Agent Pluginsとは？OpenAIら五社が公開したAIプラグイン「統一パッケージ」標準が解決したことと、あえて残した穴

AI Agentの「拡張性」問題は新しい話ではありません。Agent Pluginsはこの技術進化の鎖の最新の一環であり、ゼロからの発明ではありません。

• 2023年3月：OpenAIがChatGPT Pluginsを公開し、第三者によるChatGPT向けプラグイン開発を許可。初期の比較的オープンな拡張エコシステムでした。
• 2024年1月：OpenAIがGPTsストアを出した後、Pluginsを段階的に終了し、より閉じたプラットフォームモデルへ移行しました。
• 2024年11月：AnthropicがMCP（Model Context Protocol）を公開し、Agentが外部ツール／データに接続する方法を標準化。後にLinux Foundationへ寄贈。関連記事はMCPプロトコル解説をご覧ください。
• 2025年3月：OpenAIとGoogleが相次いでMCP対応を発表し、業界はこのプロトコルへ収束し始めました。
• 2025年10月16日：AnthropicがClaude CodeでAgent Skillsを開始し、SKILL.mdで再利用可能な操作手順をカプセル化。Agent Skillsオープン標準ガイドも参照できます。
• 2025年12月18日：Agent Skillsが独立したオープン標準（agentskills.io）となり、MicrosoftとOpenAIが48時間以内に対応しました。
• 2026年3月：Agent Skillsの採用は32以上のツールに拡大し、Gemini CLI、JetBrains Junie、AWS Kiroなどを含みます。
• 2026年7月24日：Agent Plugins仕様1.0.0が「ワーキングドラフト」として初公開されました。
• 2026年8月6日：Vercel主導でOpenAI、Microsoft、Amazon、CursorがAgent Plugins 1.0を正式公開。Googleも同日コアメンテナに加わりました。

読者と開発者がいま直面する核心課題は次のとおりです。

• パッケージの分裂：Skillsは「再利用可能な技能の教え方」、MCPは「外部ツールへのつなぎ方」を解きますが、クライアントごとのディレクトリ構造と設定習慣が異なり、同じ拡張を複数回書かざるを得ません。
• 発見コストが高い：統一マニフェストとディレクトリ規約がないと、クライアントはSkillsとMCPコンポーネントを自動発見できません。
• セキュリティ責任が宙づり：パッケージが標準化されても、インストール、サンドボックス、出所検証は仕様外のまま。悪意あるスキルのリスクはクライアントに丸投げされます。
• エコシステムの主導権：標準策定側はすべて米国企業。国内でMCPを広く支援してきたベンダーが追随するかは未定です。

Agent Pluginsがやるのは、SkillsとMCPサーバーという2種のコンポーネントを同じ「箱」に統一して入れること——最後の1マイルのエンジニアリング摩擦を解くのであって、Agentのツール呼び出しを再定義することではありません。

出典：Vercel公式ブログ、agent-plugins.org仕様ドキュメント、Google Developers Blog（いずれも2026年8月6日公開）。

1. ひとつのマニフェスト、二種類のコンポーネント

Agent Pluginsの技術設計は実はとても「小さい」です。プラグインはディレクトリひとつで、ルートにplugin.jsonマニフェストを置き、どの版の仕様に従うかを宣言します。スキルを同梱するなら固定のskills/配下に置き、Agent Skills仕様のSKILL.md形式に必ず従います。MCPサーバー設定を同梱するならmcp.jsonに書き、stdio、Streamable HTTPなど複数の接続方式をサポートします。クライアントがこの固定ディレクトリ構造を認識できれば、対応コンポーネントを自動発見・読み込みできます。未知の種別や形式エラーは、プラグイン全体を拒否せずそのコンポーネントだけスキップすれば足ります。さらに「逆ドメイン拡張名前空間」（例：com.cursor.xxx/）があり、各クライアントが標準外の私有能力を足しても、移植可能なコアを汚染しません。

{
  "name": "example-agent-plugin",
  "version": "1.0.0",
  "agentPlugins": "1.0.0"
}
# skills/… → SKILL.md
# mcp.json → MCP server config

2. あえて空いた部分こそ、本当の駆け引きの焦点

仕様本文は明確です。v1は「インストール機構を定義せず、配布プロトコルを定義せず、権限モデルを定義せず、サンドボックス隔離を要求せず、信頼と出所検証を行わず、UXにも触れない」——すべて各クライアントの判断に委ねます。つまりAgent Pluginsが解くのは「パッケージの見た目」であり、「そのパッケージを信じてよいか、インストール時のリスクはあるか、どこからダウンロードするか」ではありません。これは欠落ではなく、意図的な設計トレードオフです。範囲が狭いほど合意しやすく、落地しやすい。代償は、いちばん難しく致命的な問い——誰がプラグインの安全性を判断するか——が、明確に各クライアントへ丸投げされたことです。

3. なぜ今なのか、もっと早くではなかったのか

MCPとAgent Skillsはそれぞれ「ベンダー独自標準→オープン寄贈→業界追随」の道をたどりました。今回のAgent Pluginsは初日から複数社の共同策定です。ある意味、業界が「先にバラバラに作り、あとで苦労して統一する」教訓を吸収したとも言え、SkillsとMCPの採用規模が「パッケージ方式を統一しないと皆が重複作業する」臨界点に達した証拠でもあります。統計上、Agent Skills仕様公開後約半年で採用ツールは32を超えています。

狭い範囲で速い合意を買う。セキュリティ、配布、信頼はあえてクライアント側に残す——それがAgent Pluginsを数か月で五社共同公開まで運んだ取引構造です。

ご覧のとおり、Agent PluginsはMCPやAgent Skillsを置き換えるものではなく、両層の上に「パッケージ契約」を足すものです。解くのは「最後の1マイル」のエンジニアリング摩擦であり、Agentのツール呼び出しを再定義することではありません。

論争点：

• セキュリティ問題は明確にクライアントへ丸投げ：Agent Plugins公開の約1か月前、セキュリティ企業AIRが「偽スキル」攻撃を公開デモしました。名前はbrand-landingpageの悪意あるAgent Skillで、GitHubスター約3.6万の有名リポジトリの信用を借り、Cisco、Nvidia、skills.shなど複数のスキャナをすり抜け、推定約2.6万のAgent（一部は企業アカウント）に到達したとされます。核心は古典的な「検査時と使用時」（TOCTOU）の時間差です。スキャン時はリンクが正常ドキュメントを指し、審査通過後に悪意あるURLへ差し替えます。Snykが同時期に約4000の公開スキルを監査したところ、36.8%に欠陥があり、13.4%に致命級（悪意コード、資格情報漏洩など）がありました。Agent Plugins仕様自体には、こうした信頼と出所検証の仕組みは一切ありません。
• 「薄すぎる標準ではないか」：開発者ツール枠組みSSTの作者Dax Raadは「非常に反対」と表明し、「薄い標準」で有用な部分は結局各クライアントの私有拡張になると批判しました。一方、デベロッパーアドボケイトのAngie Jonesらは歓迎し、蓄積したスキルパックをツール間で持ち運べる方法がやっとできた、と述べています。
• 統一「パッケージ仕様」は誰に利するのか：支持者は中小開発者が一度の開発でChatGPT、Cursor、Copilotなど主流クライアントに届くと見ます。逆に、既存ユーザー基盤を持つ頭部クライアントの効果をさらに固める可能性もあります。
• 中国大手の一斉不在：創設TSCの5社と後から加わったGoogleはすべて米国企業です。Alibaba、Baidu、ByteDance、Tencentなど、国内でMCPを広く支援し、独自のMCP広場まで持つベンダーは策定名簿にいません。単なる時間差かもしれませんが、中米のAI Agentエコシステムが下位プロトコル層で再び「並行発展」する兆しとも読めます。

影響と背景：「モデル競争」から「インフラ競争」へ

8月7日はGPT-5発売1周年です。OpenAIはその前日にAgent Pluginsを公式発表し、同じ週には無料ユーザー向けGPT-5.6 Luna（テキスト会話回数制限の解除）と有料ユーザー向けGPT-5.6 Sol（「思考強度」スライダー追加）も更新しました。Google公式ブログの表現では、「パッケージングは地味だが必要なインフラであり、五回も再発明するのではなく共有すべきもの」です。MCPが「接続」、Agent Skillsが「教育」、Agent Pluginsが「配布」を解き、三層が重なって初めて「Agent能力を本当にスケール再利用できる」技術閉環に近づきます。

6ステップ落地チェックリスト（開発者向け）：

1. クライアント対応面を確認：初日対応リスト（ChatGPT/Codex、Cursor、GitHub Copilot、Kiro、VS Code）と照合し、対象製品がAgent Plugins 1.0を宣言済みか確認します。
2. 二種のコンポーネントに分解：既存拡張をAgent Skills（SKILL.md）とMCPサーバー設定に分け、非標準ディレクトリに混ぜないようにします。
3. ルートマニフェストを書く：プラグインルートにplugin.jsonを置き仕様版を宣言。スキルはskills/へ、MCPはmcp.json（stdio / Streamable HTTPなど）へ。
4. 私有拡張の名前空間を確保：クライアント専用能力が必要なら逆ドメインディレクトリ（例：com.cursor.xxx/）を使い、移植可能なコアを汚染しない。
5. セキュリティベースラインを敷く：標準付帯の安全に頼らない。インストール前は公式マーケット、出所とリポジトリ変更を確認し、TOCTOUと「高スター倉庫」偽装に注意。
6. 安定ホストで通す：Cursor／ローカルAgentでSkillsとMCPを結合するときは、root可能で長接続が安定したApple Siliconホストを優先し、共有クラウドのジッターで長時間セッションが切れないようにします。

# Agent Plugins 1.0 watchlist
spec: 1.0.0 working_draft
components: skills + mcp_servers
day1_clients: chatgpt,codex,cursor,copilot,kiro,vscode
out_of_scope: install,marketplace,permissions,sandbox,trust
security: client_responsibility_only
next: verify source before install

引用可能なハードデータ（2026-08-06/07時点）：

• 仕様版：Agent Plugins 1.0.0、ワーキングドラフト。2026年7月24日初稿、8月6日五社公開
• コンポーネント範囲：Agent SkillsとMCPサーバーの2種のみ。コアファイルはplugin.json、skills/、mcp.json
• Skills採用規模：オープン後約半年で32以上のツールがAgent Skillsを採用
• セキュリティ監査：AIRの偽スキルは約2.6万Agentに到達。Snykの約4000スキル標本では36.8%に欠陥、13.4%が致命級
• ガバナンス：公開リポジトリagentplugins/agent-plugins-spec。TSCは米系五社＋Googleが同日参加

Q1：Agent PluginsとMCP、Agent Skillsはどんな関係ですか？置き換わりますか？
置き換わりません。MCPは「Agentが外部ツールとデータにどう接続するか」、Agent Skillsは「Agentに再利用可能な操作手順をどうカプセル化するか」を担い、Agent Pluginsはその上に統一のパッケージと発見形式を足し、SkillsとMCPサーバーを同じディレクトリに入れて異なるクライアントに認識させます。三者は階層関係であり、競合関係ではありません。

Q2：一般の開発者は今Agent Pluginsを気にする必要がありますか？
Claude Code、Cursor、ChatGPTなど複数のAgent向けに拡張を個別開発しており、すでにAgent SkillsやMCPサーバーを使っているなら注目する価値があります。この形式で一度パッケージすれば、理論上は複数クライアントに同時認識され、重複作業を減らせます。一般ユーザーであれば、短期的な体感は大きくありません。

Q3：この標準は安全ですか？悪意のあるプラグインに悪用されませんか？
標準自体は安全保障を提供しません。「パッケージの見た目」だけを定義し、スキャン、サンドボックス、出所検証には触れません。安全責任は完全に各クライアント側です。すでに複数の主流スキャナをすり抜けた悪意あるAgent Skill事例があるため、Agentプラグインを入れる前は公式マーケット経由で出所を確認し、スター数や「正規に見える」リポジトリを盲信しないでください。

Q4：国内ベンダー（Alibaba、Baidu、ByteDanceなど）はこの標準に追随しますか？
現時点ではこれらのベンダーはAgent Pluginsの策定名簿にいませんが、以前からMCPを広く支援しています。標準は完全にオープンで、どのクライアントも独自実装できるため、国内ツールが後から適合する可能性は残ります。ただし公式の公開計画はなく、今後の動向を注視するのがよいでしょう。

Q5：Agent Pluginsは2023年のChatGPT Pluginsのように、しばらくして捨てられませんか？
背景が異なります。ChatGPT PluginsはOpenAI単独製品で、停止判断は一社にありました。Agent Pluginsは初日から複数社共同ガバナンスのオープン標準であり、一社が抜けても仕様自体の存続は左右されません。一方でオープン標準にもリスクがあります。実利用者が少なければ、あるいは各クライアントが私有拡張へ資源を寄せれば、標準は「棚晒し」になり得ます。いまは公開直後で、本当に広く採用されるかは今後数か月の落地を見る必要があります。

データソース（一部）：Vercel公式ブログ「Introducing Agent Plugins」およびChangelog（2026年8月6日）；agent-plugins.org公式仕様（Spec 1.0.0、ワーキングドラフト）；Google Developers Blog「Agent Plugins package your skills, tools, and more」（2026年8月6日）；The Next Web、Virtualization Review関連報道；Anthropic公式ブログ「Introducing Agent Skills」および後続更新；セキュリティ企業AIR、Snyk（ToxicSkills研究）、Help Net Securityの悪意あるAgent Skill報告；36氪、Alibaba Cloud開発者コミュニティの国内MCP採用報道；OpenAI公式ブログ「Improving GPT‑5.6 Sol in ChatGPT」、TechCrunch関連報道。本稿の情報は2026年8月7日時点で整理。公開前に最新データをご確認ください。

共有クラウドホストで長時間Agentを走らせると帯域ジッターとオーバーセルに遭いやすく、仮設の推論ノードでは長接続が切断されやすい；コンシューマ向け本機では7×24とチーム協業の隔離を保ちにくいです。Skills / MCP / Agent Pluginsの結合と本番自動化により適した安定環境なら、JEXCLOUD多リージョンベアメタルMacが通常より良い選択です。Apple Silicon専有、7×24稼働、月単位の柔軟性、約120秒でデプロイ。ノードと価格はJEXCLOUD料金ページをご覧ください。