In AI-systemen betekent MCP Model Context Protocol: een contract voor hoe een model tools aanroept. Wat het mag zien. Wat het mag wijzigen. Hoe de aanroep wordt vastgelegd.
Dat is de volledige definitie. De rest is het beperken van de schade.
Hier gaat MCP over het AI-protocol, niet over Microsoft Certified Professional of het Master Control Program van Burroughs.
Geen product, geen contacten-app, geen agent
MCP is geen software die je koopt. Het is geen CRM. Het is niet de medewerker. Een AI-agent heeft nog steeds een charter nodig. MCP is de manier waarop die medewerker het gebouw mag aanraken.
De officiële scheiding is host, client en server. De host is de applicatie (Claude Desktop, Claude Code, VS Code en andere). De host opent één client per server. De server is een programma dat context aanbiedt. Dat kan op dezelfde machine over stdio, of op afstand over Streamable HTTP. Het protocol verplaatst context. Het schrijft de host niet voor hoe die het model inzet.
Wat een server werkelijk doet
Een server biedt drie primitieven aan.
- Tools zijn handelingen, en ze worden bestuurd door het model: het model bepaalt wanneer het er een aanroept. Ze kunnen schrijven. Mail versturen, een bestand wijzigen, een API aanroepen, geld verplaatsen als je het zo hebt aangesloten.
- Resources zijn leesacties, en ze worden bestuurd door de applicatie: de host bepaalt wat er wordt binnengehaald. Een schema, een bestand, een log, een klantrecord.
- Prompts zijn herbruikbare sjablonen, en ze worden bestuurd door de gebruiker: een mens roept ze aan. Een sjabloon is geen permissie.
Die besturingskolom is precies wat mensen overslaan. Het is het verschil tussen “een mens koos hiervoor” en “het model koos, en niemand is iets gevraagd”.
Het verkeer gaat niet één kant op. Met elicitation kan een server de client vragen extra input bij de gebruiker op te halen. Oudere uitleg over MCP noemt daarnaast roots en sampling. Beide zijn afgeschaft per protocolversie 2026-07-28, en roots handhaafde nooit een veiligheidsgrens. Bouw geen nieuw permissiemodel op een van beide.
Dat is de hele taak. Een “bekende MCP-server” is gewoon een programma dat dit contract spreekt voor één plak van de wereld: bestanden, git, de klok, een geheugen in de vorm van een knowledge graph. Niet alles wat een model kan aanroepen is een MCP-server. Een REST API met een OpenAPI-bestand is een API, en die in een functiedefinitie wikkelen maakt er geen MCP van. Het MCP Registry is de plek waar gepubliceerde servers staan. Het is een catalogus, geen veiligheidskeuring.
Referentieservers, geen boodschappenlijst
Het MCP-project onderhoudt een kleine set referentie-implementaties op GitHub om het protocol en de officiële SDK’s te tonen. De README, gelezen op 2026-08-27, zegt dat ze educatief zijn en niet productieklaar. Beoordeel je eigen plafond.
De actuele referentieservers in die repository:
- Filesystem. Bestandsbewerkingen binnen een map die jij toestaat. Lezen en schrijven zitten hier bij elkaar. Behandel schrijven als een poort.
- Fetch. Webinhoud ophalen in een vorm die een model kan lezen.
- Git. Een repository lezen en wijzigen.
- Memory. Een kleine opslag in de vorm van een knowledge graph waar het model in kan bewaren. Een graaf is geen plafond.
- Time. Klok en tijdzoneconversie.
- Sequential thinking. Een kladblok met stappen. Geen bestanden, en nog steeds een tool.
- Everything. Een testserver die alle drie de primitieven blootlegt.
Andere voormalige referentieservers in die repository zijn gearchiveerd. Een opvolger van een derde partij elders wordt daarmee geen officiële referentie. Gebruik het registry als catalogus en beoordeel de server daarna zelf.
ReasonKit hoort bij deze site en is geen officiële referentie. Dezelfde regel als bij elke andere server: zichtbaarheid, mutatie, log.
Drie dingen om te lezen
Open de server. Officieel of zelfgebouwd. Dezelfde kaart.
- Zichtbaarheid. Wat kan hij zien?
- Mutatie. Wat kan hij wijzigen, versturen, uitgeven of verwijderen?
- Log. Kun je de aanroep terugspelen nadat het misging?
Test die kaart: lees één toegestaan bestand, probeer één verboden leesactie, doe één schrijfactie in proefmodus, en vind daarna alle drie de pogingen terug in de log. Een poging die onverwacht slaagt of een spoor dat ontbreekt, betekent dat de review is gezakt.
Staat de permissie in een Slack-thread, dan heb je geen contract. Lokale servers kunnen leunen op de grenzen van proces, bestandssysteem en sandbox; servers op afstand voegen daar autorisatie op het transport aan toe. Hoe dan ook: minimale rechten zijn jouw operationele ontwerp, geen eigenschap van de afkorting.
Twee pagina’s
MCP uitgelegd voor ondernemers is de langere operationele notitie: hoe ver de schade reikt, de log van dinsdag, de review van een kwartier. Mens in de lus betekenis gaat over wie de aanroep mag goedkeuren zodra het contract hem toestaat. Deze pagina is de definitie plus wat een server is.
STACK is de plek waar die contracten leven in een repository die mensen en agents delen. De agentische codebase is live. Je hebt de hardcover niet nodig om een anonieme tool te weigeren.