Agent Plugins 1.0: תקן אחד לתוספים של סוכני AI, אבל מי אחראי על האבטחה?

הרעיון פשוט: במקום שמפתח יארוז את אותה יכולת בנפרד עבור ChatGPT, Cursor, GitHub Copilot ו-VS Code, הוא יוכל ליצור חבילה אחת — וכל לקוח תואם יוכל לזהות ולטעון אותה.

מה באמת מגדיר המפרט 1.0.0?

Agent Plugins 1.0.0 הוא בראש ובראשונה תקן אריזה. תוסף מינימלי כולל תיקייה עם שני רכיבים בדיוק :

• קובץ מניפסט בשם plugin.json בשורש התיקייה, שמזהה את גרסת המפרט ונותן לתוסף שם.
• תיקיית skills/, שבתוכה קובצי Agent Skills — קובצי Markdown עם הוראות שמסבירות לסוכן כיצד לבצע משימות מסוימות.

אפשר להוסיף גם קובץ mcp.json, שמגדיר חיבורים לשרתי MCP — Model Context Protocol, פרוטוקול המאפשר לסוכן להתחבר לכלים ולמקורות נתונים חיצוניים. המפרט תומך בשלוש שיטות התעבורה של MCP . כך ניתן לארוז באותה חבילה גם Agent Skills, כלומר יכולות המבוססות על הוראות, וגם הגדרות של שרתי MCP .

במילים אחרות, מדובר ב"קופסה" משותפת לתוסף — לא במערכת הפעלה מלאה לתוספים.

מה התקן לא מגדיר?

כאן נמצאת המגבלה המרכזית של Agent Plugins. המפרט אינו קובע כיצד תוסף יותקן, אילו הרשאות יקבל, כיצד יבודד מסביבת המשתמש, מי ייתן בו אמון או כיצד יתנהג בזמן ריצה .

כל אחת מהפלטפורמות יכולה להחליט בעצמה על:

• תהליך ההתקנה והעדכון;
• מודל ההרשאות;
• מנגנוני sandbox ובידוד;
• בדיקות אבטחה ואימות מקור;
• חנות התוספים והדרך שבה משתמשים יגלו אותם;
• יכולות ייחודיות שאינן חלק מהתקן המשותף.

לכן כמה ניתוחים תיארו את Agent Plugins כ"שכבה דקה" מעל Agent Skills וקובצי תצורה של MCP, ולא כמפרט מלא של סביבת ריצה . הגישה הזו מצמצמת את המחלוקות ומאפשרת אימוץ מהיר יותר — אבל גם משאירה את ההחלטות החשובות ביותר בידי הלקוחות שמיישמים את התקן.

מי תומך בפורמט?

בעת ההשקה הופיעה אותה תבנית תוסף ברשימת הלקוחות הנתמכים של שש משפחות מוצרים :

• ChatGPT ו-Codex של OpenAI;
• Cursor;
• GitHub Copilot;
• Kiro של אמזון;
• VS Code של מיקרוסופט.

גוגל הודיעה באותו יום שהיא מצטרפת כמנהלת ליבה ומתחילה לתמוך בתקן במוצרים שלה .

הפרויקט פותח בפומבי מאז אפריל 2026, ומצהיר כי מפת הדרכים של מוצר יחיד אינה אמורה לקבוע לבדה את כיוון הפורמט . ועדת ההיגוי הטכנית כוללת מנהלי ליבה מטעם אמזון, Cursor, מיקרוסופט, OpenAI ו-Vercel .

אחת ההיעדרויות הבולטות היא Anthropic — החברה שיצרה הן את MCP והן את Agent Skills — שאינה חברה בוועדת ההיגוי .

נקודת התורפה: התקן לא פותר את בעיית האמון

היקף המפרט המצומצם אינו מטפל בסיכוני האבטחה של התוספים עצמם. למעשה, הוא מאפשר להעביר Skills ושרתי MCP בין יותר לקוחות, בעוד שהאחריות לבדיקה ולבקרה נשארת אצל כל לקוח בנפרד .

מחקרים וניסויי אבטחה שפורסמו מוקדם יותר ב-2026 המחישו עד כמה הבעיה ממשית:

• חוקרי Trail of Bits הצליחו לעקוף מערכות לזיהוי Skills זדוניים של ClawHub, Cisco ופלטפורמת skills.sh של Vercel. בשלושה מתוך ארבעה מקרים נדרש להם פחות משעה, תוך שימוש בניפוח רווחים, הסתרת bytecode והזרקת הוראות .
• חוקרי HKUST מצאו שבמחקר שכלל שמונה סורקים ו-1,613 Skills זדוניים מהעולם האמיתי, טכניקות packing עקפו כל אחד מהסורקים ביותר מ-90% מהמקרים .
• ESET Research ניתחה כ-800 אלף Skills לסוכנים בין מרץ למאי 2026 ומצאה יותר מ-25 אלף מקרים חשודים .
• חברת האבטחה AIR הדגימה Skill מזויף שעבר את כל הסורקים שנבדקו והגיע, לפי הערכתה, לכ-26 אלף סוכנים. הטריק התבסס על קישור חיצוני שהציג תוכן תמים בזמן האישור, אך הוחלף מאוחר יותר בתוכן זדוני .

המשמעות המעשית היא ש-plugin.json במבנה תקני אינו תעודת בטיחות. תקן אריזה יכול להקל על התקנה והפצה, אבל אינו מבטיח שהתוכן אמין או שהחיבור החיצוני לא ישתנה לאחר הבדיקה.

המפתחים חלוקים: פריצת דרך או תקן דק מדי?

התגובות בקהילת המפתחים היו רחוקות מקונצנזוס .

דקס ראד, שמפתח את מסגרת כלי הפיתוח SST, אמר שהוא "מאוד מתנגד" ליוזמה ותיאר אותה כ-"תקן דק". לטענתו, הרכיבים השימושיים באמת יזלגו בסופו של דבר להרחבות ייחודיות לכל לקוח .

מנגד, אנג'י ג'ונס בירכה על יכולת הפעולה ההדדית וכתבה: "היינו צריכים את זה! אני מבקשת כבר זמן רב דרך להשתמש ב-Skills וב-MCPs שלי בכל סביבות העבודה השונות שבהן אני משתמשת" .

גם בפורום הקהילה של OpenAI היו מי שראו באחידות "הדרך המציאותית היחידה" ליצור הרחבות לשימוש חוזר, בלי לנעול אותן לצמיתות אצל ספק יחיד .

האם זה ה-USB-C של סוכני ה-AI?

ההשקה מגיעה בתקופה שבה התחרות בתעשייה מתרחבת מעבר למודלים עצמם, אל התשתיות, כלי הפיתוח והאקוסיסטם של הסוכנים . אם Agent Plugins יאומץ באופן רחב, מפתח קטן יוכל לארוז יכולת פעם אחת ולהגיע למשתמשים בכמה פלטפורמות מרכזיות — במקום לתחזק גרסה נפרדת לכל אחת.

אבל יש גם צד שני. התקן עשוי לחזק דווקא את הפלטפורמות שכבר מחזיקות בקהלי המשתמשים הגדולים ביותר. הסיבה היא שהיתרון התחרותי המשמעותי לא נמצא בהכרח במבנה התיקייה, אלא בשכבות שמעליו: הרשאות, מודלי אמון, תהליך ההתקנה, מנגנוני האבטחה, חנויות התוספים והחשיפה למשתמשים .

לכן Agent Plugins הוא צעד חשוב נגד פיצול — אך לא סוף המלחמה על האקוסיסטם. הוא מגדיר מכנה משותף צר שמקל על מפתחים להעביר את התוסף בין לקוחות, ובמקביל משאיר את ההחלטות הקריטיות ביותר — אבטחה, אמון והפצה — בידי החברות שמפעילות את הלקוחות האלה .