Het MCP-ecosysteem Groeide Snel — Beveiliging Niet
Het Model Context Protocol werd eind 2024 gelanceerd. In minder dan 18 maanden werd het de standaardmanier om AI-tools te verbinden met externe systemen. Tegen maart 2026 omvat het ecosysteem databaseconnectoren, bestandsservers, GitHub-bruggen, Slack-clients, e-mailtools en honderden domeinspecifieke servers.
De groeicurve is steil. Het beveiligingsplaatje niet.
Per maart 2026 staan meer dan 8.000 MCP-servers op het publieke internet. Onderzoekers vonden 492 zonder enige authenticatie — geen API-sleutel, geen OAuth, geen IP-filter. Elke HTTP-client kan ze aanroepen. 36,7% van de bemonsterde servers is open voor SSRF (Server-Side Request Forgery). Dat betekent dat een aanvaller die tool-invoer beheerst, interne netwerkbronnen kan bereiken.
In dezelfde periode werden 30+ CVE's ingediend in 60 dagen. Dat tempo toont zowel hoe nieuw het ecosysteem is als hoeveel aandacht het krijgt van onderzoekers.
Waarom het Protocol PII-risico Creëert
MCP geeft AI-assistenten de bevoegdheid om op data te handelen. Dat is ook waarom het een PII-risico is.
Wanneer een ontwikkelaar Cursor of Claude Desktop gebruikt met een databaseconnector, schrijft de AI SQL vanuit gewone taal. Die queries geven echte rijen terug — namen, e-mailadressen, betalingsgegevens of andere PII. Die gegevens verplaatsen zich door een keten:
- Databaseserver → contextvenster van AI-assistent
- Contextvenster → logsystemen van modelleverancier
- Gespreksgeschiedenis → lokale machine van ontwikkelaar
- Debugsessies → andere AI-tools wanneer de ontwikkelaar context plakt
Geen van deze stappen is een inbreuk. Ze zijn hoe het systeem werkt. Maar PII belandt op meerdere plekken die er niet voor zijn gebouwd, vaak zonder versleuteling tussen server en AI-client.
CVE-2026-25253 (CVSS 8,8), gepubliceerd in februari 2026, toonde één aanvalspad. Een kwaadaardig eindpunt kon verborgen instructies injecteren in zijn reacties. Die instructies gaven de verbonden AI opdracht gegevens op te halen uit andere actieve tools. Een ontwikkelaar die een slecht community-eindpunt naast zijn eigen databaseconnector gebruikt, kon de hele database laten lekken.
De 492 Zero-Auth-servers
De 492 open servers zijn een ander probleem dan CVE-2026-25253. Ze werden niet gehackt. Ze waren verkeerd geconfigureerd.
De meeste waren bedoeld om lokaal te draaien. Iemand stelde ze bloot via port forwarding of een clouddeploy zonder toegangscontroles.
Wat deze servers vaak blootleggen:
- Bestandssysteemtools met leestoegang tot thuismappen
- Databaseconnectoren met live credentials in de configuratie
- E-mailtools gekoppeld aan echte inboxen
- Code-uitvoeringstools — willekeurige code, geen auth, geen limieten
De ontwikkelaars hadden ze vrijwel zeker niet bedoeld bloot te stellen. Maar Cursor en Claude Desktop verbinden met elke URL in de configuratie. Er is geen ingebouwde controle of een host lokaal of publiek is.
De anonym.legal MCP-oplossing
De structurele fix voor PII-risico in toolpipelines is om gegevens te anonimiseren voordat ze een aanroep bereiken die ze naar een LLM stuurt. Dit is wat de anonym.legal MCP-server biedt.
Hij stelt 7 tools beschikbaar:
| Tool | Doel |
|---|---|
analyze_text | Detecteer PII-entiteiten en geef hun posities en typen terug |
anonymize_text | Verwijder of pseudonimiseer gedetecteerde PII |
deanonymize_text | Keer pseudonimisering om met uw versleutelingssleutel |
anonymize_batch | Verwerk meerdere teksten in één aanroep |
get_supported_entities | Geef alle 285+ entiteitstypen voor een bepaalde taal |
get_supported_languages | Geef alle 48 ondersteunde talen |
health_check | Verifieer connectiviteit |
Wanneer een AI-assistent zowel de anonym.legal-server als een databaseconnector geconfigureerd heeft, kan de ontwikkelaar instrueren: "Roep anonymize_text aan op het resultaat voordat klantgegevens worden getoond." De AI regelt de orkestratie. PII bereikt de zichtbare uitvoer of gespreksgeschiedenis nooit in identificeerbare vorm.
Cursor IDE-configuratie
Om de anonym.legal-server toe te voegen aan Cursor:
// .cursor/mcp.json
{
"mcpServers": {
"anonym-legal": {
"url": "https://anonym.legal/mcp",
"transport": "sse",
"headers": {
"Authorization": "Bearer UW_API_SLEUTEL"
}
}
}
}
Eenmaal geconfigureerd kunt u Cursor vragen: "Analyseer dit supportticket op PII voordat ik het in de tracker plak." Cursor roept analyze_text aan, geeft de entiteitslijst terug en u beslist of u anonimiseert voor het plakken.
Claude Desktop-configuratie
// claude_desktop_config.json
{
"mcpServers": {
"anonym-legal": {
"command": "npx",
"args": ["-y", "@anonym-legal/mcp-server"],
"env": {
"ANONYM_API_KEY": "UW_API_SLEUTEL"
}
}
}
}
Met deze configuratie kan Claude Desktop elke tekst anonimiseren voordat die wordt opgenomen in tool-aanroepen die naar andere servers worden gestuurd. De anonimisering vindt plaats in uw sessie. PII bereikt de servers van Anthropic nooit in identificeerbare vorm.
Uw Configuratie Hardenen
Pas naast het gebruik van anonym.legal ook deze stappen toe. Zie ook ons beveiligingsoverzicht en compliancecentrum.
Controleer uw toollijst. Bekijk elk item in uw configuratie. Vraag uzelf voor elk af: vertrouwt u de beheerder? Weet u welke gegevens die tool kan bereiken?
Geef de voorkeur aan lokaal boven extern. Lokale servers draaien via stdio. Ze creëren geen netwerkblootstelling. Gebruik externe servers alleen als er geen lokale optie bestaat.
Controleer authenticatie. Elke externe server moet een API-sleutel of OAuth-token vereisen. Als dat niet zo is, gebruik die server dan niet met echte gebruikersgegevens.
Scheid ontwikkeling van productie. Houd aparte configuraties voor ontwikkelwerk (testgegevens, geen PII) en elke stroom die echte gebruikers raakt.
Schakel auditlogging in. Als het logs ondersteunt, zet die dan aan. Weet welke gegevens door elke aanroep zijn gegaan.
Zie onze MCP-functiepagina voor een volledige lijst van entiteitstypen en talen.
De 30+ CVE's in 60 dagen tonen dat het protocol actief onder de loep wordt genomen. Er komen nieuwe kwetsbaarheden. Maar de kernverdediging — anonimiseer voordat gegevens een LLM-aanroep bereiken — werkt tegen elke specifieke CVE die daarna komt.
Configureer de anonym.legal-server in Cursor →
anonym.legal verwerkt PII-anonimisering server-side met uw versleutelingssleutel. Gepseudonimiseerde gegevens zijn alleen omkeerbaar met die sleutel. Gepubliceerd door anonym.legal, ISO 27001-gecertificeerd.
Bronnen
- Shodan MCP-serverblootstellingsdata, maart 2026 — 8.000+ servers, 492 zonder auth
- CVE-2026-25253, CVSS 8,8, cross-server injectie via Model Context Protocol
- SSRF-data: beveiligingsonderzoeksscan van publiek toegankelijke eindpunten, maart 2026
- Anthropic MCP-specificatie v1.2, sectie beveiligingsoverwegingen