Kwaadaardige skills, MCP-servers en extensies

Een skill, MCP-server of editor-extensie draait met jouw rechten: je bestanden, je sleutels, je mail. In 2026 hebben aanvallers dat ontdekt, en ze werken op schaal.

Na deze les heb je: een check van 5 minuten die je doet voor je iets installeert, en je weet wat je doet als het toch fout zit.

Hoe het gebeurt

Route	Wat er gebeurt	Echt voorbeeld
Nep-“prerequisite”	De skill zegt: draai eerst dit script of plak dit in je Terminal. Dat script is de malware.	ClawHavoc (feb 2026): 341 van 2.857 skills op ClawHub waren kwaadaardig; 335 installeerden de infostealer Atomic Stealer. Publiceren vereiste alleen een GitHub-account van een week oud.
Eerst schoon, dan de update	Een exacte kopie van een bekende skill bouwt vertrouwen op; een latere update voegt stelende instructies toe.	skills.sh (jul-aug 2026): nagemaakte Paperclip- en Browser Use-skills, ruim 1,7 miljoen installs. De kwaadaardige opdracht stond in een bijbestand dat de agent pas opende als Paperclip geïnstalleerd of gestart moest worden.
Rug pull tijdens gebruik	Een MCP-server gedraagt zich netjes en verandert na een paar calls zijn tools.	Deadbugz (aug 2026, Pillar Security): een MCP-server die na precies 3 tool-calls naar SSH- en AWS-sleutels ging zoeken.
Tool poisoning	Instructies in de beschrijving van een tool. Het model leest ze, jij ziet ze niet.	Invariant Labs (apr 2025), o.a. een demo die WhatsApp-berichten liet lekken.
Nagemaakt pakket	Een npm-pakket met de naam van een bekende dienst, maar niet van die dienst.	postmark-mcp (sep 2025): versie 1.0.16 voegde één regel toe die elke verstuurde mail in BCC naar de aanvaller stuurde. Postmark had er niets mee te maken.
Editor-extensie	Een extensie in de marktplaats van VS Code-achtige editors steelt tokens en verspreidt zich.	GlassWorm (okt 2025): code verstopt in onzichtbare Unicode-tekens, via Open VSX, de marktplaats van o.a. Cursor en Windsurf.
Slopsquatting	Een model verzint een pakket- of skillnaam; een aanvaller registreert precies die naam.	Onderzoekers lieten met HalluSquatting (jul 2026) zien dat dit ook werkt voor repo’s en skills.

Het patroon: review bij installatie zegt weinig. Het kwaad zit in een bijbestand, een update of gedrag dat pas later begint.

Wat registries (niet) controleren

Stand november 2026:

Waar	Wat het checkt	Wat niet
Officiële MCP Registry	Of de naam bij de juiste GitHub-account of het juiste domein hoort	Geen code-review. Scannen laat hij over aan npm, PyPI, Docker en marktplaatsen. Staat nog in preview.
ClawHub (OpenClaw)	Automatische VirusTotal-scan met een verdict per skill, dagelijks opnieuw	Kwaadaardige instructies in gewone taal glippen erdoor; OpenClaw noemt de scan zelf “not a silver bullet”.
skills.sh (Vercel)	Audits van Gen, Socket en Snyk per skill	Geen “geverifieerd”-label voor de hele registry; de 1,7M-campagne kwam erdoorheen.
npm / PyPI	Provenance: waar een pakket gebouwd is	Niet of het goed is. De worm Mini Shai-Hulud (mei 2026) had geldige provenance.

Sterren en downloads helpen ook niet: Trend Micro onderzocht 9.695 MCP-servers en vond nauwelijks verband tussen populariteit en veiligheid (jun 2026).

De 5-minuten-check

Doe dit voor elke skill, MCP-server of extensie. Eén “nee” is genoeg om te stoppen.

1. Wie publiceert het? Komt het van de officiële GitHub-organisatie of het domein van de dienst zelf? In de MCP Registry zie je dat aan de naam: io.github.<organisatie>/... of com.<bedrijf>/.... Een “postmark-mcp” van een onbekende is een kloon.

2. Lees álle bestanden, ook de onzichtbare tekens. Dus niet alleen SKILL.md of de README, maar ook bijbestanden en scripts. Zoek naar verborgen Unicode met:

   find . -type f -exec perl -CSD -ne 'print "$ARGV:$.\n" if /[\x{200B}-\x{200F}\x{202A}-\x{202E}\x{2060}-\x{2064}\x{FEFF}\x{FE00}-\x{FE0F}\x{E0000}-\x{E007F}\x{E0100}-\x{E01EF}]/; close ARGV if eof' {} +

   Geen uitvoer is goed. Een treffer in een bestand met emoji kan onschuldig zijn (die gebruiken soms U+FE0F); in code is het verdacht. Rode vlaggen: een “prerequisite”, curl ... | sh, base64-tekst, downloads van losse GitHub-releases.

3. Welke rechten en sleutels vraagt het? Een samenvattings-skill heeft geen shell, geen netwerk en geen ~/.ssh nodig. Vraagt een MCP-server om een token voor je hele account? Maak een eigen sleutel met alleen de rechten die nodig zijn, of stop (zo beperk je je agent).

4. Kijk naar scripts die vanzelf draaien. Bij een npm-pakket:

   npm view <PAKKETNAAM> scripts

   Staat er preinstall of postinstall? Lees wat dat doet. In een repo: check .claude/settings.json (hooks), .vscode/tasks.json ("runOn": "folderOpen") en AGENTS.md/CLAUDE.md.

5. Pin de versie en zet auto-update uit. In een MCP-config schrijf je "<PAKKETNAAM>@1.2.3" in plaats van alleen de naam (anders haalt npx steeds de nieuwste). Een skill kopieer je naar je eigen repo of pin je op een commit. In VS Code en Cursor zet je "extensions.autoUpdate": false. Bij elke update: eerst de wijzigingen lezen.

6. Eerste keer in een sandbox zonder geheimen. Draai het in een devcontainer of Docker-container waarin ~/.ssh, ~/.aws en je .env níet gemount zijn, en kijk welke verbindingen het opent. Een remote MCP-server kun je niet pinnen: die kan zijn tools per call veranderen. Gebruik die alleen van een partij die je ook met je data zou vertrouwen.

Je sandbox dekt je MCP-servers niet

Zet je de sandbox van Claude Code aan, dan geldt die voor shell-commando’s. Volgens de eigen docs draaien hooks en lokale MCP-servers erbuiten, met je gewone rechten. Wil je een MCP-server echt opsluiten, draai dan de hele agent in een container of op een aparte machine.

Laat je agent nooit zelf iets zoeken en installeren

Aanvallers optimaliseren nep-repo’s nu voor agents in plaats van mensen. In de AgentBaiting-campagne (Island, jul 2026) deden ruim 800 nep-repo’s zich voor als skill of MCP-server, en in tests raadden Claude Code, Gemini en ChatGPT ze zelf aan, zonder dat iemand een link gaf. Vraag je agent hoogstens om opties; kiezen, checken en installeren doe jij.

Security

Als het toch misgaat, doe je in de eerste 15 minuten dit:

• Uitzetten en loskoppelen. Verwijder de skill, server of extensie. Vermoed je een infostealer? Haal de machine van het netwerk voor je verder gaat.
• Alle sleutels op die machine zijn verbrand, niet alleen die van de agent: SSH, cloud, GitHub, npm, AI-diensten. Trek ze in vanaf een ándere computer en log overal uit, want gestolen sessietokens omzeilen je 2FA (geheimen beheren).
• Zoek naar achtergelaten hooks in je repo’s: .claude/settings.json, .vscode/tasks.json, AGENTS.md. Anders begint het bij de volgende keer openen opnieuw.

Checklist

0/6

• Ik check wie een skill, MCP-server of extensie publiceert
• Ik lees alle bestanden en scan op onzichtbare tekens
• Ik geef alleen een eigen sleutel met minimale rechten
• Ik check install-scripts en hooks
• Mijn skills, MCP-servers en extensies staan op een vaste versie, zonder auto-update
• Iets nieuws draait eerst in een sandbox zonder geheimen

Je voortgang wordt alleen in deze browser bewaard.

Test jezelf

1. 1Een MCP-server staat in de officiële MCP Registry. Wat weet je dan zeker?

   Dat de code is gecontroleerd op malwareDat de naam bij de opgegeven GitHub-account of het domein hoortDat de server nooit zal veranderen

2. 2Waarom helpt een grondige review bij installatie maar beperkt?

   Omdat skills altijd versleuteld zijnOmdat een update of gedrag na een paar calls het kwaad pas later toevoegtOmdat reviews alleen werken op Linux

3. 3Een nieuwe skill zegt: "Prerequisite: plak eerst dit commando in je Terminal." Wat doe je?

   Uitvoeren, het staat in de officiële documentatieNiet uitvoeren; precies zo verspreidde ClawHavoc een infostealerUitvoeren, maar alleen als de skill veel sterren heeft

Volgende les: API-sleutels en geheimen beheren.