Ordforrådet rundt koblinger, MCP, plugins og agenter vokste raskere enn noen rakk å forklare det. Her er versjonen du faktisk trenger.
Å koble til et verktøy gir ikke KI-en nye rettigheter. Det overleverer dine egne, alle på én gang.
Anthropic sier dette rett ut i sin egen dokumentasjon: assistenten arver rettighetene til den enkelte bruker i tjenesten den kobles til, og hvis du ikke selv når en fil eller en kanal, når ikke koblingen den heller. Det er betryggende i én retning og urovekkende i den andre. Risikoen er ikke at KI-en får tilgang du aldri hadde. Den er at alt du kan nå nå kan nås av et raskt og bokstavelig system som lar seg lure.
Model Context Protocol. En åpen standard for å koble en assistent til levende verktøy og data. Siden desember 2025 styres den av et organ under Linux Foundation, med Anthropic, OpenAI, Google, Microsoft og AWS involvert. Det er altså ikke lenger én leverandørs format.
Et pakkeformat for instruksjoner, ikke en levende kobling. En mappe som forteller assistenten hvordan en oppgave gjøres. Lettere enn MCP, og støttet av flere assistenter, men med mindre formalisert styring.
Agent2Agent. Rørlegging for når KI-agenter fra ulike selskaper samhandler. Flyttet til Linux Foundation i 2025. Dette er ikke noe en sluttbruker setter opp.
Verktøyforgiftning er den du bør forstå. Et ondsinnet verktøy kan skjule instruksjoner inne i sin egen verktøybeskrivelse, der modellen leser dem og du aldri ser dem. Dette ble først demonstrert offentlig i april 2025 mot et ekte produkt, der skjulte instruksjoner i et falskt verktøy fikk en assistent til å lekke SSH-nøkler og konfigurasjonsfiler. OWASP har nå en egen side om angrepstypen, og den er fortsatt et åpent problem.
Den offisielle MCP-spesifikasjonen har derfor et betydelig sikkerhetskapittel, som blant annet dekker håndtering av tilgangsnøkler, forbud mot å sende tokens videre, forespørsler mot interne nettverksadresser, sesjonshåndtering, og det forholdet at en lokalt installert server kjører med dine fulle brukerrettigheter. Det har også vært minst én alvorlig sårbarhet i en mye brukt MCP-hjelpepakke, offentliggjort i juli 2025 og rettet i en senere versjon.
Du trenger ikke forstå protokollen. Du trenger tre svar før du kobler til noe som berører arbeidsdata, og en vane med å koble fra det du ikke bruker.
Det vanligste problemet i praksis er ikke et eksotisk angrep. Det er at ansatte kobler på kraftige integrasjoner med noen få klikk, uten at noen fører liste.
Både leverandørdokumentasjonen og den offisielle spesifikasjonen fremhever dette. Installer fra kilder organisasjonen din eller KI-leverandøren faktisk har kontrollert.
Det meste av nyttig arbeid er lesing. Skrivetilgang er der en feil blir en hendelse.
Hver aktive kobling er stående eksponering uten gevinst.
Dette er samme problem som prompt injection, og forsvaret er det samme: rettigheter og godkjenning, ikke smarte formuleringer.
Hvorfor innhold agenten leser kan kapre den, og hva en reell grense er.
Les guiden →Å dele komplekse jobber i trinn med synlige leveranser og stoppkriterier.
Les guiden →Hva som må ut før kunde- eller personaldata går inn i noe som helst.
Les guiden →