MCP Security Issues: De Verborgen Risico's Die Bedrijven Moeten Aanpakken

Naarmate bedrijven de uitrol van AI-agents opschalen, wordt de infrastructuur die modellen verbindt met echte tools een cruciale beveiligingsgrens. Het Model Context Protocol (MCP) staat centraal in deze verschuiving en maakt gestructureerde interacties mogelijk tussen agents, databronnen en externe systemen. Hoewel het integratie en orchestratie versnelt, introduceert het ook een nieuwe risicolaag die veel organisaties pas net beginnen te begrijpen.

Die kloof tussen de snelheid van adoptie en de paraatheid op het gebied van beveiliging is waar MCP-beveiligingsrisico's ontstaan. De contextprotocol standaardiseert hoe AI-agents verbinding maken met tools en databronnen. Wat het niet doet, is afdwingen hoe die verbindingen worden beveiligd. Authenticatie, toegangsbeheer en audit-logging zijn niet ingebouwd. Organisaties moeten die laag zelf toevoegen, en de meesten hebben dat nog niet gedaan.

Deze gids behandelt wat MCP-beveiligingsrisico's precies zijn, de specifieke kwetsbaarheden die enterprise-deployments op dit moment beïnvloeden, waarom traditionele applicatiebeveiligingstools hier niet mee om kunnen gaan, en hoe een goed beheerde deployment er in de praktijk uitziet.

Agents die op uw infrastructuur werken, hebben meer nodig dan een protocol om veilig te blijven

TrueFoundry's MCP Gateway voegt OAuth-identiteitsinjectie, schema-validatie en PII-redactie toe aan elke tool call van agents

Boek een Demo

Wat Zijn MCP-beveiligingsrisico's?

MCP-beveiligingsrisico's zijn kwetsbaarheden die ontstaan wanneer AI-agents authenticeren, autoriseren en gegevens uitwisselen via MCP-servers zonder een secundaire governance-laag. Hoewel het protocol definieert hoe berichten worden geformatteerd en uitgewisseld tussen clients en servers, zegt het niets over beveiligingshandhaving.

Wanneer teams MCP-servers uitrollen zonder externe controles, creëren ze "open deuren" in hun infrastructuur:

• Niet-geverifieerde Verzoeken: Servers die instructies accepteren zonder de identiteit van de aanroeper te bevestigen.
• Niet-geautoriseerde Tool Calls: Servers die acties uitvoeren (zoals het verwijderen van gegevens) zonder te controleren of de agent hiervoor toestemming heeft.
• Onzichtbare Datalekken: Een gebrek aan audit-trails waardoor beveiligingsteams blind zijn als er iets misgaat.

Trend Micro ontdekte onlangs 492 MCP-servers die waren blootgesteld aan het internet zonder enige vorm van authenticatie. Dit patroon weerspiegelt een gevaarlijke trend: het in hoog tempo adopteren van een protocol vanwege de functionaliteit, zonder een parallelle investering in governance.

Foutieve configuraties vergroten het probleem. Naarmate teams meer servers opzetten in cloud-omgevingen, nemen ze standaardinstellingen die prima waren voor lokale ontwikkeling mee naar productie. Ongecontroleerd AI-agentgedrag doet de rest. De structurele kloof tussen wat het protocol biedt en wat productie-deployments vereisen, is waar kwaadwillenden hun weg naar binnen vinden.

De Belangrijkste MCP-beveiligingsproblemen Die Bedrijven Bedreigen

Het Model Context Protocol fungeert puur als een transportlaag, niet als een ingebouwd beveiligingsframework. Hoewel het standaardiseert hoe AI-systemen verbinding maken met externe tools en data, laat het de bescherming volledig over aan de omliggende infrastructuur. 

Het gevolg is dat wanneer deze controles zwak zijn of ontbreken, enterprise-deployments de neiging hebben om vier terugkerende categorieën beveiligingsrisico's bloot te leggen.

Overmatig Gemachtigde Servertoegang

Ontwikkelaars configureren MCP-servers met brede rechten tijdens het maken van prototypes om autorisatiefouten te voorkomen, wat in strijd is met het principe van minimale privileges (least privilege). Die rechten worden zelden ingeperkt voordat het systeem in productie gaat.

Een AI-agent die is gebouwd om Jira-tickets samen te vatten, kan bijvoorbeeld de inloggegevens bevatten om ze te verwijderen, projecten te sluiten of rechten te wijzigen als de onderliggende server is geconfigureerd met beheerderstoegang en nooit is beperkt.

Wanneer een aanvaller of een geïnjecteerde instructie die agent comprimeert, erft deze de volledige omvang van wat de server kan doen. De schadeomvang wordt bepaald door de mate waarin de toegangscontrole over-geprovisioneerd was, niet door wat de agent daadwerkelijk hoorde te doen.

Prompt Injection Die Leidt Tot Onbevoegde Acties

Prompt injection in MCP-omgevingen verschilt van eenvoudige manipulatie van chatbots. Wanneer een AI-agent acties kan uitvoeren, leidt een geïnjecteerde instructie niet alleen tot een verkeerd antwoord. Het zet echte operaties in gang op externe systemen.

Kwaadwillenden sluiten instructies in binnen documenten, support-tickets, e-mails of webpagina's die de agent verwerkt. Het Supabase Cursor-incident in juni 2025, waarbij een AI-agent met service-role-toegang support-tickets met SQL-instructies verwerkte, is een duidelijk voorbeeld.  Het las en lekte integratie-tokens naar een openbare thread. Geen netwerkinbreuk. Geen malware. Alleen tekst die de agent als een commando behandelde.

Het GitHub MCP-incident in mei 2025 volgde hetzelfde patroon: indirecte prompt injection in openbare Issues exfiltreerde code uit privé-repositories. 

De OWASP Top 10 voor large language models rangschikt prompt injection om deze reden als de nummer één kwetsbaarheid, waardoor het het primaire MCP-beveiligingsrisico is dat bedrijven op de infrastructuurlaag moeten aanpakken. 

Server-Side Request Forgery (SSRF) en Datalekken

MCP-servers bevinden zich diep in bedrijfsnetwerken, waar ze interne databases, bestandssystemen en cloud-infrastructuur kunnen bereiken. Die positie maakt ze juist zo nuttig. Het is ook wat SSRF gevaarlijk maakt wanneer MCP-beveiligingscontroles ontbreken.

BlueRock Security analyseerde meer dan 7.000 MCP-servers en ontdekte dat 36,7% mogelijk kwetsbaar was voor SSRF. In hun proof of concept tegen Microsoft's MarkItDown MCP-server haalden onderzoekers AWS IAM API-sleutels, geheime sleutels en SSH-sleutels rechtstreeks op uit het EC2-instantie-metadata-eindpunt. De server haalde willekeurige URL's op zonder validatie.

Een gecompromitteerde AI-agent die een voor SSRF kwetsbare server gebruikt, hoeft niet rechtstreeks door uw perimeter te breken. Het geeft de server de opdracht om interne bronnen op te halen en brengt gevoelige gegevens naar buiten via een uitgaande respons. Van daaruit kunnen kwaadwillenden de interne architectuur in kaart brengen en extra toegangspunten vinden.

Raadpleeg onze gids over de beste MCP-beveiligingstools voor een diepgaandere analyse van tools en mitigatiestrategieën.

Gefractioneerde Wildgroei Van Inloggegevens

Zonder een gecentraliseerde gateway beheert elke AI-agent zijn eigen inloggegevens. API-sleutels staan in omgevingsvariabelen. OAuth-tokens worden opgeslagen in de configuratiebestanden. Langdurige statische geheimen hopen zich op over verschillende servers, omdat het roteren ervan vereist dat elke plek waar ze staan moet worden opgespoord.

CVE-2025-6514 in mcp-remote, een OAuth-proxy met meer dan 558.000 downloads, toonde de supply chain-dimensie van MCP-beveiligingsrisico's aan. Een kwaadwillende MCP-server kon een speciaal geprepareerde autorisatie-URL sturen die mcp-remote rechtstreeks doorgaf aan de systeem-shell, wat leidde tot remote code execution en het blootleggen van elke inloggegeven op die machine.

Veel MCP-servers slaan service-tokens op in platte tekst of in het geheugen. Een enkele gecompromitteerde server lekt elk token dat deze bevat. Wanneer inloggegevens verspreid zijn, is er geen centrale plek om ze te roteren en geen betrouwbare manier om te verifiëren of de rotatie voltooid is.

De Operationele Impact Van Agent-kwetsbaarheden

Beveiligingsteams die te maken hadden met traditionele inbreuken via API-calls hadden duidelijke forensische sporen. Er kwam een verzoek binnen. Het werd gelogd. Je kon herleiden wat er gebeurd was. MCP doorbreekt dat model.

Indirecte prompt injection-aanvallen laten geen duidelijke vingerafdruk achter. De AI-agent gedroeg zich precies zoals de logs suggereren: hij las een document en voerde een tool call uit. Het feit dat het document kwaadaardige prompts bevatte, is onzichtbaar voor monitoringtools die alleen letten op afwijkende netwerkpatronen.

Geheugenvergiftiging (memory poisoning) versterkt dit. Onderzoekers hebben aanvallen gedocumenteerd waarbij kwaadaardige code die gedurende meerdere interacties in de context van een agent werd geïnjecteerd, het gedrag van de agent geleidelijk verandert zonder dat een afzonderlijke interactie verdacht lijkt. Het Vulnerable MCP Project, onderhouden door 32 onderzoekers van SentinelOne, Snyk, Trail of Bits en CyberArk, volgt nu 50 kwetsbaarheden in het MCP-ecosysteem, waarvan 13 kritiek.

Het Cisco State of AI Security 2026-rapport wees uit dat slechts 29% van de organisaties zich voorbereid voelt om agentic AI-applicaties te beveiligen. De overige 71% maakt gebruik van AI-agents die ze niet goed kunnen controleren, wat aanzienlijke beveiligingsrisico's creëert voor hun externe databronnen en bestandssysteemtoegang.

Waarom Traditionele Beveiligingstools Tekortschieten

De meeste bedrijven passen eerst bestaande beveiligingsinfrastructuur toe op MCP-deployments. Het werkt niet, en begrijpen waarom is belangrijk voordat u kiest waarmee u het gaat vervangen.

Legacy API Gateways Missen Semantische Context

Traditionele API gateways inspecteren HTTP-verkeer. Ze controleren headers, dwingen rate-limiting af en verifiëren authenticatietokens op de transportlaag. Ze kunnen de inhoud van de invoer van een gebruiker niet lezen om te bepalen of de instructie die deze bevat legitiem is of geïnjecteerd.

Een taak van een AI-agent die 20 opeenvolgende tool calls activeert, ziet er op netwerkniveau uit als 20 geauthenticeerde HTTP-verzoeken. Geen van hen heeft een rate-limiting-drempel overschreden. Geen enkele faalt op header-controles. De gateway ziet alleen maar schoon verkeer. De indirecte prompt injection vond drie lagen hoger plaats, in een document dat de agent heeft verwerkt.

Het schrijven van aangepaste middleware om legacy gateways bewust te maken van AI-assistenten is een doodlopende weg. Het vereist constant onderhoud naarmate het gedrag van agents evolueert, wat leidt tot een kwetsbare dekking waar kwaadwillenden omheen kunnen werken. 

SaaS AI-platformen Introduceren Risico's Op Het Gebied Van Data-egress

Beheerde AI-applicatie-orchestratieplatformen lossen het deployment-probleem op, maar creëren een ander probleem. Wanneer intern MCP-verkeer via een SaaS-laag van derden wordt geleid om beveiligingscontroles toe te passen, verlaten uw vertrouwelijke data, externe data, tool-verzoeken en AI-agent-outputs bij elke interactie uw netwerkperimeter.

Voor de gezondheidszorg, financiële dienstverlening of overheidsinstanties is dat een schending van de compliance, ongeacht of de SaaS-leverancier betrouwbaar is. HIPAA staat niet toe dat PHI door niet-goedgekeurde infrastructuur van derden reist. AVG/GDPR vereist aantoonbare controle over waar gebruikersgegevens naartoe stromen. Een SaaS-routinglaag doorbreekt beide.

Deze platformen hebben ook de neiging om de functies die u daadwerkelijk nodig hebt — robuuste beveiligingscontroles waaronder RBAC, audit-logging en toegangsbeheer per tool — achter enterprise-prijsklassen te vergrendelen. De beveiligingsstatus die u kunt handhaven, hangt af van uw contractniveau. 

Uw beveiligingsteam verdient volledige zichtbaarheid in elke tool call van agents

Krijg OpenTelemetry-compliant audit-trails, RBAC op tool-niveau en logging die klaar is voor compliance

Boek een Demo

Hoe Lost TrueFoundry MCP-beveiligingsproblemen Op?

TrueFoundry's benadering van MCP-beveiliging is het afdwingen van beveiligingscontroles op de infrastructuurlaag, binnen uw eigen omgeving, niet via die van iemand anders. De MCP-gateway wordt volledig binnen uw AWS-, GCP- of Azure-account uitgerold. 

Elk AI-agentverzoek, elke tool call en elke modelinteractie blijft binnen uw netwerkgrens, wat aanzienlijke beveiligingsrisico's door toegang tot externe systemen en data-oplossing aanpakt zonder uitzonderingen op het gebied van compliance. 

Beheerde Gateway Binnen Uw VPC

Al het MCP-verkeer blijft binnen uw perimeter. Geen discovery-verzoeken, tool-payloads of AI-agent-outputs worden via externe infrastructuur geleid. Dit elimineert het risico van data-egress dat gepaard gaat met via SaaS geleide platformen en voldoet zonder uitzonderingsprocessen of compenserende maatregelen aan de vereisten voor datalocatie in gereguleerde sectoren.

Innovaccer verwerkt maandelijks ongeveer 17 miljoen AI-inferentieverzoeken voor klinische workflows onder HIPAA, volledig binnen hun AWS GovCloud-omgeving. Elke interactie blijft binnen hun cloud-grens. Auditbewijs bevindt zich in hun eigen logs, gereed voor elke auditor die erom vraagt. Dit is hoe MCP-beveiliging best practices eruitziet op enterprise-schaal.

RBAC-handhaving Per Server

Toegangsbeheerbeleid wordt afgedwongen op tool-niveau voordat verzoeken een model of MCP-server bereiken, waarbij MCP-beveiligings-best practices worden geïmplementeerd via de TrueFoundry AI gateway. Een AI-agent voor klantenservice ziet CRM-zoektools. Het ziet geen schrijfoperaties in de database. Een financieel agent kan betalingsgegevens opvragen, maar kan geen uitgaande overschrijvingen starten.

TrueFoundry integreert met Okta, Azure AD en aangepaste SSO-configuraties. AI-agents erven de exacte rechten van de verzoekende gebruiker via OAuth 2.0 On-Behalf-Of-flows. Geen gedeelde service-accounts. Elke tool call wordt toegeschreven aan een specifieke menselijke identiteit, wat het "confused deputy"-probleem oplost dat de adoptie van MCP in gereguleerde industrieën zo uitdagend maakt.

Volledige Audit-logging Mogelijkheden

Elk verzoek wordt gelogd met volledige metadata: gebruikersidentiteit, AI-agentidentiteit, model, tool, argumenten, respons, latentie, kosten en elk toegepast beleid. Logs zijn gestructureerd, worden bewaard in uw eigen omgeving en zijn exporteerbaar in JSON-formaat voor integratie in Grafana, Splunk, Datadog of een bestaande observability-pipeline.

Innovaccer gebruikt de OpenTelemetry-output van TrueFoundry om Grafana-dashboards in productie te voeden. Wanneer een SOC 2-auditor vraagt om bewijs van toegangsbeheer of een HIPAA-beoordeling bewijs vereist van de verwerking van gevoelige informatie, staat het antwoord in hun eigen logs en kan het onmiddellijk worden verstrekt, zonder te vertrouwen op een platform van derden voor MCP-beveiligingsbewijs.

Virtuele Server-abstracties

Backend tool-implementaties bevinden zich achter een virtuele abstractielaag in het register, wat beschermt tegen supply chain MCP-beveiligingsrisico's. Wanneer de onderliggende service van een tool verandert, of wanneer een gecompromitteerde MCP-toolinstantie moet worden vervangen, vindt de wijziging plaats op registerniveau zonder dat er een AI-agent hoeft te worden aangeraakt die ervan afhankelijk is.

Dit pakt ook het probleem van tool-vergiftiging (tool poisoning) aan. Tooldefinities zijn versiebeheerd via het register. Een tool die na installatie de metadata van zijn toolbeschrijvingen stilzwijgend aanpast, is detecteerbaar omdat het register een historie bijhoudt van hoe elke tool er bij registratie uitzag. Dit sluit de MCP-beveiligingsrisico's die ontstaan door kwaadwillende intenties in uit de community afkomstige MCP-componenten.

De TrueFoundry Agent Gateway breidt deze bescherming uit naar multi-agent workflows, waarbij toegangsbeheer per agent en circuit breakers worden afgedwongen die onbedoelde acties stoppen voordat ze over het gehele MCP-ecosysteem escaleren.

Conclusie: Stel Governance In Om Risico's Te Beperken

MCP is gebouwd om AI-agents bekwamer te maken. Beveiliging maakte geen deel uit van het oorspronkelijke ontwerp. Die kloof is waar het bedrijfsrisico zich op dit moment bevindt, en het verdwijnt niet vanzelf. Tussen januari en februari 2026 indienden onderzoekers in 60 dagen tijd 30 CVE's in tegen MCP-infrastructuur. Het protocol groeide sneller dan de beveiligingspraktijken eromheen.

Het dichten van de kloof betekent het toevoegen van de controles die het protocol niet bevat: identiteitsverificatie bij elke verbinding, toegangsbeheer op tool-niveau, gecentraliseerd beheer van inloggegevens, menselijke goedkeuring voor destructieve operaties en gestructureerde audit-logs die in uw eigen omgeving worden bewaard.

TrueFoundry biedt die basis. Governance is ingebouwd in het platform en wordt niet als een add-on geprijsd. Uw data blijft in uw cloud. Uw audit-trail is van u. En u kunt overstappen van een gefragmenteerde verzameling MCP-servers naar een beheerd, auditeerbaar controlepaneel zonder uw agent-architectuur vanaf nul opnieuw op te bouwen.

Boek vandaag nog een demo om aan de slag te gaan.