De agent-gateway: één control plane voor elk model en elke tool

De bepalende verschuiving van 2026 is dat AI geen chatbot meer is maar een agent is geworden. Een chatbot antwoordt; een agent handelt — hij leest een bestand, bevraagt een CRM, boekt een slot, draait een zoekopdracht. Om te handelen moet hij buiten het model treden en in je tools reiken. Die ene verandering verdubbelde stilletjes het oppervlak dat elk security- en platformteam moet beheren.

Van één modelaanroep naar veel tool-aanroepen

Een chatbot deed één soort verzoek: een aanroep naar een model. Een agent doet er twee. Hij roept nog steeds een model aan, maar roept ook tools aan — en het bindweefsel dat de sector daarvoor standaardiseerde is het Model Context Protocol (MCP), de open standaard die Anthropic eind 2024 publiceerde zodat agents tools en gegevensbronnen kunnen ontdekken en aanroepen. MCP is echt nuttig; daarom verspreidde het zich. Maar het betekent ook dat je aanvalsoppervlak nu elke agent is, vermenigvuldigd met elk model en elke tool die hij kan bereiken.

De onbeheerde tussenlaag lekt al

Dit is niet theoretisch. GitGuardian telde 24.008 unieke secrets die alleen al in 2025 in MCP-configuratiebestanden werden blootgesteld — API-sleutels en tokens verspreid over de configuratie omdat MCP geen centrale plek heeft om ze te bewaren. In februari 2026 vond Trend Micro 492 MCP-servers op het open internet zonder enige authenticatie en zonder versleuteling, en BlueRock Security meldde dat van de meer dan 7.000 geanalyseerde MCP-servers 36,7% mogelijk kwetsbaar was voor server-side request forgery (SSRF) — in één proof of concept haalden ze AWS-inloggegevens uit een metadata-endpoint via Microsofts eigen MarkItDown MCP-server.

De oorzaak is structureel: MCP heeft geen ingebouwde rolgebaseerde toegangscontrole en geen verbruiksmeting. Een tool die een agent ziet, is een tool die hij kan aanroepen, met welke inloggegevens hem ook zijn meegegeven — en niemand telt mee.

• Identiteit — welke agent, handelend namens welke gebruiker, deed deze aanroep
• Minste privilege — elke agent beperken tot de tools die zijn rol echt nodig heeft
• Audit — een verslag van elke model- en tool-aanroep, achteraf
• Kosten- en snelheidslimieten — een plafond op uitgaven en een rem op op hol geslagen loops
• Contentveiligheid — PII-maskering en controle op prompt-injectie aan de grens

Deze maand werd de sector het eens over het antwoord: een gateway

De oplossing waar iedereen op uitkwam is dezelfde die de API-wildgroei van de jaren 2010 temde: zet er een gateway tussen. Op 16 juni 2026 kondigde Databricks op zijn Data + AI Summit Unity AI Gateway aan — governance over de runtime-interacties tussen modellen, agents, MCP-services en tools, met een centraal register, de mogelijkheid om afzonderlijke tools in of uit te schakelen, audit van het gebruik, harde uitgavenplafonds en beleidshandhaving tegen PII-blootstelling, prompt-injectie en jailbreaks. Twee weken eerder, op 3 juni, lanceerde NetFoundry zero-trust MCP- en LLM-gateways die agents hun eigen machine-identiteiten geven, zodat de gateways onbereikbaar zijn voor alles wat niet geautoriseerd is. Verschillende bedrijven, dezelfde vorm: één control plane vóór zowel de modellen als de tools.

De modelhelft hiervan bouwen we al jaren

Niets hiervan is nieuw voor ons. Qevron is onze gateway: richt je code op één OpenAI-compatibel endpoint en bereik onze vijf eigen modelfamilies plus 43+ externe providers — met routering, caching, monitoring en kostenanalyse op één plek, en zonder lock-in bij één leverancier. De discipline die een gateway hoort toe te voegen — één identiteit, één beleid, één audittrail, één kostenoverzicht — is precies wat Qevron al toepast op modelverkeer. De agent-verschuiving trekt diezelfde naad simpelweg door naar de tools die een agent bereikt, en dat is de architectuur die de hele markt nu kopieert.

De helft die de meeste gateways nog niet kunnen geven: je eigen perimeter

Er zit een addertje onder het gras in de meeste antwoorden van deze maand: de gateway zelf draait meestal in andermans cloud. Dat betekent dat het ene onderdeel dat elke agent-actie ziet — elke modelprompt, elke tool-aanroep, elke credential — buiten je controle valt, en onder een buitenlandse provider onder een buitenlandse jurisdictie kan vallen. Arpanet is andersom gebouwd. De modellen en de gateway zijn van ons, dus de hele stack kan on-prem of in een geïsoleerde omgeving draaien, met je eigen SSO en een audittrail, binnen een perimeter die je zelf beheert. Het knelpunt dat je agents bestuurt blijft aan jouw kant van de lijn — wat voor een team onder de AVG het verschil is tussen een controle die je kunt bewijzen en een belofte die je moet vertrouwen.

Eén control plane. Elk model, elke tool, elke aanroep — op infrastructuur die je zelf beheert.

Een agent is slechts zo goed bestuurd als de laag waar hij doorheen gaat. De markt werd het deze maand eens dat die laag een gateway moet zijn; de vraag die voor je overblijft is wie hem draait. De stack van Arpanet is zo ontworpen dat het antwoord “wij” kan zijn — het platform is vanaf de eerste regel code gebouwd voor de AVG. De prijs hangt af van je implementatie en schaal; neem contact op en we brengen het samen in kaart.