Agent Plugins 1.0 porta un formato comune per le estensioni degli agenti AI

L’obiettivo è risolvere un problema molto concreto per chi sviluppa agenti: oggi la stessa competenza o connessione a uno strumento deve spesso essere preparata in formati diversi per ChatGPT, Cursor, GitHub Copilot e VS Code. Agent Plugins prova a introdurre un unico “contenitore” che tutti i client compatibili possano riconoscere.

Che cosa definisce davvero Agent Plugins 1.0.0

La versione 1.0.0 è soprattutto uno standard di packaging, non un ambiente di esecuzione completo. Un plugin minimo è una directory che contiene due elementi :

• un file manifest plugin.json nella directory principale, con il nome del plugin e la versione della specifica;
• una sottodirectory skills/, che contiene i file delle Agent Skills, cioè istruzioni che spiegano all’agente come svolgere determinate attività.

Il plugin può includere anche un file mcp.json per configurare connessioni a server MCP, acronimo di Model Context Protocol, il protocollo usato per collegare gli agenti a strumenti e dati esterni. La specifica supporta tutti e tre i metodi di trasporto previsti .

In pratica, Agent Plugins mette nello stesso formato sia le Agent Skills, basate sulle istruzioni, sia la configurazione dei server MCP . L’idea è: preparare una volta il pacchetto e poterlo caricare nei diversi client compatibili.

La parte che lo standard lascia volutamente fuori

Agent Plugins non stabilisce come un plugin debba essere installato, quali permessi debba ricevere o in quale ambiente debba funzionare. Restano fuori dalla specifica anche:

• flussi di installazione e aggiornamento;
• autorizzazioni;
• sandboxing;
• modelli di fiducia e reputazione;
• distribuzione e marketplace;
• comportamento durante l’esecuzione.

Queste decisioni spettano ai singoli client . Per questo alcuni osservatori descrivono Agent Plugins come uno strato sottile sopra Skills e configurazioni MCP già esistenti, più che come una specifica completa per il runtime degli agenti .

La scelta riduce il numero di elementi da armonizzare, ma lascia aperte proprio alcune delle questioni più delicate: che cosa può fare un plugin, con quali dati può interagire e chi decide se è affidabile.

I client compatibili al lancio

Al debutto, il formato è supportato da:

• ChatGPT e Codex di OpenAI;
• Cursor;
• GitHub Copilot;
• Kiro di Amazon;
• VS Code di Microsoft .

Google ha inoltre dichiarato di voler iniziare a supportare lo standard nei propri prodotti .

Chi governa il progetto

Il Technical Steering Committee comprende Core Maintainer di Amazon, Cursor, Microsoft, OpenAI e Vercel . Google si è aggiunta come Core Maintainer il giorno del lancio, rappresentata da Kevin Hou .

Il repository della specifica è sviluppato pubblicamente dall’aprile 2026 e il progetto sostiene che la direzione del formato non sia determinata dal piano prodotto di una singola azienda .

Resta però un’assenza significativa: Anthropic, l’azienda che ha creato sia MCP sia Agent Skills, non fa parte del comitato direttivo . La sua esclusione ha alimentato interrogativi sulla possibile formazione di un blocco competitivo attorno al nuovo standard .

Il nodo sicurezza: il formato non risolve i rischi

La portabilità può semplificare la vita agli sviluppatori, ma può anche rendere più facile distribuire un componente rischioso. Agent Plugins non introduce infatti un modello di sicurezza comune: ogni client deve decidere autonomamente come verificare, autorizzare e isolare un plugin .

Il problema è particolarmente rilevante perché, già nei primi mesi del 2026, diversi studi hanno mostrato quanto sia facile eludere gli scanner per le Agent Skills malevole:

• i ricercatori di Trail of Bits hanno aggirato i rilevatori di ClawHub, Cisco e della piattaforma skills.sh di Vercel; in tre casi su quattro sono riusciti a farlo in meno di un’ora, usando tecniche come espansione tramite spazi bianchi, occultamento del bytecode e prompt injection ;
• uno studio della Hong Kong University of Science and Technology ha rilevato che, su otto scanner e 1.613 Skills malevole raccolte nel mondo reale, le tecniche di packing hanno superato ogni scanner in oltre il 90% dei casi ;
• ESET Research ha analizzato circa 800.000 Skills agentiche tra marzo e maggio 2026, individuando oltre 25.000 casi sospetti ;
• la società di sicurezza AIR ha creato una falsa Skill che ha superato tutti gli scanner testati e, secondo la società, ha raggiunto circa 26.000 agenti. Il trucco consisteva nel collegare inizialmente a una risorsa innocua, sostituita con contenuti malevoli dopo l’approvazione .

Questi risultati non dimostrano che Agent Plugins sia di per sé malevolo. Evidenziano però una conseguenza della sua impostazione minimale: lo standard rende più uniforme il pacchetto, ma non garantisce che ciò che contiene sia sicuro. La protezione dipenderà dai controlli, dai permessi e dall’isolamento implementati da ciascun client.

Gli sviluppatori sono divisi

Le prime reazioni mostrano una spaccatura netta .

Dax Raad, sviluppatore del framework per strumenti di sviluppo SST, ha detto di essere “very much against” l’iniziativa, definendola “a thin standard”, uno standard troppo sottile. Secondo la sua valutazione, le parti davvero utili finiranno comunque nelle estensioni proprietarie dei singoli client .

Di segno opposto la reazione di Angie Jones, che ha accolto con entusiasmo l’interoperabilità: “Oh we neeeeded this! I've been begging for a way to use my Skills and MCPs across the various harnesses I use” .

Anche alcuni partecipanti al forum della community OpenAI hanno descritto la standardizzazione come l’unico percorso realistico per creare estensioni riutilizzabili senza legarle per sempre a un unico fornitore .

Un USB-C per gli agenti AI o un vantaggio per gli incumbent?

Agent Plugins arriva mentre la competizione nel settore si sposta progressivamente dai soli modelli AI verso infrastrutture, strumenti e sistemi di agenti .

Il potenziale vantaggio è chiaro: uno sviluppatore indipendente potrebbe creare un plugin una sola volta e raggiungere più client importanti. Questo abbassa la barriera d’ingresso e riduce la necessità di mantenere pacchetti separati per ogni piattaforma.

Ma la standardizzazione non elimina la concorrenza tra i client. Le aree più decisive — permessi, sicurezza, reputazione, esperienza d’installazione, distribuzione e accesso ai marketplace — restano sopra il livello comune, nelle implementazioni proprietarie .

Il risultato potrebbe quindi essere ambivalente: meno frammentazione per chi sviluppa, ma più potere per le piattaforme che controllano i client con il maggior numero di utenti. In altre parole, Agent Plugins può funzionare come un “USB-C” per gli agenti AI, ma il valore strategico potrebbe restare nei dispositivi, nei negozi e nelle regole che ne gestiscono l’utilizzo.

La promessa dello standard è scrivere una volta e usare in più ambienti. Il suo limite è che le decisioni più importanti — sicurezza, fiducia e distribuzione — non sono state standardizzate affatto.