cMCP: open-source gateway beveiligt AI-agents met beveiligde hardware-chip

Steeds meer bedrijven zetten AI-agents in die zelfstandig taken uitvoeren: klantgegevens opzoeken in Salesforce, orders plaatsen, of data ophalen uit bedrijfssystemen. Dat gebeurt via een protocol genaamd MCP (Model Context Protocol), waarmee een AI-model kan communiceren met externe tools. Maar wie garandeert dat zo'n agent zich aan de regels houdt? Het Amerikaanse project cMCP, ontwikkeld door AgenTrust en deze week gepresenteerd op de Confidential Computing Summit, probeert die vraag hardwarematig te beantwoorden.

Het probleem: software alleen is niet genoeg

Normaal gesproken checkt een los stukje beveiligingssoftware of een AI-agent een bepaalde actie mag uitvoeren, bijvoorbeeld het opvragen van klantgegevens. Die controle draait echter op dezelfde computer en in hetzelfde besturingssysteem als de agent zelf. Dat is een zwakke plek: een kwaadwillende beheerder kan de regels stiekem aanpassen, een lek in de software kan de controle omzeilen, en logbestanden kunnen achteraf vervalst worden. Met andere woorden, het systeem dat moet toezien op de AI kan zelf gemanipuleerd worden door dezelfde partij die het moet controleren.

Een kluis die niemand kan openbreken

cMCP lost dit op door de controlesoftware te laten draaien in een Trusted Execution Environment (TEE): een fysiek afgeschermd stukje geheugen in de processor dat zelfs de eigenaar van de machine niet kan inzien of aanpassen. Grote chipmakers als Intel, AMD en Nvidia bouwen zulke beveiligde zones al in hun processoren. Voordat de gateway ook maar één regel code uitvoert, wordt het beleidsbestand (geschreven in een regeltaal genaamd Cedar) gemeten en vastgelegd in een cryptografisch bewijs. Elke tool-aanroep van de AI-agent gaat vervolgens eerst langs deze beveiligde poortwachter, die de aanroep toestaat, blokkeert of gedeeltelijk afschermt.

Een handtekening als bewijs

Aan het eind van elke sessie genereert cMCP een zogeheten TRACE Claim: een digitaal ondertekend document dat exact vastlegt welke tools zijn aangeroepen, welke beslissingen zijn genomen en of het beleid onderweg is aangepast. Omdat dit bewijs hardwarematig is verankerd, kan een externe controleur -bijvoorbeeld een toezichthouder- de integriteit ervan verifiëren zonder de beheerder van het systeem te hoeven vertrouwen. Dat is vooral relevant voor bedrijven in gereguleerde sectoren zoals de zorg of financiële dienstverlening, waar aantoonbare controle over AI-beslissingen steeds vaker wettelijk verplicht wordt.

De software is gratis te installeren via Python (pip install cmcp-runtime) en kan ook zonder speciale hardware in een testmodus draaien. Het project bevindt zich nog in een vroege ontwikkelfase: de makers waarschuwen zelf dat de software voor productiegebruik nog niet volledig uitontwikkeld is en dat er tot de eerste stabiele versie nog wijzigingen kunnen volgen.