Agent Plugins 1.0：AI智能体插件迎来统一开放标准

1.0.0规范到底定义了哪些内容？

Agent Plugins 1.0.0是一个纯打包标准。一个最小化的插件仅由两部分组成：

• 根目录下的 plugin.json 清单文件，标明规范版本和插件名称
• skills/ 子目录，包含AI Agent Skill文件（以.md格式编写的智能体指令）

插件还可选包含一个 mcp.json 文件，用于配置MCP（Model Context Protocol）服务器连接，支持三种传输方式。该规范将Agent Skill（基于指令的能力） 和MCP服务器配置打包为一个可分发的统一格式。

标准刻意不涉及的内容：安装流程、权限控制、沙箱隔离、信任模型以及运行时行为。这些全部留给各客户端自行实现。有分析称，这个标准本质上是“现有Skill和MCP配置之上的一层薄封装”，而非完整的运行时规范。

首发客户端与治理架构

发布时，同一插件格式已获得六大主流客户端支持：

• OpenAI的Codex和ChatGPT
• Cursor
• GitHub Copilot
• 亚马逊Kiro
• VS Code

技术指导委员会由来自亚马逊、Cursor、微软、OpenAI和Vercel的核心维护者组成。Google同日以核心维护者身份加入，由Google DeepMind高级工程师Kevin Hou代表。规范仓库自2026年4月起已公开开发，项目方声称没有任何单一公司的产品路线图左右该格式的发展方向。

值得注意的是，Anthropic——MCP和Agent Skill两项技术的发明者——并未出现在指导委员会中。

安全隐忧：标准主动“甩锅”安全责任

由于Agent Plugins仅规范打包，安全交由各客户端处理，它自然继承了此前已被充分记录的安全风险。2026年早些时候，安全研究人员已多次展示恶意Agent Skill可轻松绕过商业扫描器：

• Trail of Bits研究人员在不到一小时内用空白字符膨胀、字节码隐藏和提示注入等手段绕过了ClawHub、Cisco和Vercel's skills.sh平台的恶意Skill检测器（4次尝试中3次成功）。
• 香港科技大学研究人员发现，针对8款扫描器和1,613个真实恶意Skill，打包技术可绕过所有扫描器的90%以上。
• ESET研究在2026年3月至5月间分析了约80万个Agent Skill，发现超过2.5万个可疑案例。
• 安全公司AIR展示了一个虚假Skill，它通过了所有扫描器，通过指向一个审核后由良性变恶意的外部链接，最终影响了约2.6万个智能体。

Agent Plugins规范的极简范围意味着以上问题全部留白，各客户端需自行解决——也可能不解决。

开发者反应：掌声与质疑并存

开发者社区意见分歧明显：

• Dax Raad（SST开发者工具框架作者）明确表示“非常反对”，称其为一个**“单薄的标准”，认为真正有用的部分最终会落到各客户端的专属扩展**中。
• Angie Jones则欢呼互操作性，发文称“我们太需要这个了！我一直在乞求能有一套方案，让我在不同工具间携带自己的Skill和MCP”。
• OpenAI社区论坛中的评论者认为，标准化是“实现可复用且不永久锁定于单一供应商的智能体扩展的唯一现实路径”。

竞争格局：AI界的USB-C，还是巨头护城河？

Agent Plugins诞生于行业竞争焦点从AI模型转向基础设施和智能体生态的背景下。该标准降低了小型开发者的门槛——打包一次，即可触达所有主流Agent客户端。但另一方面，它也面临风险：真正的差异化（权限、信任模型、安装流程、市场覆盖）发生在标准层之上的客户端专属扩展中，这反而可能巩固用户基数最大的平台的既有优势。Anthropic——MCP和Agent Skill的发明者——缺席指导委员会也引发猜测，这或标志着签署方之间形成了某种竞争阵营。

通过仅定义最窄的公分母，该标准为开发者减少了碎片化问题，但同时将最关键的决策——安全、信任、分发——交还给了实现它的各个平台。