Agent Plugins是什么？OpenAI联合五巨头发布的AI插件「统一包装」标准，解决了什么、又留下了什么坑

AI Agent的「可扩展性」问题不是新话题，Agent Plugins是这条技术演进链上最新的一环，而不是从零发明：

• 2023年3月：OpenAI推出ChatGPT Plugins，允许第三方为ChatGPT开发插件，是早期较开放的扩展生态。
• 2024年1月：OpenAI推出GPTs商店后，逐步关闭Plugins，转向更封闭的平台模式。
• 2024年11月：Anthropic发布MCP（Model Context Protocol），标准化Agent连接外部工具/数据的方式，后捐赠给Linux基金会。站内可参见MCP协议解读。
• 2025年3月：OpenAI、Google相继宣布支持MCP，行业逐渐统一到这套协议上。
• 2025年10月16日：Anthropic在Claude Code中推出Agent Skills，用SKILL.md文件封装可复用的操作指令；可参见Agent Skills 开放标准指南。
• 2025年12月18日：Agent Skills独立为开放标准（agentskills.io），微软、OpenAI在48小时内跟进支持。
• 2026年3月：Agent Skills采用范围扩大到32款以上工具，包括Gemini CLI、JetBrains Junie、AWS Kiro等。
• 2026年7月24日：Agent Plugins规范1.0.0首次以「工作草案」形式发布。
• 2026年8月6日：Vercel领头，联合OpenAI、微软、亚马逊、Cursor正式公开发布Agent Plugins 1.0，谷歌同日加入核心维护者行列。

读者与开发者当前面临的核心痛点：

• 打包分裂：Skills解决「怎么教可复用技能」，MCP解决「怎么连外部工具」，但各客户端目录结构与配置习惯各一套，同一扩展要写多份。
• 发现成本高：没有统一清单与目录约定时，客户端无法自动发现 Skills 与 MCP 组件。
• 安全责任悬空：包装标准化后，安装、沙箱、来源校验仍不在规范内，恶意技能风险被原样甩给客户端。
• 生态话语权：标准制定方清一色美国公司，国内已普遍支持MCP的厂商是否跟进，仍不确定。

Agent Plugins要做的，就是把Skills和MCP服务器这两种组件，统一装进同一个「包装盒」——解决最后一公里的工程摩擦，而不是重新定义Agent怎么调用工具。

数据来源：Vercel官方博客、agent-plugins.org规范文档、Google Developers Blog（均为2026年8月6日发布）。

1. 一个清单文件，两种组件

Agent Plugins的技术设计其实很「小」：一个插件就是一个目录，根目录放一个plugin.json清单，声明这个包遵循哪个版本的规范。如果插件里带了技能，就放在固定的skills/目录下，且必须符合Agent Skills规范定义的SKILL.md格式；如果带了MCP服务器配置，就写进mcp.json，支持stdio、Streamable HTTP等多种连接方式。客户端只要认得这套固定的目录结构，就能自动发现和加载对应组件——不认识的组件类型或格式错误，只需跳过该组件而不是拒绝整个插件。此外还留了「反向域名扩展命名空间」机制（比如com.cursor.xxx/），允许各家客户端在标准之外附加自己的私有能力，不会污染通用部分。

{
  "name": "example-agent-plugin",
  "version": "1.0.0",
  "agentPlugins": "1.0.0"
}
# skills/… → SKILL.md
# mcp.json → MCP server config

2. 故意留白的部分，才是真正的博弈焦点

规范文本里明确写着：v1版本「不定义安装机制、不定义分发协议、不定义权限模型、不要求沙箱隔离、不做信任与来源校验、不涉及用户体验」——这些统统留给各家客户端自己决定。换句话说，Agent Plugins解决的是「包装长什么样」，不解决「这个包能不能信、装的时候有没有风险、去哪儿下载」。这不是疏漏，而是刻意为之的设计取舍：范围越窄，各方越容易达成一致、越容易落地。但代价是，恰恰最难、最要命的问题——谁来判断一个插件是否安全——被明确甩给了每一个客户端自己去解决。

3. 为什么这件事现在做，而不是更早

MCP和Agent Skills各自走过了「厂商自造标准→开放捐赠→行业跟进」的路径。这一次Agent Plugins从第一天就是多家公司共同制定，某种程度上是行业吸取了此前「先各自为战再艰难统一」的教训，也说明Skills和MCP的采用规模已经大到「不统一打包方式，大家都要重复劳动」的临界点——据统计，Agent Skills规范发布后半年内采用工具已超过32款。

窄范围换快速共识；安全、分发与信任被刻意留在客户端侧——这是Agent Plugins能在数月内走到五巨头联合发布的关键交易结构。

可以看到，Agent Plugins并不是要取代MCP或Agent Skills，而是在这两层协议之上加了一层「打包契约」——它解决的是「最后一公里」的工程摩擦，而不是重新定义Agent怎么调用工具。

争议点：

• 安全问题被明确甩锅给客户端：就在Agent Plugins发布前一个月，安全公司AIR公开演示了一次「假技能」攻击——一个名为brand-landingpage的恶意Agent Skill，借用一个拥有3.6万星标的知名仓库的信誉，成功绕过了Cisco、Nvidia、skills.sh等多家安全扫描工具，据称触达约2.6万个Agent（部分为企业账号）。核心漏洞是经典的「检查时-使用时」（TOCTOU）时间差：扫描时链接指向的是正常文档，通过审核后再悄悄替换成恶意地址。Snyk同期对近4000个已上线技能的审计也发现，36.8%存在安全缺陷，13.4%含有致命级问题（恶意代码、凭据泄露等）。Agent Plugins标准本身完全没有涉及这类信任与来源校验机制。
• 「这是不是一个太单薄的标准」：开发者工具框架SST的作者Dax Raad公开表示「非常反对」这份标准，认为它是「一个很薄的标准」，真正有用的部分最终还是会被各家客户端做成自己的私有扩展。但也有开发者（如开发者布道师Angie Jones）对此表示欢迎，认为终于有了一种方式，能把自己积累的技能包在不同工具间搬来搬去。
• 统一「包装规格」到底利好谁：支持者认为中小开发者可一次开发、触达ChatGPT、Cursor、Copilot等主流客户端；反过来看，标准也可能进一步固化已有用户基数的头部客户端效应。
• 中国大厂集体缺席：五个创始TSC成员以及后来加入的谷歌，清一色是美国公司；阿里、百度、字节、腾讯等在国内已普遍支持MCP、甚至各自搭建了MCP广场的厂商，均未出现在制定名单里。这既可能是时间差，也可能预示中美AI Agent生态在底层协议层面的又一次「平行发展」。

影响与背景：从「拼模型」到「拼基础设施」

8月7日正是GPT-5发布一周年，OpenAI选在这个节点前一天官宣Agent Plugins，同时还在同一周更新了面向免费用户的GPT-5.6 Luna（解除文字对话次数限制）和面向付费用户的GPT-5.6 Sol（新增「思考强度」滑块）。用Google在官方博客里的说法：「打包是不体面但必要的基础设施，这种东西应该被共享，而不是被重新发明五次。」MCP解决「连接」，Agent Skills解决「教学」，Agent Plugins解决「分发」——三层协议叠在一起，才勉强拼出一个「Agent真正能被规模化复用」的技术闭环。

六步落地清单（给开发者）：

1. 确认客户端支持面：对照首日支持名单（ChatGPT/Codex、Cursor、GitHub Copilot、Kiro、VS Code），确认目标产品是否已声明 Agent Plugins 1.0。
2. 拆出两种组件：把现有扩展拆成 Agent Skills（SKILL.md）与 MCP 服务器配置，避免混在非标准目录里。
3. 写根清单：在插件根目录放置plugin.json，声明规范版本；技能放入skills/，MCP写入mcp.json（stdio / Streamable HTTP 等）。
4. 预留私有扩展命名空间：若需客户端专属能力，使用反向域名目录（如com.cursor.xxx/），勿污染可移植核心。
5. 做安全基线：不依赖标准自带安全；安装前走官方市场、核对来源与仓库变更，警惕 TOCTOU 与「高星仓库」伪装。
6. 选稳定宿主跑通：在 Cursor / 本地 Agent 上联调 Skills 与 MCP 时，优先使用可 root、长连接稳定的 Apple Silicon 宿主，避免共享云抖动打断长程会话。

# Agent Plugins 1.0 watchlist
spec: 1.0.0 working_draft
components: skills + mcp_servers
day1_clients: chatgpt,codex,cursor,copilot,kiro,vscode
out_of_scope: install,marketplace,permissions,sandbox,trust
security: client_responsibility_only
next: verify source before install

可引用硬核数据（2026-08-06/07 口径）：

• 规范版本：Agent Plugins 1.0.0，工作草案；2026年7月24日首发草案，8月6日五方公开
• 组件范围：仅覆盖 Agent Skills 与 MCP 服务器两类；核心文件为plugin.json、skills/、mcp.json
• Skills 采用规模：开放后约半年内超过32款工具采用 Agent Skills
• 安全审计：AIR 演示假技能触达约2.6万 Agent；Snyk 近4000技能样本中36.8%有缺陷、13.4%致命级
• 治理：公开仓库agentplugins/agent-plugins-spec；TSC 为美系五家 + 谷歌同日加入

Q1：Agent Plugins和MCP、Agent Skills是什么关系？会互相替代吗？
不会替代。MCP负责「Agent怎么连接外部工具和数据」，Agent Skills负责「怎么给Agent封装一套可复用的操作指令」，Agent Plugins则是在这两者之上加了一层统一的打包和发现格式，让开发者能把Skills和MCP服务器一起塞进同一个目录、被不同客户端认出来。三者是分层关系，不是竞争关系。

Q2：普通开发者现在需要关心Agent Plugins吗？
如果你正在给Claude Code、Cursor、ChatGPT等多个Agent工具分别开发扩展，且已经在用Agent Skills或MCP服务器，那么值得关注——用这套格式打包一次，理论上能同时被多家客户端识别，减少重复劳动。如果只是普通用户，短期内感知不会很明显。

Q3：这个标准安全吗，会不会被恶意插件利用？
标准本身不提供安全保障——它只定义「包装长什么样」，不涉及扫描、沙箱、来源校验。安全责任完全在各家客户端手里。鉴于此前已经出现过绕过多个主流扫描器的恶意Agent Skill案例，建议安装任何Agent插件前，仍要通过官方市场、核实来源，不要盲目信任star数或「看起来正规」的仓库。

Q4：国内厂商（阿里、百度、字节等）会跟进这个标准吗？
目前这些厂商都还没有出现在Agent Plugins的制定名单里，但它们此前已普遍支持MCP协议。考虑到该标准完全开放、任何客户端都可以自行实现，不排除后续国内工具跟进适配，但目前没有官方公开计划，建议关注后续动态。

Q5：Agent Plugins会不会像2023年的ChatGPT Plugins一样，过一段时间就被放弃？
两者背景不同。ChatGPT Plugins是OpenAI独家产品、决策权在一家公司手里，说停就能停。Agent Plugins从第一天就是多家公司共同治理的开放标准，任何一家单独退出也不影响规范本身的存续。但开放标准也有自己的风险——如果实际使用者寥寥，或者各家客户端更愿意投入资源做私有扩展，标准同样可能被「晾在一边」。目前处于刚发布阶段，能否真正被广泛采用还需要观察后续几个月的落地情况。

数据来源（部分）：Vercel官方博客《Introducing Agent Plugins》及Changelog（2026年8月6日）；agent-plugins.org官方规范文档（Spec 1.0.0，工作草案）；Google Developers Blog《Agent Plugins package your skills, tools, and more》（2026年8月6日）；The Next Web、Virtualization Review相关报道；Anthropic官方博客《Introducing Agent Skills》及后续更新；安全公司AIR、Snyk（ToxicSkills研究）、Help Net Security关于恶意Agent Skill的安全报告；36氪、阿里云开发者社区关于MCP在国内厂商采用情况的报道；OpenAI官方博客《Improving GPT‑5.6 Sol in ChatGPT》、TechCrunch相关报道。本文信息截至2026年8月7日整理，发布前请核实最新数据。

共享云主机跑长程 Agent 时常见宽带抖动与超卖；临时拼凑的推理节点长连接易被打断；纯消费级本机则难保证7×24与团队协作隔离。对于需要更稳定、更适合 Skills / MCP / Agent Plugins 联调与生产自动化的环境，JEXCLOUD 多区域裸金属 Mac 通常是更优解：独占 Apple Silicon、7×24 在线、按月弹性，约 120 秒交付。具体节点与价格请见 JEXCLOUD 定价页。