand, en zijn gedrag daardoor wijzigt [4]. Onderzoekers toonden in 2023 aan dat deze route aanvallen op afstand mogelijk maakt, zonder directe interface, op toepassingen die een model integreren, door de instructies te plaatsen in gegevens die kunnen worden opgehaald [5]. De aanvaller hoeft geen toegang tot de AI te hebben: hij schrijft iets wat de AI uiteindelijk zal lezen [6]. De tekst kan zelfs onzichtbaar zijn voor een mens, zolang het model hem interpreteert [4]. ### Kun je deze aanvallen blokkeren met een filter? Niet volledig. OWASP vindt het onzeker of er een waterdichte preventie bestaat [4]. Het Britse NCSC legt uit dat de huidige modellen geen onderscheid maken tussen instructies en gegevens: ze voorspellen alleen het volgende woord. Het schat in dat promptinjectie misschien nooit volledig te verhelpen is, anders dan SQL-injectie, en beveelt aan het risico en de impact te verkleinen [6]. Het waarschuwt ook voor producten die beweren promptinjectie te "stoppen" [6]. ### Wat moet ik nalezen voordat de agent mag handelen? Alles wat buiten uw eigen werkgebied terechtkomt: verzonden e-mails of gedeelde bestanden. OWASP geeft het voorbeeld van een e-mailverzending waarbij de gebruiker elk door de agent opgesteld bericht naleest en goedkeurt [3]. ## Hoe het werkt Een toepassing geeft het model een set tools en laat het model vervolgens kiezen welke het aanroept [3]. De instructies van de ontwikkelaar en de te verwerken inhoud (een e-mail, een pagina, een bestand) komen binnen in één invoer. De huidige agents berusten doorgaans op deze vermenging van vertrouwde instructies en onbetrouwbare gegevens [7]. Het NCSC trekt hieruit een praktische conclusie. Wanneer de agent tools of API's aanroept op basis van wat het model zegt, krijgt een aanvaller die het model manipuleert het equivalent van directe toegang tot die tools, met het worstcasescenario dat daarbij hoort [6]. ## Wat u doet OWASP somt de maatregelen op die de overmatige macht van een agent beperken. U beheert de configuratie ervan niet altijd, maar u kunt ze vragen aan het team dat de tool uitrolt. - Minder tools: als de agent geen webadres hoeft te lezen, krijgt hij die functie niet [3]. - Minder functies: een extensie die e-mails samenvat, hoeft ze alleen te lezen, niet te verwijderen of te versturen [3]. - Liever nauwkeurige tools dan open tools, zoals "een opdracht uitvoeren": met die laatste kan elke andere opdracht worden gestart [3]. - Minder rechten: een tool die een database leest, mag niet verbinden met een identiteit die ook kan wijzigen of verwijderen [3]. - Handelen met uw eigen rechten, niet met een algemeen account met veel privileges. Voor een coderepository noemt OWASP een OAuth-verbinding met de kleinst mogelijke reikwijdte [3]. - Menselijke goedkeuring vragen voor handelingen met grote impact [3]. - De activiteit van tools vastleggen om afwijkende handelingen op te sporen, en de snelheid beperken om het aantal ongewenste handelingen binnen een tijdsbestek te verkleinen [3]. Het NCSC stelt een eenvoudige regel voor: wanneer een model informatie van een derde verwerkt, dalen zijn privileges tot die van die derde. Een agent die e-mails van externe personen leest, mag dus geen toegang hebben tot tools met hoge privileges [6]. Aan de kant van het platform beschrijft Microsoft voor Copilot Studio controles die alleen voor beheerders bedoeld zijn: gegevensbeleid voor connectoren, acties en HTTP-verzoeken, analyse van de afhankelijkheden van connectoren vóór de uitrol, auditlogboeken, en de mogelijkheid om het publiceren van agents die generatieve AI gebruiken uit te schakelen. Ontwerpers van agents kunnen tools ook zo instellen dat ze draaien met de inloggegevens van de gebruiker [8]. ## De valkuilen - De agent met te veel rechten. OWASP onderscheidt drie oorzaken: te veel functies, te veel rechten, te veel autonomie [3]. Een extensie die tijdens de ontwikkeling is uitgeprobeerd en daarna is verlaten, kan toegankelijk blijven voor de agent [3]. Een extensie van een derde die is gekozen om documenten te lezen, kan ze mogelijk ook wijzigen en verwijderen [3]. - De instructie verstopt in een e-mail. In het voorbeeld van OWASP zet een gemanipuleerde binnenkomende e-mail een mailassistent ertoe aan de inbox te doorzoeken en gevoelige informatie door te sturen naar de aanvaller [3]. - De afbeelding die het gesprek laat uitlekken. Een gebruiker vraagt de AI een pagina samen te vatten met verborgen instructies, waardoor de AI een afbeelding invoegt die naar een adres verwijst: zo verlaat het privégesprek het systeem [4]. - Het gewijzigde document in een kennisbank. Als een aanvaller een document aanpast dat een toepassing met retrieval-augmented generation gebruikt, kan het antwoord van de AI misleidend worden [4]. - De keten tussen tools. Een injectie kan komen van een eerdere aanroep van een gecompromitteerde extensie, of van een andere gecompromitteerde agent in een systeem met meerdere agents [3]. - De enkele test die ten onrechte geruststelt. NIST merkt op dat een model bestand kan zijn tegen reeds bekende aanvallen en toch bezwijkt voor aanvallen die voor het model zijn ontworpen [7]. ## Echte gevallen ### Februari 2023: demonstratie op Bing Chat en codeassistenten Onderzoekers, onder wie Kai Greshake en Sahar Abdelnabi, dienden op 23 februari 2023 een artikel in dat indirecte injectieaanvallen toont tegen echte systemen, waaronder de op GPT-4 gebaseerde Bing Chat en engines voor het aanvullen van code. Volgens hen kan het verwerken van een opgehaalde prompt neerkomen op het uitvoeren van willekeurige code en kan het bepalen of en hoe andere API's worden aangeroepen. Ze constateren dat er op dat moment geen doeltreffende tegenmaatregelen waren [5]. ### Januari 2025: de evaluatie van agent-hijacking door NIST Op 17 januari 2025 publiceerde het Center for AI Standards and Innovation van NIST zijn tests van agent-hijacking op het AgentDojo-kader. Aanvallen die speciaal voor het geteste model waren ontworpen, gingen van 11 % succes (de beste referentieaanval) naar 81 % [7]. Bij vijf injectietaken, waaronder het sturen van een authenticatiecode naar een derde en het uitvoeren van een kwaadaardig script, was het gemiddelde succes 57 % met één poging en 80 % met 25 pogingen per aanval [7]. Het ging om gesimuleerde omgevingen, niet om incidenten in een bedrijf [7]. ## Bronnen 1. arXiv, “Toolformer: Language Models Can Teach Themselves to Use Tools”, 9 februari 2023. https://arxiv.org/abs/2302.04761 (geraadpleegd op 3 november 2026) 2. arXiv, “ReAct: Synergizing Reasoning and Acting in Language Models”, 6 oktober 2022. https://arxiv.org/abs/2210.03629 (geraadpleegd op 3 november 2026) 3. OWASP, “LLM06:2025 Excessive Agency”. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (geraadpleegd op 3 november 2026) 4. OWASP, “LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (geraadpleegd op 3 november 2026) 5. arXiv, “Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection”, 23 februari 2023. https://arxiv.org/abs/2302.12173 (geraadpleegd op 3 november 2026) 6. NCSC (Royaume-Uni), “Prompt injection is not SQL injection (it may be worse)”, 8 december 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (geraadpleegd op 3 november 2026) 7. NIST, “Technical Blog: Strengthening AI Agent Hijacking Evaluations”, 17 januari 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (geraadpleegd op 3 november 2026) 8. Microsoft, “Security and governance - Microsoft Copilot Studio”. https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.