MCP voor Agent Commerce: Wat Kan Er Misgaan

Alexander Polyakov en het Tutu-team hebben een MCP-server uitgebracht waarmee AI-agenten echte reisgegevens kunnen doorzoeken in plaats van webpagina's te parsen. De server moet onderscheid maken tussen verzoeken van agents en browsers: POST/SSE voor agents, HTML-landingspagina voor mensen. Toolbeschrijvingen moeten zelfstandig zijn met annotaties zoals readOnlyHint, idempotentHint en openWorldHint. Agressieve contextcompressie verminderde het typische tokenverbruik van 133K naar 34K (74%) door resultaten te pagineren en uitgebreide gegevens in te korten. Juridische vereisten dwingen af dat de laatste aankoopstap op de site van de handelaar plaatsvindt: de agent selecteert opties, maar de gebruiker accepteert het aanbod, voert persoonsgegevens in en betaalt. Autorisatie ondersteunt zowel OAuth 2.1 (voor cloudcliënten zoals ChatGPT/Claude) als een statische sleutel in de header (voor lokale cliënten); sleutels mogen nooit in URL-queryreeksen voorkomen. Testen gebeurt met evals: live agents draaien op 60+ testscenario's, waarbij een tweede model het gedrag beoordeelt. Rate limiting geldt alleen voor toolcalls, niet voor de landingspagina of statische assets, om menselijke bezoekers niet te blokkeren. De belangrijkste les: MCP-servers moeten zowel een menselijk als een agentpubliek bedienen, met duidelijke documentatie en zelfverklarende tools.