Agent marketplace

Wat is een agent marketplace?

Een agent marketplace is een catalogus waar je een AI-agent vindt die iemand anders gebouwd heeft, hem installeert en op je eigen data zet. Het ziet eruit als een app store, en daar zit net het probleem.

Er bestaan twee soorten. De eerste is een winkel binnen een product waar je toch al voor betaalt. Microsoft noemt zijn Agent Store in Copilot de centrale plek waar je agents ontdekt en installeert, met agents van Microsoft, van partners en van je eigen organisatie naast elkaar. Salesforce opende AgentExchange op 4 maart 2025 met meer dan 200 partners bij de start, met acties, topics en prompt templates voor Agentforce. In diezelfde catalogus staan intussen ook volledige agents, subagents en MCP-servers. AWS voegde op 16 juli 2025 een categorie AI Agents and Tools toe aan de AWS Marketplace, waardoor een agent of een MCP-server van een derde partij gewoon op je cloudfactuur belandt.

De tweede soort is een open catalogus. Het officiële MCP Registry, gedragen door Anthropic, GitHub, PulseMCP en Microsoft, staat sinds september 2025 in preview. Het bewaart metadata die naar MCP-servers verwijst, niet de servers zelf, en wie kan aantonen dat hij een GitHub-account of een domein bezit, mag onder die naam publiceren.

Het verschil tussen de twee zit in wat er gecontroleerd wordt voor een listing verschijnt. Salesforce laat elke listing eerst door een eigen security review en noemt het resultaat een gecureerde selectie die op veiligheid nagekeken is. Het MCP Registry schrijft in zijn eigen documentatie net het omgekeerde: het laat security scanning over aan de onderliggende package registries en aan de marktplaatsen die de data overnemen, en omschrijft zijn eigen taak als naamverificatie en het hosten van metadata. Het controleert wie de naam bezit, niet wat de code doet.

De vier vragen die een listing niet beantwoordt

Een listing geeft je een naam, een uitgever, een beschrijving en een screenshot. Vier andere dingen bepalen of je veilig op installeren kan drukken.

Waar kan hij bij, en onder welke identiteit? Het Microsoft 365-beheercentrum heeft per agent een tabblad Data and tools met wat de agent kan lezen (bestanden van de organisatie, mail, agenda, publieke webpagina's) en welke tools hij kan aanroepen, MCP-servers van derden inbegrepen. Diezelfde pagina geeft toe dat dat tabblad soms leeg blijft, omdat het platform die metadata nooit doorgaf. En een agent met application permissions handelt op het niveau van de hele organisatie, zonder aangemelde gebruiker erachter. Dat is een ander risico dan een agent die enkel optreedt voor wie hem gestart heeft.

Wie onderhoudt hem, en wat gebeurt er als die stopt? Een listing toont een uitgeversnaam en een datum van de laatste update, niet of die uitgever een bedrijf met een supportverbintenis is of één iemand met een project ernaast. Bij een MCP-server uit een open catalogus is het eerlijke antwoord vaak dat niemand je iets beloofd heeft.

Wat kost hij per run, niet per licentie? Salesforce rekent voor Agentforce Flex Credits 500 euro per 100.000 credits, en een standaardactie kost 20 credits. Dat komt neer op 10 cent per actie. Een agent die acht acties per dossier doet en 400 dossiers per maand behandelt, zit aan 3.200 acties, ongeveer 320 euro per maand, nog voor iemand hem een succes noemt.

Wat doet hij als het misloopt? Niet of het misloopt, maar wat er dan gebeurt: opnieuw proberen, stoppen, doorgeven aan een mens, of verder doen met een fout antwoord. Microsoft telt per agent de exceptions, de sessies die op een fout eindigden, maar voor dat activiteitsoverzicht, de risico-indicatoren en het securitytabblad heb je een licentie Microsoft E7 of Agent 365 nodig. Een kleinere tenant ziet dus minder op het scherm dan de documentatie laat uitschijnen.

Een agent installeren tegenover een app installeren

Allebei beginnen ze met een knop in een catalogus. Het verschil is waar het ding bij kan zodra het draait.

Een app doet een vast lijstje dingen. Hij vraagt zijn rechten vooraf, die rechten passen op één scherm, en hij komt in actie als iemand ergens op klikt. Kan hij je agenda lezen, dan kan hij je agenda lezen, vandaag en volgende maand.

Een agent krijgt een identiteit, een set tools en een doel in woorden. Welke tool hij aanroept, met welke argumenten en in welke volgorde, beslist een model tijdens het draaien op basis van tekst: jouw vraag, het document dat hij net geopend heeft, het ticket dat een klant getypt heeft. Zijn bereik is alles wat zijn tools samen kunnen aanraken, en wat hem in gang zet ben jij vaak niet.

Een app installeren is een rechtenbeslissing die je op één scherm leest. Een agent installeren lijkt meer op een aannemer aan boord halen: je geeft tegelijk toegang en beoordelingsvermogen weg, en dat tweede staat in geen enkele listing beschreven.

Daar volgt nog iets uit. De beschrijvingen van de tools van een agent komen als instructies bij het model terecht, dus een kwaadaardige beschrijving kan de agent sturen terwijl de tool zijn aangekondigde werk blijft doen. Tool poisoning heeft een eigen entry; wat hier telt, is dat het via een installatie binnenkomt.

Een uitgewerkt voorbeeld: de mailtool die niemand nakeek

In september 2025 stond er een package postmark-mcp op npm. Het gaf zich uit voor de MCP-server van Postmark, de dienst voor transactionele mail, en over zijn eerste vijftien versies deed het dat ook. Versie 1.0.16, twee dagen na de eerste publicatie, voegde één regel toe: elk uitgaand bericht kreeg een blinde kopie naar een adres van de auteur. Postmark had het package helemaal niet gepubliceerd en zei dat publiek op 25 september 2025. Koi Security, dat het gevonden heeft, telde 1.643 downloads voor npm het offline haalde.

De tool deed de hele tijd zijn aangekondigde werk. Wie hem geïnstalleerd had, gaf er een verzendsleutel aan mee en het vertrouwen dat bij een bekende merknaam hoort, en één update maakte daar een kopie van elke factuur, elke wachtwoordreset en elke interne mail van. Vier vragen hadden dat tegengehouden, in deze volgorde.

1. Komt dit echt van de leverancier die erop staat? In de eigen documentatie van Postmark stond dit package niet. Die controle duurt een minuut en het is de controle die het vaakst faalt.

2. Welke sleutel vraagt hij, en hoe smal kan ik die maken? Een verzendsleutel voor één domein. De accountsleutel leest ook je logs en je templates, dus die hoort hier niet thuis.

3. Wie bij ons is de eigenaar, en waar staat dat opgeschreven? Een naam in het agentregister. Iemands hoofd telt niet mee.

4. Zouden we het zien als hij iets anders begon te doen? Een blinde kopie op elk bericht staat in het log van de mailprovider zelf. Niemand las dat log.

Goedkeuren, toewijzen en herbekijken wat er geïnstalleerd wordt

Vier controles houden stand. Iemand beslist wie mag installeren uit een marketplace, en dat is niet iedereen. Het Microsoft 365-beheercentrum werkt al zo voor agents die binnen je eigen tenant gebouwd zijn: een maker dient in, de aanvraag verschijnt onder Agents, de beheerder bekijkt de mogelijkheden, de databronnen en de eigen acties, en publiceert hem daarna naar de store of wijst hem af.

Alles wat geïnstalleerd raakt, krijgt een lijn in het agentregister, met een eigenaar: een persoon, een doel, de systemen waar hij bij kan, een risiconiveau. Het krijgt eigen credentials, zo smal mogelijk, nooit een account dat gedeeld wordt met een collega of met een andere agent. Dat is het verschil tussen één toelating intrekken en een persoon uitschakelen. En het krijgt een herzieningsdatum op de dag van de installatie, want uitgevers werken hun agents stil bij en een goedkeuring van maart beschrijft software die in september niet meer bestaat.

Shadow-installaties zijn de reden dat die vier hier zwaarder wegen dan vroeger. Een marketplace binnen een tool die je team toch al openstaan heeft, haalt elke stap weg die een aankoop vroeger zichtbaar maakte: geen factuur, geen leveranciersformulier, geen ticket naar IT, geen nieuwe login om aan te maken. Iemand van sales vindt een agent in een winkel binnen de toepassing waar hij al in zat, en tegen de middag draait die. Dat is het patroon van shadow AI, met toegangssleutels erbij. Een agent blokkeren in het Microsoft-beheercentrum haalt hem ook weg bij iedereen die hem al geïnstalleerd had, wat je enkel helpt als je weet dat hij geïnstalleerd was.

Waar moet je op letten bij een agent marketplace

De curatie van een leverancier is geen securitygarantie. Microsoft is daar in zijn eigen beheercentrum precies in: het tabblad Certification toont publisher attestation, de eigen verklaring van de ontwikkelaar over hoe de agent met data omgaat, naast Microsoft 365 Certification, een onafhankelijke beoordeling die twaalf maanden geldig is. Die twee labels staan op hetzelfde scherm, maar er zit een heel verschillende hoeveelheid werk achter.

De listing beschrijft de agent, niet jouw configuratie. Dezelfde agent is onschuldig met leesrechten op één SharePoint-site en gevaarlijk met schrijfrechten op je boekhouding. Wat de catalogus belooft en wat jij toegekend hebt, zijn twee aparte feiten, en alleen dat tweede is van jou.

De slechte afloop is geen inbraak. Het is een tiental geïnstalleerde agents, vier waar niemand uitleg over kan geven, twee waarvan de eigenaar het bedrijf verlaten heeft, en een factuur die per run groeit. De waarde is echt, en ze zit bij de smalle, saaie agents: eentje dat binnenkomende facturen leest, eentje dat antwoorden opstelt uit je eigen kennisbank, eentje dat een wachtrij bewaakt. Installeer die, zet bij elk een naam, en prik de datum waarop je opnieuw kijkt.