Cyberpediadoor Brain
NLDEENESFRIT

AI-agents, tools en het MCP-protocol

Een AI-agent roept in uw plaats tools aan: mail, bestanden, API's. Wat er mis kan gaan en hoe u de rechten van de agent beperkt.

In 30 seconden

Waar het gebeurt
In elke assistent die uw e-mails, uw documenten of webpagina's leest en kan handelen (versturen of verwijderen) zonder dat u bij elke stap klikt3.
Wat de aanvaller wil
Een instructie verstoppen in inhoud die de agent gaat lezen, zodat die in zijn plaats handelt, bijvoorbeeld door gevoelige e-mails door te sturen3.
De reflex
Geef de agent het strikte minimum aan rechten, eis uw goedkeuring vóór elke handeling met gevolgen (versturen, verwijderen, publiceren) en lees na wat de agent heeft voorbereid3.
Als het al gebeurd is
Breng uw beveiligingsteam op de hoogte, met de datum en de tools die op dat moment met de agent verbonden waren. Activiteitenlogboeken van tools helpen om afwijkende handelingen op te sporen3.

Waar gaat het over

Een AI-agent is een taalmodel dat tools heeft gekregen: een mailbox lezen, bestanden openen, een website doorbladeren, een API aanroepen. Onderzoek uit 2022 en 2023 beschrijft modellen die getraind zijn om te beslissen welke API's ze aanroepen, wanneer ze dat doen en met welke argumenten1, of die met enkele voorbeelden worden aangestuurd om redeneren en handelen af te wisselen en externe bronnen te raadplegen2.

OWASP, dat de lijst met de belangrijkste risico's van toepassingen op basis van taalmodellen bijhoudt, spreekt van "agency": het vermogen om functies aan te roepen of met andere systemen samen te werken via extensies, die leveranciers ook tools, skills of plugins noemen. De keuze welke extensie wordt gestart, kan aan de agent zelf worden overgelaten, die beslist op basis van het verzoek of van het resultaat van een eerdere aanroep3. Voor de medewerker wordt de vraag eenvoudig: wat kan deze agent in mijn naam doen, en wie controleert voordat het gebeurt?

Directe vragen

Waarin verschilt een agent van een gewone chatassistent?

Een chatassistent antwoordt. Een agent handelt: hij roept het model herhaaldelijk aan en gebruikt het resultaat van eerdere aanroepen om de volgende te sturen3. Elke gekoppelde tool vergroot wat een fout of een manipulatie kan aanrichten.

Wat is het MCP-protocol?

De bronnen die voor dit artikel zijn verzameld, beschrijven MCP niet. Ze gaan over tools, extensies en connectoren in het algemeen, en de hieronder beschreven risico's gelden voor elke manier om een agent aan een tool te koppelen. Het protocol zelf wordt hier dus niet uitgewerkt.

Wat is een indirecte promptinjectie?

Dat is het geval waarin het model instructies ontvangt die verborgen zitten in externe inhoud, zoals een website of een bestand, en zijn gedrag daardoor wijzigt4. Onderzoekers toonden in 2023 aan dat deze route aanvallen op afstand mogelijk maakt, zonder directe interface, op toepassingen die een model integreren, door de instructies te plaatsen in gegevens die kunnen worden opgehaald5. De aanvaller hoeft geen toegang tot de AI te hebben: hij schrijft iets wat de AI uiteindelijk zal lezen6. De tekst kan zelfs onzichtbaar zijn voor een mens, zolang het model hem interpreteert4.

Kun je deze aanvallen blokkeren met een filter?

Niet volledig. OWASP vindt het onzeker of er een waterdichte preventie bestaat4. Het Britse NCSC legt uit dat de huidige modellen geen onderscheid maken tussen instructies en gegevens: ze voorspellen alleen het volgende woord. Het schat in dat promptinjectie misschien nooit volledig te verhelpen is, anders dan SQL-injectie, en beveelt aan het risico en de impact te verkleinen6. Het waarschuwt ook voor producten die beweren promptinjectie te "stoppen"6.

Wat moet ik nalezen voordat de agent mag handelen?

Alles wat buiten uw eigen werkgebied terechtkomt: verzonden e-mails of gedeelde bestanden. OWASP geeft het voorbeeld van een e-mailverzending waarbij de gebruiker elk door de agent opgesteld bericht naleest en goedkeurt3.

1Hoe het werkt1 min

Een toepassing geeft het model een set tools en laat het model vervolgens kiezen welke het aanroept3. De instructies van de ontwikkelaar en de te verwerken inhoud (een e-mail, een pagina, een bestand) komen binnen in één invoer. De huidige agents berusten doorgaans op deze vermenging van vertrouwde instructies en onbetrouwbare gegevens7.

Het NCSC trekt hieruit een praktische conclusie. Wanneer de agent tools of API's aanroept op basis van wat het model zegt, krijgt een aanvaller die het model manipuleert het equivalent van directe toegang tot die tools, met het worstcasescenario dat daarbij hoort6.

2Wat u doet2 min

OWASP somt de maatregelen op die de overmatige macht van een agent beperken. U beheert de configuratie ervan niet altijd, maar u kunt ze vragen aan het team dat de tool uitrolt.

  • Minder tools: als de agent geen webadres hoeft te lezen, krijgt hij die functie niet3.
  • Minder functies: een extensie die e-mails samenvat, hoeft ze alleen te lezen, niet te verwijderen of te versturen3.
  • Liever nauwkeurige tools dan open tools, zoals "een opdracht uitvoeren": met die laatste kan elke andere opdracht worden gestart3.
  • Minder rechten: een tool die een database leest, mag niet verbinden met een identiteit die ook kan wijzigen of verwijderen3.
  • Handelen met uw eigen rechten, niet met een algemeen account met veel privileges. Voor een coderepository noemt OWASP een OAuth-verbinding met de kleinst mogelijke reikwijdte3.
  • Menselijke goedkeuring vragen voor handelingen met grote impact3.
  • De activiteit van tools vastleggen om afwijkende handelingen op te sporen, en de snelheid beperken om het aantal ongewenste handelingen binnen een tijdsbestek te verkleinen3.

Het NCSC stelt een eenvoudige regel voor: wanneer een model informatie van een derde verwerkt, dalen zijn privileges tot die van die derde. Een agent die e-mails van externe personen leest, mag dus geen toegang hebben tot tools met hoge privileges6.

Aan de kant van het platform beschrijft Microsoft voor Copilot Studio controles die alleen voor beheerders bedoeld zijn: gegevensbeleid voor connectoren, acties en HTTP-verzoeken, analyse van de afhankelijkheden van connectoren vóór de uitrol, auditlogboeken, en de mogelijkheid om het publiceren van agents die generatieve AI gebruiken uit te schakelen. Ontwerpers van agents kunnen tools ook zo instellen dat ze draaien met de inloggegevens van de gebruiker8.

3De valkuilen1 min
  • De agent met te veel rechten. OWASP onderscheidt drie oorzaken: te veel functies, te veel rechten, te veel autonomie3. Een extensie die tijdens de ontwikkeling is uitgeprobeerd en daarna is verlaten, kan toegankelijk blijven voor de agent3. Een extensie van een derde die is gekozen om documenten te lezen, kan ze mogelijk ook wijzigen en verwijderen3.
  • De instructie verstopt in een e-mail. In het voorbeeld van OWASP zet een gemanipuleerde binnenkomende e-mail een mailassistent ertoe aan de inbox te doorzoeken en gevoelige informatie door te sturen naar de aanvaller3.
  • De afbeelding die het gesprek laat uitlekken. Een gebruiker vraagt de AI een pagina samen te vatten met verborgen instructies, waardoor de AI een afbeelding invoegt die naar een adres verwijst: zo verlaat het privégesprek het systeem4.
  • Het gewijzigde document in een kennisbank. Als een aanvaller een document aanpast dat een toepassing met retrieval-augmented generation gebruikt, kan het antwoord van de AI misleidend worden4.
  • De keten tussen tools. Een injectie kan komen van een eerdere aanroep van een gecompromitteerde extensie, of van een andere gecompromitteerde agent in een systeem met meerdere agents3.
  • De enkele test die ten onrechte geruststelt. NIST merkt op dat een model bestand kan zijn tegen reeds bekende aanvallen en toch bezwijkt voor aanvallen die voor het model zijn ontworpen7.
4Echte gevallen1 min

Februari 2023: demonstratie op Bing Chat en codeassistenten

Onderzoekers, onder wie Kai Greshake en Sahar Abdelnabi, dienden op 23 februari 2023 een artikel in dat indirecte injectieaanvallen toont tegen echte systemen, waaronder de op GPT-4 gebaseerde Bing Chat en engines voor het aanvullen van code. Volgens hen kan het verwerken van een opgehaalde prompt neerkomen op het uitvoeren van willekeurige code en kan het bepalen of en hoe andere API's worden aangeroepen. Ze constateren dat er op dat moment geen doeltreffende tegenmaatregelen waren5.

Januari 2025: de evaluatie van agent-hijacking door NIST

Op 17 januari 2025 publiceerde het Center for AI Standards and Innovation van NIST zijn tests van agent-hijacking op het AgentDojo-kader. Aanvallen die speciaal voor het geteste model waren ontworpen, gingen van 11 % succes (de beste referentieaanval) naar 81 %7. Bij vijf injectietaken, waaronder het sturen van een authenticatiecode naar een derde en het uitvoeren van een kwaadaardig script, was het gemiddelde succes 57 % met één poging en 80 % met 25 pogingen per aanval7. Het ging om gesimuleerde omgevingen, niet om incidenten in een bedrijf7.

Fiche

Identificatie
CP-264
Vleugel
4. Kunstmatige intelligentie
Brain-competentie
AI beheersen (master_ai)
Brain-reflex
air-048
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
  1. arXiv, “Toolformer: Language Models Can Teach Themselves to Use Tools”, 9 februari 2023. https://arxiv.org/abs/2302.04761 (geraadpleegd op 3 november 2026)
  2. arXiv, “ReAct: Synergizing Reasoning and Acting in Language Models”, 6 oktober 2022. https://arxiv.org/abs/2210.03629 (geraadpleegd op 3 november 2026)
  3. OWASP, “LLM06:2025 Excessive Agency”. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (geraadpleegd op 3 november 2026)
  4. OWASP, “LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (geraadpleegd op 3 november 2026)
  5. arXiv, “Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection”, 23 februari 2023. https://arxiv.org/abs/2302.12173 (geraadpleegd op 3 november 2026)
  6. NCSC (Royaume-Uni), “Prompt injection is not SQL injection (it may be worse)”, 8 december 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (geraadpleegd op 3 november 2026)
  7. NIST, “Technical Blog: Strengthening AI Agent Hijacking Evaluations”, 17 januari 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (geraadpleegd op 3 november 2026)
  8. Microsoft, “Security and governance - Microsoft Copilot Studio”. https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “AI-agents, tools en het MCP-protocol”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/

BibTeX 
@misc{brain_cp264_nl_2026,
  author = {Brain},
  title = {AI-agents, tools en het MCP-protocol},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0