Agent Pluginsとは？OpenAIら5社が公開したAIエージェント向け「統一包装」標準が解く摩擦と、あえて残した空白

摩擦を先に切り分ける：「一つの拡張包」を五回書く理由

エージェントの拡張性自体は新しい話ではありません。一方で、Cursor・ChatGPT・Copilot向け拡張を同時に抱えるチームには、次のような具体的な摩擦が残っています。

• ディレクトリ慣習がクライアントごとに違う：Skillsの置き場、MCP設定の書き方、マニフェスト名が揃っておらず、同じ能力を何度も梱包し直す必要があります。
• プロトコル層は揃い、工学層はまだ割れている：MCPは「ツールへの接続」、Agent Skillsは「再利用可能な技能の教え方」を解きましたが、梱包と発見は各社流です。
• 安全スキャンは「標準」に外注できない：公開の約1か月前にも、複数マーケットのスキャンをすり抜けた悪意あるSkill事例が報告されています。包装だけを定義する標準では、リスクはクライアント側に残ります。
• エコシステムの発言力は技術的完備とイコールではない：5社連合でも世界のベンダーを覆いません。中国大手はMCPを支持しつつ、本標準の策定名簿には現れておらず、追随の見通しは不明です。
• モデル値下げの物語と並行する：同週には GPT-5.6 Luna／Sol の更新もありました。モデル競争に加え、インフラ層の標準争いも熱を帯びています。

何が起きたか：MCPからAgent Pluginsまでのタイムライン

Agent Pluginsはゼロからの発明ではなく、進化の連鎖の最新段です。

Agent Skillsは「技能の教え方」、MCPは「ツールへの接続」を解きますが、梱包と発見はクライアントごとに習慣が違います。同じ拡張包を複数製品で動かそうとすると、これまで各プラットフォーム向けに別実装が必要でした。Agent Pluginsは、SkillsとMCPサーバーを同じ「包装箱」に入れることを狙います。

コアデータの一覧：何を覆い、何をあえて覆わないか

深掘り：何を標準化し、なぜそれ以上はやらないのか

一つのマニフェスト、二つのコンポーネント。プラグインは一つのディレクトリです。ルートにplugin.jsonを置き、従う仕様バージョンを宣言します。技能は固定のskills/に置き、Agent SkillsのSKILL.md形式に従う必要があります。MCPサーバー設定はmcp.jsonに書き、stdioやStreamable HTTPなど複数の接続方式をサポートします。このディレクトリを認識できるクライアントは自動で発見・読み込みでき、未知のコンポーネント種別や形式誤りは、プラグイン全体を拒否せず当該コンポーネントだけスキップすれば足ります。逆引きドメインの拡張名前空間（例：com.cursor.xxx/）も残されており、各社は共通部分を汚さずに私有能力を足せます。

意図的な空白こそ、本当の駆け引きです。仕様本文はv1について、インストール機構・配布プロトコル・権限モデル・サンドボックス隔離・信頼／出所検証・UXを定義しないと明記しています。いずれも各クライアント任せです。Agent Pluginsが解くのは「包装の見た目」であり、「その包を信じてよいか／インストール時のリスク／どこから入手するか」ではありません。範囲が狭いほど着地しやすい一方、「誰が安全を判定するか」は各クライアントへ明確に押し戻されます。

なぜ今なのか。MCPとAgent Skillsはそれぞれ「ベンダー独自→開放寄贈→業界追随」の経路をたどりました。Agent Pluginsは初日からの複数社共同策定です。統計上、Agent Skills公開後およそ半年で採用ツールは32を超えています。梱包方式が揃わないままでは、同じ作業が繰り返されます。

{
  "name": "example-agent-plugin",
  "version": "1.0.0",
  "agentPlugins": "1.0.0"
}

横比較：Agent Pluginsとその「先輩」たち

Agent PluginsはMCPやAgent Skillsを置き換えるものではありません。両層の上に「梱包契約」を重ね、最後の一マイルの工学摩擦を減らします。エージェントがツールをどう呼ぶかを再定義するわけではありません。

論争点：開放標準 ≠ 無リスク、≠ 算段なし

• 安全はクライアントへ明確に押し戻される：公開の約1か月前、セキュリティ企業AIRは「偽スキル」攻撃を公開デモしました。悪意あるAgent Skill brand-landingpageは、約3.6万starのリポジトリの信用を借り、Cisco、Nvidia、skills.shなどのスキャンをすり抜け、約2.6万のエージェントに到達したと伝えられます。核心はTOCTOUの時間差です。スキャン時は正常ドキュメントへのリンクを指し、通過後に悪意あるURLへ差し替えます。Snykが約4000の公開スキルを監査したところ、36.8%に欠陥、13.4%に致命級の問題があったとされます。Agent Plugins標準自体は信頼と出所検証に一切触れません。
• 「薄すぎる標準ではないか」：SST作者のDax Raad氏は強く反対し、本当に有用な部分は最終的に私有拡張になると述べています。開発者エバンジェリストのAngie Jones氏は歓迎し、技能包をツール間で動かせるようになると評価しています。
• 統一包装は誰に利するのか：支持派は、中小開発者が一度作って多端へ届けると見ます。一方、既存ユーザー基盤の大きいクライアント効果が固定される恐れもあります。
• 中国大手の不在：創設TSCの5社と後から加わったGoogleはいずれも米国企業です。Alibaba、Baidu、ByteDance、Tencentなど、MCPを広く支持し独自のMCP広場まで持つベンダーは策定名簿にいません。単なる時間差かもしれませんが、中米のエージェント生態が基盤プロトコル層で再び「並行発展」する兆候とも読めます。

影響と背景：「モデル競争」から「インフラ競争」へ

8月7日はGPT-5公開からちょうど1年です。OpenAIは前日にAgent Pluginsを発表し、同週には無料向けGPT-5.6 Luna（テキスト対話回数制限の解除）と有料向けGPT-5.6 Sol（「思考強度」スライダー追加）も更新しています。メッセージは明確です。業界は「インフラ／エコシステム」へ同時に張っています。Google公式ブログは「梱包は地味だが必要なインフラであり、五回も再発明すべきではない」と述べます。MCPが「接続」、Agent Skillsが「教育」、Agent Pluginsが「配布」を担い、三層が重なって初めて「エージェントを規模化して再利用できる」技術ループに近づきます。

クライアント横断でAgent Pluginsを評価する：6ステップ手順

仕様は公開直後です。「生態が熟すまで待つ」必要はありません。次の6ステップで、見出しを再現可能な結論に圧縮してください。

1. 範囲の境界を読む：公式仕様を開き、v1がSkills＋MCPの梱包だけを覆い、インストール・マーケット・権限・サンドボックス・信頼検証を対象外とすることを確認します。「開放標準」を「箱から出して安全」と誤読しないでください。
2. 既存拡張の在庫を対照する：チームが持つSKILL.mdとMCPサーバー設定を列挙し、Cursor／Copilot／ChatGPT向けに別々に保守している重複ディレクトリを印します。
3. 仕様どおり最小プラグインを組む：ルートにplugin.json、技能をskills/、MCPをmcp.jsonへ。まず読み取り専用ツールだけの最小包を作ります。
4. 同一包を2つ以上のクライアントで読み込む：少なくともCursorとVS Code／Copilot（またはChatGPT）で一度ずつ読み込み、発見パス、スキップされたコンポーネント、私有名前空間の挙動差を記録します。
5. 攻撃面を最小化する：見知らぬリポジトリから本番プラグインを直接入れないでください。出所、配布チャネル、クライアント内蔵スキャンを確認し、ネットワークコールバックや秘密鍵読み取りを含むSkillは既定で不信として扱います。
6. wipe可能なクリーンMacで隔離対照する：複数エージェントクライアントの並行導入は端末状態を汚しやすいです。専有の物理機でMCP／Skillsのスモークと権限回帰を回し、終了後は分単位でリセットし、共有CIに残る資格情報を避けます。

mkdir -p my-plugin/skills/hello
printf '%s\n' '{"name":"my-plugin","version":"0.1.0","agentPlugins":"1.0.0"}' > my-plugin/plugin.json
printf '%s\n' '---' 'name: hello' '---' '# Hello skill' > my-plugin/skills/hello/SKILL.md
printf '%s\n' '{"mcpServers":{}}' > my-plugin/mcp.json

引用できるハードデータと出典

• 公開日：2026年8月6日に1.0公開。ワーキングドラフト初出は2026年7月24日。
• コンポーネント範囲：Agent SkillsとMCPサーバーの2種のみ。中核ファイルはplugin.json、skills/、mcp.json。
• 初日クライアント：ChatGPTとCodex、Cursor、GitHub Copilot、Kiro、VS Code。
• 採用圧力：Agent Skills開放後およそ半年で採用ツールが32を超過。
• 安全背景：AIRの偽スキルデモが複数スキャンをすり抜け、約2.6万エージェント到達と報告。Snyk監査では約4000スキル中36.8%に欠陥、13.4%に致命級問題。

仕様と製品対応は変わり得ます。公式リンクを正とし、本稿の情報は2026年8月7日時点です。

公式ソース：

Vercel Blog —— Introducing Agent Plugins

Vercel Changelog —— Introducing Agent Plugins 1.0.0

agent-plugins.org —— Agent Plugins Specification 1.0.0

Google Developers Blog —— Agent Plugins package your skills, tools, and more

第三者報道：

The Next Web —— OpenAI and four rivals agreed on one standard for AI agents

よくある質問

Agent PluginsはSkillsとMCPを同じ包装箱に入れましたが、インストール・マーケット・信頼検証はすべてクライアント任せです。ツール横断の対照テストは増え、端末上に相互汚染した拡張状態も積みやすくなります。クリーンでroot可能、いつでもwipeできる本物のApple Siliconが必要な場面では、KVMFLUXの日単位から借りられるクラウドMac miniが手早い解であることが多いです。SSH直結でCursor／VS Code／MCPのスモークを回し、終了後にリセットすれば、日常開発機のキーチェーンと奪い合いません。レンタル期間のコスト比較は Mac mini M4レンタル全解説 もあわせて参照してください。