Agent Plugins 1.0: el estándar abierto que quiere hacer portables las extensiones de los agentes de IA

La promesa es sencilla: que un desarrollador pueda crear una habilidad o una conexión con herramientas externas una sola vez y llevarla a varios agentes compatibles, en lugar de preparar paquetes distintos para ChatGPT, Cursor, GitHub Copilot o VS Code.

Qué define realmente Agent Plugins 1.0.0

Agent Plugins no es un nuevo entorno de ejecución para agentes. Es, sobre todo, un estándar de empaquetado. Según la especificación, un plugin mínimo es un directorio que contiene dos elementos :

• Un archivo plugin.json en la raíz, que identifica la versión de la especificación y el nombre del plugin.
• Una carpeta skills/ con archivos de habilidades de agente, normalmente documentos .md que contienen instrucciones para el agente.

El paquete puede incluir además un archivo mcp.json para configurar conexiones con servidores MCP —Model Context Protocol, un protocolo para conectar modelos con herramientas y fuentes de datos—. La especificación contempla los tres métodos de transporte de MCP .

En otras palabras, Agent Plugins reúne en un formato distribuible dos piezas distintas: las Agent Skills, que aportan instrucciones y capacidades orientadas a tareas, y la configuración de servidores MCP, que permite conectar al agente con herramientas o datos externos .

Lo que el estándar deja fuera a propósito

La especificación fija un suelo común de interoperabilidad, pero no intenta resolver todo el ciclo de vida de un plugin. No establece cómo debe instalarse, qué permisos debe recibir, cómo debe aislarse en un entorno seguro, cómo se determina si es confiable ni cómo debe comportarse durante su ejecución .

Todas esas decisiones quedan en manos de cada cliente. Una aplicación puede añadir sus propios controles, interfaces, políticas o funciones exclusivas sin que el estándar las convierta en obligatorias para las demás plataformas. Por eso algunos análisis describen Agent Plugins como una “capa delgada” sobre las habilidades y configuraciones MCP existentes, no como una especificación completa de tiempo de ejecución .

Clientes compatibles y modelo de gobierno

En el lanzamiento, el formato aparecía respaldado por seis productos o clientes principales:

• ChatGPT y Codex, de OpenAI;
• Cursor;
• GitHub Copilot;
• Kiro, de Amazon;
• Visual Studio Code, de Microsoft .

El Technical Steering Committee, el comité técnico encargado de orientar el proyecto, está formado por mantenedores principales de Amazon, Cursor, Microsoft, OpenAI y Vercel . Google se incorporó como mantenedor principal el día del lanzamiento .

El repositorio de la especificación se desarrolla públicamente desde abril de 2026 y el proyecto sostiene que ninguna empresa por sí sola controla la dirección del formato .

Hay una ausencia especialmente llamativa: Anthropic no forma parte del comité. La compañía creó tanto MCP como Agent Skills, dos de las tecnologías sobre las que se apoya Agent Plugins .

El problema de seguridad no desaparece

El alcance reducido de Agent Plugins también marca su principal límite: el estándar no incorpora un modelo de seguridad común. Como deja la instalación, los permisos, el aislamiento y la confianza a cada cliente, los riesgos conocidos del ecosistema de habilidades siguen presentes .

Varias investigaciones publicadas durante 2026 ilustran la dimensión del problema:

• Investigadores de Trail of Bits lograron eludir detectores de habilidades maliciosas de ClawHub, Cisco y la plataforma skills.sh de Vercel. En tres de los cuatro casos necesitaron menos de una hora, utilizando técnicas como inflar los espacios en blanco, ocultar bytecode e introducir prompt injection .
• Un estudio de investigadores de la Universidad de Ciencia y Tecnología de Hong Kong concluyó que, entre ocho escáneres y 1.613 habilidades maliciosas reales, las técnicas de empaquetado lograron sortear cada escáner en más del 90 % de los casos .
• ESET Research analizó alrededor de 800.000 habilidades para agentes entre marzo y mayo de 2026 y detectó más de 25.000 casos sospechosos .
• La firma de seguridad AIR creó una habilidad falsa que superó todos los escáneres probados y, según su experimento, llegó a unos 26.000 agentes. El truco consistía en apuntar a un enlace externo que mostraba contenido benigno durante la revisión y cambiaba después de la aprobación .

Estos resultados no demuestran que Agent Plugins sea inseguro por sí mismo, pero sí muestran que un formato común de distribución no equivale a una garantía de seguridad. Cada cliente tendrá que decidir cómo inspeccionar los paquetes, limitar sus permisos y vigilar lo que hacen durante la ejecución.

Los desarrolladores no se ponen de acuerdo

La reacción de la comunidad ha sido dispar .

Dax Raad, desarrollador del framework de herramientas SST, se declaró “muy en contra” de la iniciativa y la calificó de “un estándar delgado”. En su opinión, las partes realmente útiles terminarán convertidas en extensiones específicas de cada cliente .

En el extremo opuesto, la desarrolladora y divulgadora Angie Jones celebró la interoperabilidad: “¡Esto era muy necesario! Llevo tiempo pidiendo una forma de usar mis Skills y MCP en los distintos entornos que utilizo” . En el foro de la comunidad de OpenAI, otros participantes describieron la estandarización como la vía más realista para crear extensiones reutilizables que no queden atadas para siempre a un único proveedor .

¿Un USB-C para los agentes o una ventaja para los grandes?

Agent Plugins llega en un momento en que la competencia del sector empieza a desplazarse de los modelos de IA hacia la infraestructura y los ecosistemas de agentes .

Para los desarrolladores pequeños, el beneficio potencial es claro: preparar un paquete una sola vez y poder distribuirlo en los principales clientes compatibles. Eso reduce la fragmentación y elimina parte del coste de mantener varias versiones de la misma herramienta.

Pero la estandarización también puede reforzar el poder de las plataformas con más usuarios. Las decisiones que más influyen en la experiencia —los permisos, los sistemas de confianza, la instalación, la distribución y el alcance de los marketplaces— siguen estando por encima de la capa común, bajo el control de cada cliente .

El resultado es una paradoja: Agent Plugins puede hacer que las extensiones sean más portables y, al mismo tiempo, dejar que las grandes plataformas compitan precisamente en los puntos que determinan qué plugins llegan a los usuarios y con qué nivel de acceso.

Por ahora, Agent Plugins 1.0.0 ofrece una respuesta deliberadamente modesta a un problema real: un formato común para empaquetar habilidades y conexiones MCP. Reduce la fragmentación técnica, pero deja sin resolver las preguntas más delicadas sobre seguridad, confianza y distribución. Ahí se jugará buena parte de la próxima batalla por el ecosistema de agentes.