MCP gaat stateless en passeert 400 miljoen downloads

De standaard waarmee AI-assistenten aan externe software worden gekoppeld, is flink verbouwd. Anthropic publiceerde de vijfde versie van de Model Context Protocol-specificatie onder de datum 2026-07-28 en meldt op de Claude-blog ruim 400 miljoen SDK-downloads per maand, vier keer zoveel als een jaar eerder. De ondersteuning rolt nu uit over de Claude-producten.

Elk verzoek staat voortaan op zichzelf

De ingreep zit in de kern van het protocol. MCP werkte tot nu toe met een sessie: client en server openden een verbinding, wisselden initialize en initialized uit en hielden die status vast. Dat is eruit gehaald. In de nieuwe opzet draagt elk verzoek zijn eigen protocolversie, client-identiteit en capabilities mee in het _meta-veld, schrijft het MCP-team in de spec-aankondiging op blog.modelcontextprotocol.io. Ook de Mcp-Session-Id-header is verdwenen.

Daarmee kan een MCP-server op serverless en edge-infrastructuur draaien, achter een gewone loadbalancer en zonder gedeelde opslag. Voor tussentijdse vragen komt Multi Round-Trip Requests in de plaats van de oude server-initiated requests: de server antwoordt met resultType “input_required” en de client stuurt het verzoek opnieuw, met de antwoorden in inputResponses. Requests krijgen verder de headers Mcp-Method en Mcp-Name, zodat gateways en rate limiters kunnen routeren zonder de JSON-body uit te pakken. Lijsten met tools en prompts zijn nu cachebaar via ttlMs en cacheScope.

Niet iedereen is overtuigd

InfoQ tekende op dat ontwikkelaars zich afvragen of MCP hiermee niet gewoon een API is geworden. Die vraag is te begrijpen, want de tweerichtingsverbinding was juist het eigenzinnige deel van het protocol. Roots, Sampling en Logging zijn afgeschreven, net als het oude HTTP+SSE-transport. Er geldt een afbouwperiode van minimaal twaalf maanden, dus bestaande servers blijven voorlopig werken. Wie er nu op bouwt, moet de migratie wel inplannen.

Strengere autorisatie en drie extensies

De autorisatie is aangescherpt. De spec eist issuer-validatie volgens RFC 9207 en vervangt Dynamic Client Registration door Client ID Metadata Documents, waarbij inloggegevens aan een specifieke issuer worden gebonden. Dat is relevant nu agents steeds meer zelfstandig doen, van microscopen en robotarmen aansturen tot zelf rekeningen betalen.

Drie onderdelen zijn losgetrokken als officiële extensie: Tasks voor langlopend werk, MCP Apps voor interactieve schermen binnen het gesprek, en Enterprise Managed Authorization, waarmee beheerders connectoren via Entra of Okta voor de hele organisatie klaarzetten. De connectorendirectory van Claude telt volgens Anthropic ruim 950 servers.

Wat betekent dit

Voor teams die agents in productie draaien verandert vooral de hostingrekening en het beheer. Een stateless server is goedkoper te draaien en simpeler te schalen, wat aansluit bij de kostendruk die eerder zichtbaar werd rond het tokenverbruik van agenttooling. Daar staat werk tegenover: sessielogica eruit, autorisatie opnieuw inrichten, SDK’s bijwerken. De Tier 1-SDK’s voor TypeScript, Python, Go en C# ondersteunen de nieuwe versie al, de Rust-SDK zit in bèta.

Het bredere plaatje is dat MCP zich gedraagt als infrastructuur en niet meer als experiment. Het protocol viel eerder al onder een neutrale koepel, samen met Google’s A2A, en die stap richting saaie, voorspelbare plumbing zet zich nu door in de techniek zelf.