AI-agenten zijn ontworpen om behulpzame assistenten te zijn, maar nieuw onderzoek van TikTok suggereert dat ze ook als onwetende doorgang voor datadiefstal kunnen dienen. Een paper van het Privacy Innovation Lab van het bedrijf betoogt dat multi-turn Model Context Protocol (MCP)-systemen de security-aannames doorbreken waarop ontwikkelaars hebben vertrouwd.

Volgens de studie kan een kwaadwillende toolbeschrijving een agent op basis van een groot taalmodel (LLM) ertoe aanzetten om gebruikersvragen en de eigen antwoorden te sturen naar een logtool die door een aanvaller wordt beheerd. De gebruiker stelt een vraag, de agent antwoordt, en een derde partij bewaart stilletjes een kopie van de volledige uitwisseling.

Wat de paper ontdekte

De paper, getiteld "When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions," werd op 27 februari 2026 gepubliceerd door Sirat Samyoun en Jian Du van TikTok's Privacy Innovation Lab.

De focus ligt op het Model Context Protocol, een standaard die fungeert als universele adapter waarmee AI-agenten tijdens een gesprek kunnen koppelen aan externe tools en diensten.

De titel vat de kerngedachte samen: de beschrijving van een tool is tekst die het model leest, en tekst die een model leest kan functioneren als instructie. Als een aanvaller die beschrijving schrijft, schrijft die in feite een deel van de prompt. De agent kan die begraven aanwijzingen vervolgens opvolgen, waaronder de instructie om gesprekken door te sturen naar een logdienst van de aanvaller.

Gevoelige gegevens die niet willen vertrekken

Toolvergiftiging is slechts een deel van het verhaal. De onderzoekers ontdekten ook dat gevoelige velden de neiging hebben om te blijven bestaan over multi-turn gesprekken heen en dat ze over servergrenzen heen kunnen lekken.

Hun voorbeelden omvatten burgerservicenummers en andere identificatiegegevens. Die details konden worden onthuld, zelfs wanneer de agent expliciet was opgedragen gevoelige informatie weg te laten.

Het team voerde gecontroleerde experimenten uit op publieke MCP-servers en integraties. Ze lieten zien dat volledig legitieme toolantwoorden gecombineerd konden worden om persoonsgegevens (PII) te reconstrueren.

Geen enkele server hoefde een volledig profiel af te geven. In plaats daarvan konden gegevens afkomstig van afzonderlijke MCP-servers aan elkaar worden gepuzzeld, waardoor indirecte lekkage erger wordt. Voor iedereen die een agent met meerdere integraties draait, betekent dit dat de blootstelling niet in één enkele tool zit, maar in wat verschillende op zichzelf onschuldige tools samen onthullen.

Waarom securitycontroles per beurt het probleem missen

De scherpste kritiek in de paper is gericht op hoe MCP-security doorgaans wordt beoordeeld. De meeste evaluaties bekijken elke beurt van een gesprek isoler.

De onderzoekers stellen dat deze aanpak het cumulatieve risico mist. Blootstelling bouwt zich op over beurten en tools heen, en wordt pas zichtbaar wanneer de volledige gespreksgeschiedenis wordt onderzocht. Volgens die logica kan een audit die elke afzonderlijke beurt goedkeurt alsnog lekkage missen die pas over een volledige sessie aan het licht komt.

Een jonge standaard met een groeiend aanvalsoppervlak

MCP ontstond eind 2024 als standaard. Sindsdien heeft het zich verspreid naar populaire tools zoals Cursor en Claude Desktop. Dat bereik plaatst de zorgen uit de paper in software waar veel ontwikkelaars en eindgebruikers al op vertrouwen.

De TikTok-paper bouwt voort op een golf van securityonderzoek die in 2025 begon. Dat eerdere werk wees op zorgen over toolbeschrijvingsvergiftiging en kwetsbaarheden in de toeleveringsketen rond MCP-servers.

Toolbeschrijvingsvergiftiging wordt al sinds begin 2025 als risico aangemerkt. Benchmarks hebben er ook cijfers aan verbonden: MCPTox meldt een gemiddeld aanvalssuccespercentage van 36,5% over modellen heen.

Wat Samyoun en Du toevoegen is de multi-turn lens. Eerdere zorgen draaiden om de vraag of één enkele tool vertrouwd kon worden. Deze paper vraagt wat er gebeurt wanneer veel tools en veel beurten gedurende de levensduur van een gesprek met elkaar interageren.

Wat dit betekent voor ontwikkelaars en bedrijven

Voor ontwikkelaars is de boodschap ongemakkelijk maar duidelijk. Elke tool afzonderlijk beoordelen en elk antwoord in isolatie controleren is mogelijk niet voldoende.

De onderzoekers roepen iedereen in het MCP-ecosysteem, van ontwikkelaars tot eindgebruikers, op om hun securitykaders te heroverwegen. In de praktijk betekent dat het behandelen van toolbeschrijvingen als niet-vertrouwde input en het beoordelen van risico's over het volledige gesprek in plaats van beurt voor beurt.

De bevindingen roepen ook vragen op over de toeleveringsketen. Wanneer agenten verbinding kunnen maken met publieke MCP-servers, is elke tool van derden een potentieel toegangspunt voor vergiftigde instructies. De vraag voor de nabije toekomst is of de praktijk het advies uit de paper volgt — of toolbeschrijvingen als niet-vertrouwde input gaan worden behandeld en of securitybeoordelingen zich uitbreiden van losse beurten naar volledige gesprekken.