Agent Plugins是什么？OpenAI联合五巨头发布的AI插件「统一包装」标准，解决了什么、又留下了什么坑

先搞清摩擦点：为什么「一个扩展包」还要写五遍

AI Agent 的可扩展性不是新话题，但对同时维护 Cursor、ChatGPT、Copilot 扩展的团队来说，摩擦一直很具体：

• 目录结构各家一套：Skills 放哪、MCP 配置写哪、清单文件叫什么，客户端习惯不同，同一能力要重复打包。
• 协议层已统一、工程层仍碎片：MCP 解决了「怎么连工具」，Agent Skills 解决了「怎么教可复用技能」，但打包与发现方式仍各自为政。
• 安全扫描不可外包给「标准」：发布前一个月已有绕过多家市场扫描的恶意 Skill 案例；标准若只定义包装，风险仍落在客户端。
• 生态话语权不等于技术完备：五巨头联合不等于覆盖全球厂商；国内大厂支持 MCP 却未出现在本标准制定名单，后续适配仍不明。
• 和模型降价叙事并行：同一周还有 GPT-5.6 Luna / Sol 更新——拼模型之外，基础设施层的标准战也在升温。

发生了什么：从 MCP 到 Agent Plugins 的时间线

Agent Plugins 是演进链上最新一环，不是从零发明：

Agent Skills 解决「怎么教技能」，MCP 解决「怎么连工具」，但两者的打包与发现在不同客户端里各有一套习惯。开发者想让同一个扩展包同时跑在这些产品里，此前需要为每家平台各写一份。Agent Plugins 要把 Skills 和 MCP 服务器统一装进同一个「包装盒」。

核心数据一览：规范覆盖什么、故意不覆盖什么

深度拆解：它标准化了什么，又为什么不多做

一个清单文件，两种组件。一个插件就是一个目录，根目录放 plugin.json，声明遵循哪个版本的规范。技能放在固定的 skills/ 目录，且必须符合 Agent Skills 的 SKILL.md 格式；MCP 服务器配置写进 mcp.json，支持 stdio、Streamable HTTP 等多种连接方式。客户端认得这套目录就能自动发现和加载——不认识的组件类型或格式错误，只需跳过该组件而不是拒绝整个插件。还留了「反向域名扩展命名空间」（如 com.cursor.xxx/），允许各家附加私有能力而不污染通用部分。

故意留白的部分，才是真正的博弈焦点。规范文本明确写着：v1「不定义安装机制、不定义分发协议、不定义权限模型、不要求沙箱隔离、不做信任与来源校验、不涉及用户体验」——统统留给各家客户端。Agent Plugins 解决的是「包装长什么样」，不解决「这个包能不能信、装的时候有没有风险、去哪儿下载」。范围越窄越容易落地；代价是「谁来判断插件是否安全」被明确甩给每一个客户端。

为什么现在做，而不是更早。MCP 和 Agent Skills 各自走过「厂商自造→开放捐赠→行业跟进」的路径。Agent Plugins 从第一天就是多家公司共同制定。据统计，Agent Skills 规范发布后半年内采用工具已超过 32 款——不统一打包方式，大家都要重复劳动。

{
  "name": "example-agent-plugin",
  "version": "1.0.0",
  "agentPlugins": "1.0.0"
}

横向对比：Agent Plugins 和它的「前辈们」

Agent Plugins 并不是要取代 MCP 或 Agent Skills，而是在这两层协议之上加了一层「打包契约」——解决「最后一公里」的工程摩擦，而不是重新定义 Agent 怎么调用工具。

争议点：开放标准 ≠ 没有风险，也 ≠ 没有算盘

• 安全问题被明确甩给客户端：发布前一个月，安全公司 AIR 公开演示「假技能」攻击——恶意 Agent Skill brand-landingpage 借用拥有约 3.6 万星标仓库的信誉，绕过 Cisco、Nvidia、skills.sh 等多家扫描，据称触达约 2.6 万个 Agent。核心是 TOCTOU 时间差：扫描时链接指向正常文档，通过后再替换成恶意地址。Snyk 对近 4000 个已上线技能的审计发现，36.8% 存在安全缺陷，13.4% 含致命级问题。Agent Plugins 标准本身完全没有涉及信任与来源校验。
• 「这是不是一个太单薄的标准」：SST 作者 Dax Raad 公开表示「非常反对」，认为真正有用的部分最终会被做成私有扩展。开发者布道师 Angie Jones 则表示欢迎：终于能把技能包在不同工具间搬来搬去。
• 统一包装规格到底利好谁：支持者认为中小开发者一次开发、多端触达；反过来，标准也可能固化已有用户基数的头部客户端效应。
• 中国大厂集体缺席：五个创始 TSC 成员以及后来加入的谷歌清一色是美国公司；阿里、百度、字节、腾讯等已普遍支持 MCP、甚至各自搭建 MCP 广场的厂商均未出现在制定名单——既可能是时间差，也可能预示中美 Agent 生态在底层协议层的又一次「平行发展」。

影响与背景：从「拼模型」到「拼基础设施」

8 月 7 日正是 GPT-5 发布一周年。OpenAI 选在前一天官宣 Agent Plugins，同一周还更新了面向免费用户的 GPT-5.6 Luna（解除文字对话次数限制）和面向付费用户的 GPT-5.6 Sol（新增「思考强度」滑块）。信号很明确：行业在同步往「基础设施 / 生态」发力。Google 官方博客的说法是：「打包是不体面但必要的基础设施，这种东西应该被共享，而不是被重新发明五次。」MCP 解决「连接」，Agent Skills 解决「教学」，Agent Plugins 解决「分发」——三层叠在一起，才勉强拼出一个「Agent 真正能被规模化复用」的技术闭环。

跨客户端评估 Agent Plugins：6 步实操清单

规范刚发布，选型团队不必等「生态成熟」才动手——用下面六步把新闻压成可复现结论。

1. 读清范围边界：打开官方规范，确认 v1 只覆盖 Skills + MCP 打包，明确不覆盖安装、市场、权限、沙箱与信任校验——别把「开放标准」误读成「开箱即安全」。
2. 对照现有扩展库存：列出团队已有的 SKILL.md 与 MCP 服务器配置，标出目前为 Cursor / Copilot / ChatGPT 各自维护的重复目录。
3. 按规范搭最小插件目录：根目录放 plugin.json，技能进 skills/，MCP 进 mcp.json；先做一个只含只读工具的最小包。
4. 在两个以上客户端加载同一包：至少在 Cursor 与 VS Code / Copilot（或 ChatGPT）各加载一次，记录发现路径、跳过组件与私有命名空间行为差异。
5. 做恶意面最小化检查：禁止从陌生仓库直接装生产插件；核对来源、发行渠道与客户端自带扫描；对含网络回调或密钥读取的 Skill 默认不信任。
6. 在可 wipe 的干净 Mac 上做隔离对照：多 Agent 客户端并行安装易污染本机状态。用独享物理机跑 MCP / Skills 冒烟与权限回归，测完分钟级重置，避免共享 CI 残留凭证。

mkdir -p my-plugin/skills/hello
printf '%s\n' '{"name":"my-plugin","version":"0.1.0","agentPlugins":"1.0.0"}' > my-plugin/plugin.json
printf '%s\n' '---' 'name: hello' '---' '# Hello skill' > my-plugin/skills/hello/SKILL.md
printf '%s\n' '{"mcpServers":{}}' > my-plugin/mcp.json

可引用的硬核数据与来源

• 发布日：2026 年 8 月 6 日公开 1.0；工作草案首见于 2026 年 7 月 24 日。
• 组件范围：仅 Agent Skills 与 MCP 服务器两种；核心文件为 plugin.json、skills/、mcp.json。
• 首日客户端：ChatGPT 与 Codex、Cursor、GitHub Copilot、Kiro、VS Code。
• 采用压力：Agent Skills 开放后约半年内采用工具超过 32 款。
• 安全背景：AIR 演示假技能绕过多家扫描、据称触达约 2.6 万 Agent；Snyk 审计近 4000 技能中 36.8% 有缺陷、13.4% 含致命级问题。

规范与产品支持可能随时间变化，请以官方链接为准。本文信息截至 2026 年 8 月 7 日。

官方源：

Vercel Blog —— Introducing Agent Plugins

Vercel Changelog —— Introducing Agent Plugins 1.0.0

agent-plugins.org —— Agent Plugins Specification 1.0.0

Google Developers Blog —— Agent Plugins package your skills, tools, and more

第三方报道：

The Next Web —— OpenAI and four rivals agreed on one standard for AI agents

常见问题

Agent Plugins 把 Skills 与 MCP 装进了同一只包装盒，却把安装、市场与信任校验全部留给客户端——这意味着跨工具对照测试会更频繁，也更容易在本机堆出互相污染的扩展状态。需要一台干净、可 root、可随时 wipe 的真实 Apple Silicon 时，KVMFLUX 按天起租的云端 Mac mini 通常是更省事的解法：SSH 直连跑 Cursor / VS Code / MCP 冒烟，测完重置，不必和日常开发机抢同一套密钥链。若你还在对比租期成本，可一并参考 Mac mini M4 租赁全解析。