이 표준은 모든 AI 에이전트 개발자가 한 번쯤 겪어봤을 문제, 즉 같은 스킬이나 도구 연결을 ChatGPT, Cursor, GitHub Copilot, VS Code 각각에 맞춰 따로따로 패키징해야 하는 불편을 해결해 줍니다. Agent Plugins은 호환되는 모든 클라이언트가 읽을 수 있는 하나의 패키지 포맷을 정의합니다.

1.0.0 사양이 실제로 정의하는 것

Agent Plugins 1.0.0은 패키징 전용 표준입니다. 최소 플러그인은 정확히 두 가지 요소를 담은 디렉토리입니다:

• 루트에 있는 plugin.json 매니페스트 파일 (스펙 버전과 플러그인 이름 식별)
• skills/ 하위 디렉토리 (에이전트용 지침이 담긴 Agent Skill .md 파일)

선택적으로 플러그인은 mcp.json 파일을 포함해 MCP(모델 컨텍스트 프로토콜) 서버 연결을 구성할 수 있으며, 세 가지 전송 방식 모두를 지원합니다. 이 스펙은 Agent Skills(명령 기반 기능)과 MCP 서버 설정을 하나의 배포 가능한 형식으로 묶는 방법을 정의합니다.

이 표준이 의도적으로 정의하지 않는 것: 설치 흐름, 권한, 샌드박싱, 신뢰 모델, 런타임 동작 등은 모두 개별 클라이언트 구현체에 맡겨집니다. 한 분석가는 이 표준을 "기존 스킬과 MCP 설정 위에 얇게 씌운 레이어"라고 표현했습니다.

런칭 클라이언트와 거버넌스

출시와 함께 동일한 플러그인 포맷을 지원하는 주요 클라이언트는 여섯 곳입니다:

• 오픈AI의 Codex 및 ChatGPT
• Cursor
• GitHub Copilot
• 아마존의 Kiro
• VS Code

기술운영위원회(TSC) 는 아마존, 커서, 마이크로소프트, 오픈AI, 베르셀의 핵심 관리자로 구성됩니다. 구글은 출시일에 핵심 관리자로 합류했으며, 구글 딥마인드의 Kevin Hou 선임 스태프 엔지니어가 대표로 참여합니다. 이 프로젝트의 스펙 저장소는 2026년 4월부터 공개적으로 개발되어 왔으며, 어떤 단일 기업의 제품 로드맵도 방향성을 결정하지 않는다고 밝혔습니다.

운영위원회에서 눈에 띄게 불참한 기업: MCP와 Agent Skills를 모두 창시한 안트로픽(Anthropic) 입니다.

보안 우려: 안전 문제를 명시적으로 미루는 표준

Agent Plugins는 패키징만 표준화하고 보안은 각 클라이언트에 맡기기 때문에, 잘 문서화된 일련의 위험을 그대로 물려받습니다. 2026년 초, 보안 연구원들은 악성 Agent Skills가 상용 탐지 도구를 정기적으로 우회할 수 있음을 입증했습니다:

• Trail of Bits 연구진은 ClawHub, Cisco, 베르셀의 skills.sh 플랫폼을 대상으로 한 악성 스킬 탐지기를 우회하는 데 성공했습니다. 네 가지 사례 중 세 가지에서 한 시간 이내에 공백 문자 팽창, 바이트코드 은닉, 프롬프트 인젝션 기법을 사용했습니다.
• 홍콩과기대(HKUST) 연구진은 8개의 스캐너와 1,613개의 실제 악성 스킬을 대상으로 한 실험에서 패킹 기법이 모든 스캐너를 90% 이상 우회하는 것을 발견했습니다.
• ESET 연구소는 2026년 3월부터 5월까지 약 80만 개의 에이전트 스킬을 분석해 25,000건 이상의 의심 사례를 발견했습니다.
• 보안 기업 AIR는 모든 스캐너를 통과해 약 26,000개 에이전트에 도달한 가짜 스킬을 시연했습니다. 이 스킬은 승인 후에 악성 코드로 바뀌는 외부 링크를 가리키는 방식을 사용했습니다.

Agent Plugins 스펙의 최소한의 범위는 이러한 문제 중 어느 것도 표준 수준에서 다루지 않는다는 것을 의미합니다. 각 클라이언트는 이러한 문제를 독립적으로 해결하거나, 해결하지 않아야 합니다.

개발자 반응: 극명하게 갈린 의견

개발자들 사이에서는 의견이 첨예하게 갈리고 있습니다:

• Dax Raad(SST 개발자 도구 프레임워크)는 "매우 반대한다" 며 이 표준을 "얇은 표준" 이라고 부르며, 유용한 부분은 결국 클라이언트별 확장 기능으로 귀결될 것이라고 말했습니다.
• Angie Jones는 상호운용성을 환영하며 "아, 이거 정말 필요했어요! 제가 사용하는 여러 도구들에서 제 스킬과 MCP를 사용할 방법을 찾고 있었거든요"라고 글을 남겼습니다.
• 오픈AI 커뮤니티 포럼의 댓글 작성자들은 이 표준화를 "하나의 벤더에 영원히 갇히지 않는 재사용 가능한 에이전트 확장 기능을 향한 유일한 현실적인 경로"라고 환영했습니다.

경쟁 구도 속 의미: AI 에이전트를 위한 USB-C, 아니면 강자의 장벽?

Agent Plugins은 업계의 경쟁 초점이 AI 모델에서 인프라와 에이전트 생태계로 이동하는 시점에 등장했습니다. 이 표준은 소규모 개발자들의 진입 장벽을 낮춥니다. 한 번 패키징하면 모든 주요 에이전트 클라이언트에 도달할 수 있습니다. 하지만 동시에 사용자 기반이 가장 큰 플랫폼을 공고히 할 위험도 있습니다. 실제 차별화 요소(권한, 신뢰 모델, 설치 흐름, 마켓플레이스 도달 범위)는 표준 계층 위에서 클라이언트별 확장 기능을 통해 구현되기 때문입니다. MCP와 Agent Skills의 창시자인 안트로픽이 운영위원회에 없다는 사실도 논란을 불러일으켰으며, 서명 기업들 사이의 잠재적인 경쟁 블록을 시사합니다.

가장 좁은 공통 분모만 정의함으로써, 이 표준은 개발자의 파편화를 줄이는 대신, 가장 중요한 결정(보안, 신뢰, 배포)을 다시 이를 구현하는 플랫폼에 넘겨줍니다.

이 표준은 모든 AI 에이전트 개발자가 한 번쯤 겪어봤을 문제, 즉 같은 스킬이나 도구 연결을 ChatGPT, Cursor, GitHub Copilot, VS Code 각각에 맞춰 따로따로 패키징해야 하는 불편을 해결해 줍니다. Agent Plugins은 호환되는 모든 클라이언트가 읽을 수 있는 하나의 패키지 포맷을 정의합니다.

1.0.0 사양이 실제로 정의하는 것

Agent Plugins 1.0.0은 패키징 전용 표준입니다. 최소 플러그인은 정확히 두 가지 요소를 담은 디렉토리입니다:

• 루트에 있는 plugin.json 매니페스트 파일 (스펙 버전과 플러그인 이름 식별)
• skills/ 하위 디렉토리 (에이전트용 지침이 담긴 Agent Skill .md 파일)

선택적으로 플러그인은 mcp.json 파일을 포함해 MCP(모델 컨텍스트 프로토콜) 서버 연결을 구성할 수 있으며, 세 가지 전송 방식 모두를 지원합니다. 이 스펙은 Agent Skills(명령 기반 기능)과 MCP 서버 설정을 하나의 배포 가능한 형식으로 묶는 방법을 정의합니다.

이 표준이 의도적으로 정의하지 않는 것: 설치 흐름, 권한, 샌드박싱, 신뢰 모델, 런타임 동작 등은 모두 개별 클라이언트 구현체에 맡겨집니다. 한 분석가는 이 표준을 "기존 스킬과 MCP 설정 위에 얇게 씌운 레이어"라고 표현했습니다.

런칭 클라이언트와 거버넌스

출시와 함께 동일한 플러그인 포맷을 지원하는 주요 클라이언트는 여섯 곳입니다:

• 오픈AI의 Codex 및 ChatGPT
• Cursor
• GitHub Copilot
• 아마존의 Kiro
• VS Code

기술운영위원회(TSC) 는 아마존, 커서, 마이크로소프트, 오픈AI, 베르셀의 핵심 관리자로 구성됩니다. 구글은 출시일에 핵심 관리자로 합류했으며, 구글 딥마인드의 Kevin Hou 선임 스태프 엔지니어가 대표로 참여합니다. 이 프로젝트의 스펙 저장소는 2026년 4월부터 공개적으로 개발되어 왔으며, 어떤 단일 기업의 제품 로드맵도 방향성을 결정하지 않는다고 밝혔습니다.

운영위원회에서 눈에 띄게 불참한 기업: MCP와 Agent Skills를 모두 창시한 안트로픽(Anthropic) 입니다.

보안 우려: 안전 문제를 명시적으로 미루는 표준

Agent Plugins는 패키징만 표준화하고 보안은 각 클라이언트에 맡기기 때문에, 잘 문서화된 일련의 위험을 그대로 물려받습니다. 2026년 초, 보안 연구원들은 악성 Agent Skills가 상용 탐지 도구를 정기적으로 우회할 수 있음을 입증했습니다:

• Trail of Bits 연구진은 ClawHub, Cisco, 베르셀의 skills.sh 플랫폼을 대상으로 한 악성 스킬 탐지기를 우회하는 데 성공했습니다. 네 가지 사례 중 세 가지에서 한 시간 이내에 공백 문자 팽창, 바이트코드 은닉, 프롬프트 인젝션 기법을 사용했습니다.
• 홍콩과기대(HKUST) 연구진은 8개의 스캐너와 1,613개의 실제 악성 스킬을 대상으로 한 실험에서 패킹 기법이 모든 스캐너를 90% 이상 우회하는 것을 발견했습니다.
• ESET 연구소는 2026년 3월부터 5월까지 약 80만 개의 에이전트 스킬을 분석해 25,000건 이상의 의심 사례를 발견했습니다.
• 보안 기업 AIR는 모든 스캐너를 통과해 약 26,000개 에이전트에 도달한 가짜 스킬을 시연했습니다. 이 스킬은 승인 후에 악성 코드로 바뀌는 외부 링크를 가리키는 방식을 사용했습니다.

Agent Plugins 스펙의 최소한의 범위는 이러한 문제 중 어느 것도 표준 수준에서 다루지 않는다는 것을 의미합니다. 각 클라이언트는 이러한 문제를 독립적으로 해결하거나, 해결하지 않아야 합니다.

개발자 반응: 극명하게 갈린 의견

개발자들 사이에서는 의견이 첨예하게 갈리고 있습니다:

• Dax Raad(SST 개발자 도구 프레임워크)는 "매우 반대한다" 며 이 표준을 "얇은 표준" 이라고 부르며, 유용한 부분은 결국 클라이언트별 확장 기능으로 귀결될 것이라고 말했습니다.
• Angie Jones는 상호운용성을 환영하며 "아, 이거 정말 필요했어요! 제가 사용하는 여러 도구들에서 제 스킬과 MCP를 사용할 방법을 찾고 있었거든요"라고 글을 남겼습니다.
• 오픈AI 커뮤니티 포럼의 댓글 작성자들은 이 표준화를 "하나의 벤더에 영원히 갇히지 않는 재사용 가능한 에이전트 확장 기능을 향한 유일한 현실적인 경로"라고 환영했습니다.

경쟁 구도 속 의미: AI 에이전트를 위한 USB-C, 아니면 강자의 장벽?

Agent Plugins은 업계의 경쟁 초점이 AI 모델에서 인프라와 에이전트 생태계로 이동하는 시점에 등장했습니다. 이 표준은 소규모 개발자들의 진입 장벽을 낮춥니다. 한 번 패키징하면 모든 주요 에이전트 클라이언트에 도달할 수 있습니다. 하지만 동시에 사용자 기반이 가장 큰 플랫폼을 공고히 할 위험도 있습니다. 실제 차별화 요소(권한, 신뢰 모델, 설치 흐름, 마켓플레이스 도달 범위)는 표준 계층 위에서 클라이언트별 확장 기능을 통해 구현되기 때문입니다. MCP와 Agent Skills의 창시자인 안트로픽이 운영위원회에 없다는 사실도 논란을 불러일으켰으며, 서명 기업들 사이의 잠재적인 경쟁 블록을 시사합니다.

가장 좁은 공통 분모만 정의함으로써, 이 표준은 개발자의 파편화를 줄이는 대신, 가장 중요한 결정(보안, 신뢰, 배포)을 다시 이를 구현하는 플랫폼에 넘겨줍니다.