NIST waarschuwt voor aanvallen via MCP-tools bij AI-agents

Op 9 november 2026 publiceerde het Amerikaanse National Institute of Standards and Technology (NIST) een eerste openbaar concept van Special Publication NIST SP 2400-102e2026, getiteld “Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations”. Volgens het NIST staat de tekst tot 18 december 2026 open voor openbare commentaren. Het concept waarschuwt onder meer voor de toeleveringsketen van de tools die AI-agents aanroepen via het Model Context Protocol (MCP).

Wat is adversarial machine learning en wat dekt het NIST-concept?

Adversarial machine learning (AML) bestudeert aanvallen die machine-learningsystemen opzettelijk manipuleren, en de bijbehorende verdedigingen. Volgens het NIST legt het rapport een taxonomie van concepten vast en definieert het de terminologie van het vakgebied. De taxonomie volgt een conceptuele hiërarchie met de belangrijkste soorten ML-methoden, de levenscyclusfasen van een aanval en de doelen, oogmerken, mogelijkheden en kennis van aanvallers. Het NIST zegt dat ze berust op een uitgebreid literatuuronderzoek, gesprekken met AML-experts en onderzoek van eigen specialisten.

Het concept bouwt volgens de publicatiepagina voort op de historische reeks NIST AI 100-2, die AI 100-2 E2025 als verwante publicatie noemt. De genoemde auteurs zijn Apostol Vassilev en Maia Hamin (NIST), Alina Oprea (Northeastern University), Alie Fordyce (ElevenLabs) en Xander Davies (U.K. AI Security Institute). Deze editie richt zich op aanvallen op agentische systemen en de bijbehorende maatregelen, behandeld in sectie 4 van het rapport, samen met een nieuwe index van agentische aanvalstypen.

Een kanttekening bij de terminologie: de eigen pagina's van het NIST gebruiken de afkorting “SI”, uitgeschreven als “Super Intelligence”, voor de behandelde systemen, terwijl CDO Magazine en iThome het concept beschrijven als gewijd aan agentische AI-systemen. Dit artikel schrijft “AI” en volgt de beschrijving van die twee media.

Welke aanvallen noemt de taxonomie?

Volgens CDO Magazine, dat op 12 november over het concept berichtte, behandelt het document datavergiftiging, modelvergiftiging, privacyaanvallen en ontwijkingstechnieken. Voor generatieve AI omvat het aanvallen op de toeleveringsketen, directe en indirecte promptinjectie, informatie-extractie en modelmanipulatie. Promptinjectie is het verbergen van instructies in een tekst die een model leest, zodat het model ze opvolgt.

Het Taiwanese medium iThome meldde op 13 november dat het concept voorspellende machine learning, generatieve AI en agentische AI-systemen omvat, met bijbehorende verdedigingen. Het agentische deel, aldus CDO Magazine, gaat over dreigingen die ontstaan doordat agents interacteren met externe data, tools, vaardigheden en andere agents: onbetrouwbare data, kwaadaardige tools en vaardigheden, multi-agentworkflows en langlopende taken.

Hoe kan een MCP-tool worden vergiftigd?

Het Model Context Protocol (MCP) is een standaard waarmee AI-agents verbinding maken met externe tools die servers van derden aanbieden. Volgens de samenvatting van iThome beslist een agent op basis van de tekstbeschrijving van de toolaanbieder welke tool hij gebruikt. Het NIST beschrijft een aanvaller die instructies in de beschrijving van een kwaadaardige tool stopt om de agent de tool van de aanvaller te laten kiezen, of zelfs zijn oorspronkelijke plan te laten wijzigen. Het NIST noemt deze techniek toolvergiftiging (tool poisoning).

Een tweede techniek is de “rug pull”, aldus iThome. De aanvaller registreert eerst een ogenschijnlijk normale MCP-server in een openbaar toolregister. Nadat gebruikers die hebben geïnstalleerd, wijzigt hij heimelijk de toolbeschrijvingen van de server, zodat de agent kwaadaardige handelingen uitvoert zonder opnieuw toestemming van de gebruiker te vragen.

iThome voegt toe dat onderzoek dat het NIST aanhaalt dit soort risico vond bij MCP-servers in echte werking. Dezelfde samenvatting stelt dat de huidige veiligheidsafstemming van AI-modellen nog altijd onvoldoende is om kwaadaardig gedrag te stoppen dat via een legitieme toolinterface binnenkomt.

Welke verdedigingen stelt het NIST voor?

De twee media geven verschillende, elkaar aanvullende lijsten van maatregelen uit het concept:

• Tooldefinities controleren met cryptografische handtekeningen en onveranderlijke versie-identificaties, en de uitvoeromgeving van tools isoleren in een sandbox (iThome).
• Vertrouwde instructies scheiden van onbetrouwbare inhoud, informatiestromen beperken, toegangscontroles en minimale rechten toepassen, en sandboxing en auditlogging gebruiken (CDO Magazine).

Waarom volstaat een herstart niet tegen geheugenvergiftiging?

Naast tools meldt iThome dat het NIST de risico's bespreekt voor agents die lange taken uitvoeren. Als een aanvaller kwaadaardige inhoud in het langetermijngeheugen van een agent plant, kan die inhoud zijn gedrag in latere taken beïnvloeden: dat is geheugenvergiftiging. CDO Magazine legt uit dat agents informatie ophalen van websites, uit bestanden, kennisbanken en persistent geheugen, en dat kwaadaardige instructies in dat materiaal in de context van de agent kunnen komen.

Een tweede risico is instructiedrift. Volgens iThome kan een agent, naarmate werkdata zich ophopen, zijn vroege instructies en beperkingen geleidelijk minder nauwgezet volgen, waardoor een aanvaller zijn gedrag over meerdere interacties kan veranderen. Is het vergiftigde element het basismodel of de aanpassingslaag, dan verwijdert een eenvoudige herstart of terugzetting het kwaadaardige gedrag mogelijk niet, en kan vervanging of hertraining van het model nodig zijn, eveneens volgens iThome.

Wat verandert dit voor een bedrijf?

CDO Magazine stelt dat het concept vrijwillig is en geen wettelijke of regelgevende eisen vastlegt. Het is ook slechts een concept: het NIST zegt het document bij te werken naarmate aanvallen en verdedigingen evolueren, en vraagt commentaar op drie vragen, namelijk de nieuwste aanvallen op bestaande en vooral agentische systemen, de nieuwste doeltreffende maatregelen en nieuwe terminologie die gestandaardiseerd moet worden. Het NIST geeft aan dat de taxonomie toekomstige normen en praktijkgidsen moet voeden.

Voor een Nederlands of Vlaams bedrijf dat met Amerikaanse leveranciers of klanten werkt, biedt het concept een gemeenschappelijk vocabulaire om leveranciers te bevragen en beveiligingseisen op te stellen. Onze lezing, geen uitspraak van het NIST: een eerste stap is elke MCP-server en tool in kaart brengen die de eigen agents kunnen aanroepen, de gebruikte versies vastzetten, toolbeschrijvingen na elke update opnieuw nakijken, agents alleen de nodige rechten geven en hun handelingen loggen. Deze maatregelen horen in een breder kader voor governance van AI-agents.