Agent Plugins是什么？OpenAI联合五巨头发布的AI插件
「统一包装」标准，解决了什么、又留下了什么坑

AI Agent 的「可扩展性」问题不是新话题，Agent Plugins 是这条技术演进链上最新的一环，而不是从零发明：

• 2023 年 3 月：OpenAI 推出 ChatGPT Plugins，允许第三方为 ChatGPT 开发插件，是早期较开放的扩展生态。
• 2024 年 1 月：OpenAI 推出 GPTs 商店后，逐步关闭 Plugins，转向更封闭的平台模式。
• 2024 年 11 月：Anthropic 发布 MCP（Model Context Protocol），标准化 Agent 连接外部工具/数据的方式，后捐赠给 Linux 基金会。
• 2025 年 3 月：OpenAI、Google 相继宣布支持 MCP，行业逐渐统一到这套协议上。
• 2025 年 10 月 16 日：Anthropic 在 Claude Code 中推出 Agent Skills，用 SKILL.md 文件封装可复用的操作指令。
• 2025 年 12 月 18 日：Agent Skills 独立为开放标准（agentskills.io），微软、OpenAI 在 48 小时内跟进支持。
• 2026 年 3 月：Agent Skills 采用范围扩大到 32 款以上工具，包括 Gemini CLI、JetBrains Junie、AWS Kiro 等。
• 2026 年 7 月 24 日：Agent Plugins 规范 1.0.0 首次以「工作草案」形式发布。
• 2026 年 8 月 6 日：Vercel 领头，联合 OpenAI、微软、亚马逊、Cursor 正式公开发布 Agent Plugins 1.0，谷歌同日加入核心维护者行列。

可以看到，Agent Plugins 要解决的问题很具体：Agent Skills 解决了「怎么给 Agent 教一套可复用技能」，MCP 解决了「怎么让 Agent 连上外部工具和数据」，但两者的打包、发现方式在不同客户端（ChatGPT、Cursor、Copilot……）里各有一套目录结构和配置习惯。开发者想让同一个扩展包同时在这些产品里跑，此前需要为每家平台各写一份。Agent Plugins 要做的，就是把 Skills 和 MCP 服务器这两种组件，统一装进同一个「包装盒」。

痛点很直接：扩展生态碎片化 → 重复打包成本高 → 安全与信任机制却仍未随「统一包装」一并标准化。

先把规范本身的「硬信息」摊开，再和前辈标准对照，避免把「打包层」误读成「新协议」：

数据来源：Vercel 官方博客、agent-plugins.org 规范文档、Google Developers Blog（均为 2026 年 8 月 6 日发布）。

Agent Plugins 并不是要取代 MCP 或 Agent Skills，而是在这两层协议之上加了一层「打包契约」——它解决的是「最后一公里」的工程摩擦，而不是重新定义 Agent 怎么调用工具。

1. 一个清单文件，两种组件。Agent Plugins 的技术设计其实很「小」：一个插件就是一个目录，根目录放一个 plugin.json 清单，声明这个包遵循哪个版本的规范。如果插件里带了技能，就放在固定的 skills/ 目录下，且必须符合 Agent Skills 规范定义的 SKILL.md 格式；如果带了 MCP 服务器配置，就写进 mcp.json，支持 stdio、Streamable HTTP 等多种连接方式。客户端只要认得这套固定的目录结构，就能自动发现和加载对应组件——不认识的组件类型或格式错误，只需跳过该组件而不是拒绝整个插件。此外还留了「反向域名扩展命名空间」机制（比如 com.cursor.xxx/），允许各家客户端在标准之外附加自己的私有能力，不会污染通用部分。

my-agent-plugin/
├── plugin.json
├── skills/
│   └── .../SKILL.md
└── mcp.json
安装 / 沙箱 / 信任校验：规范明确不定义

2. 故意留白的部分，才是真正的博弈焦点。规范文本里明确写着：v1 版本「不定义安装机制、不定义分发协议、不定义权限模型、不要求沙箱隔离、不做信任与来源校验、不涉及用户体验」——这些统统留给各家客户端自己决定。换句话说，Agent Plugins 解决的是「包装长什么样」，不解决「这个包能不能信、装的时候有没有风险、去哪儿下载」。这不是疏漏，而是刻意为之的设计取舍：范围越窄，各方越容易达成一致、越容易落地，这也是为什么这份规范能在几个月内从提案走到五家巨头联合发布。但代价是，恰恰最难、最要命的问题——谁来判断一个插件是否安全——被明确甩给了每一个客户端自己去解决。

3. 为什么这件事现在做，而不是更早。MCP 和 Agent Skills 各自走过了「厂商自造标准→开放捐赠→行业跟进」的路径（MCP 捐给了 Linux 基金会，Agent Skills 由 Anthropic 主动开放）。这一次 Agent Plugins 从第一天就是多家公司共同制定，某种程度上是行业吸取了此前「先各自为战再艰难统一」的教训，也说明 Skills 和 MCP 的采用规模已经大到「不统一打包方式，大家都要重复劳动」的临界点——据统计，Agent Skills 规范发布后半年内采用工具已超过 32 款。

可引用硬信息（便于二次引用与核对）：

• 规范范围：仅覆盖 Agent Skills + MCP 服务器两种组件类型。
• 首日客户端：ChatGPT/Codex、Cursor、GitHub Copilot、Kiro、VS Code。
• 安全审计背景：Snyk 对近 4000 个已上线技能的审计发现，36.8% 存在安全缺陷，13.4% 含有致命级问题；AIR 演示的假技能据称触达约 2.6 万个 Agent。

• 安全问题被明确甩锅给客户端：就在 Agent Plugins 发布前一个月，安全公司 AIR 公开演示了一次「假技能」攻击——一个名为 brand-landingpage 的恶意 Agent Skill，借用一个拥有 3.6 万星标的知名仓库的信誉，成功绕过了 Cisco、Nvidia、skills.sh 等多家安全扫描工具，据称触达约 2.6 万个 Agent（部分为企业账号）。核心漏洞是经典的「检查时-使用时」（TOCTOU）时间差：扫描时链接指向的是正常文档，通过审核后再悄悄替换成恶意地址。Snyk 同期对近 4000 个已上线技能的审计也发现，36.8% 存在安全缺陷，13.4% 含有致命级问题（恶意代码、凭据泄露等）。Agent Plugins 标准本身完全没有涉及这类信任与来源校验机制，等于把这个烧眉毛的问题原样传给了下一步。
• 「这是不是一个太单薄的标准」：开发者工具框架 SST 的作者 Dax Raad 公开表示「非常反对」这份标准，认为它是「一个很薄的标准」，真正有用的部分最终还是会被各家客户端做成自己的私有扩展，标准本身沦为摆设。但也有开发者（如开发者布道师 Angie Jones）对此表示欢迎，认为终于有了一种方式，能把自己积累的技能包在不同工具间搬来搬去，不用来回重写。
• 统一「包装规格」到底利好谁：支持者的逻辑是，统一包装能让中小开发者一次开发、同时触达 ChatGPT、Cursor、Copilot 等所有主流客户端的用户，降低进入门槛。但反过来看，标准往往利好已经拥有用户基数的头部客户端——因为不管插件包装得多标准，用户还是要先打开一个具体的 Agent 产品才能用上它，头部效应可能反而被这层「统一插件层」进一步固化。
• 中国大厂集体缺席：Agent Plugins 的五个创始技术指导委员会成员（Vercel、OpenAI、微软、亚马逊、Cursor 母公司 Anysphere）以及后来加入的谷歌，清一色是美国公司；阿里、百度、字节、腾讯等在国内已经普遍支持 MCP 协议、甚至各自搭建了 MCP 广场的厂商，均未出现在这份标准的制定名单里。这既可能是时间差，也可能预示着中美 AI Agent 生态在底层协议层面的又一次「平行发展」。

六步落地指南（评估与试用 Agent Plugins）：

1. 先分清三层：MCP = 连接；Agent Skills = 教学/可复用指令；Agent Plugins = 打包与发现。不要用「替代」框架理解三者关系。
2. 核对客户端清单：确认你日常使用的 ChatGPT/Codex、Cursor、Copilot、VS Code、Kiro 等是否已在首日支持列表；谷歌产品侧以 Antigravity、Gemini CLI、Data Agent Kit 等后续合作为准。
3. 按规范目录打包一次：根目录放 plugin.json，技能进 skills/（须符合 SKILL.md），MCP 配置写进 mcp.json；未知组件类型应被客户端跳过而非整包拒绝。
4. 把安全责任写进清单：规范不覆盖安装、沙箱与来源校验——安装前走官方市场、核实仓库来源，勿只看 star 数；对照 AIR / Snyk 案例更新内部审核流程。
5. 做一次跨客户端烟测：同一插件包分别在至少两款客户端加载，确认 Skills 与 MCP 发现路径一致，再决定是否停用各平台私有包装脚本。
6. 跟踪治理名单与国内跟进：关注 agentplugins/agent-plugins-spec 与 agent-plugins.org；国内厂商是否适配尚无公开计划，决策时预留「双轨打包」缓冲。

官方说明与规范入口（发版后请再次打开链接核对）：

https://vercel.com/blog/introducing-agent-plugins

https://agent-plugins.org/

https://developers.googleblog.com/agent-plugins-package-your-skills-tools-and-more/

这次发布还有一个耐人寻味的时间点——8 月 7 日正是 GPT-5 发布一周年，OpenAI 选在这个节点前一天官宣 Agent Plugins，同时还在同一周更新了面向免费用户的 GPT-5.6 Luna 模型（解除文字对话次数限制）和面向付费用户的 GPT-5.6 Sol（新增「思考强度」滑块）。Google 在官方博客里的说法是：「打包是不体面但必要的基础设施，这种东西应该被共享，而不是被重新发明五次。」MCP 解决「连接」，Agent Skills 解决「教学」，Agent Plugins 解决「分发」——三层协议叠在一起，才勉强拼出一个「Agent 真正能被规模化复用」的技术闭环。

FAQ 速答

• Agent Plugins 和 MCP、Agent Skills 是什么关系？会互相替代吗？不会替代。MCP 负责「Agent 怎么连接外部工具和数据」，Agent Skills 负责「怎么给 Agent 封装一套可复用的操作指令」，Agent Plugins 则是在这两者之上加了一层统一的打包和发现格式。三者是分层关系，不是竞争关系。
• 普通开发者现在需要关心 Agent Plugins 吗？如果你正在给 Claude Code、Cursor、ChatGPT 等多个 Agent 工具分别开发扩展，且已经在用 Agent Skills 或 MCP 服务器，那么值得关注——用这套格式打包一次，理论上能同时被多家客户端识别。如果只是普通用户，短期内感知不会很明显。
• 这个标准安全吗，会不会被恶意插件利用？标准本身不提供安全保障——它只定义「包装长什么样」。安全责任完全在各家客户端手里。建议安装任何 Agent 插件前，仍要通过官方市场、核实来源，不要盲目信任 star 数。
• 国内厂商（阿里、百度、字节等）会跟进这个标准吗？目前这些厂商都还没有出现在 Agent Plugins 的制定名单里，但它们此前已普遍支持 MCP 协议。不排除后续国内工具跟进适配，但目前没有官方公开计划。
• Agent Plugins 会不会像 2023 年的 ChatGPT Plugins 一样过一段时间就被放弃？两者背景不同。ChatGPT Plugins 是 OpenAI 独家产品；Agent Plugins 从第一天就是多家公司共同治理的开放标准。但若实际使用者寥寥，或各家更愿意做私有扩展，标准同样可能被「晾在一边」。目前处于刚发布阶段，需观察后续几个月落地情况。

对开发者而言：若扩展只在某一家云端 Agent 里「能跑」，短板是跨客户端重复打包与平台政策变更；若本地/远程节点不稳定，Skills 与 MCP 的烟测和 7×24 常驻都会打折。对需要完整 macOS 环境跑 Cursor、Claude Code、MCP Server 与 iOS CI/CD、且希望节点 7×24 在线的团队，CALMVPS 裸金属 Mac Mini M4 租赁通常是更优解：独占 Apple Silicon、六地节点弹性切换、120 秒交付。机型与实时价格见 CALMVPS 定价页。

数据来源：Vercel《Introducing Agent Plugins》及 Changelog；agent-plugins.org Spec 1.0.0；Google Developers Blog；The Next Web、Virtualization Review；Anthropic Agent Skills 相关博文；AIR、Snyk（ToxicSkills）、Help Net Security；36 氪与阿里云开发者社区关于国内 MCP 采用情况的报道；OpenAI《Improving GPT‑5.6 Sol in ChatGPT》、TechCrunch。本文信息截至 2026 年 8 月 7 日整理，Agent Plugins 及相关模型更新仍在快速演进中，发布前请核实最新数据。