Agent Plugins: packaging layer поверх MCP и Skills
что реально стандартизирует OpenAI × Google × Microsoft — и что намеренно выкинули

Шесть cognitive traps перед тем, как читать Agent Plugins

Extensibility AI-агентов — не новость; фрагментация folder layout’ов реально тормозит ship. Прогоните эти шесть traps — быстрее поймёте, что стандарт чинит и что сознательно не трогает:

1. 01

   Принять за «новый протокол»: Agent Plugins не заменяет MCP или Agent Skills — это packaging contract поверх них: directory layout + discovery, не семантика tool-calls.

2. 02

   Думать, что install и security уже в спеке: v1 явно не определяет install mechanism, distribution/marketplaces, permission model, sandboxing, trust/provenance, UX — всё на клиентах.

3. 03

   Игнорировать ровно два component types: v1 покрывает только Agent Skills и MCP servers; неизвестный тип — skip компонента, не reject всего плагина.

4. 04

   Читать как exclusive OpenAI product: initiator — Vercel; TSC: Amazon (AWS), Anysphere/Cursor, Microsoft, OpenAI, Vercel; Google 6 августа вошёл как core maintainer.

5. 05

   Star count = security signal: за месяц до launch AIR показал fake skill, прошедший несколько сканеров; Snyk: у ~4000 skills 36.8% с дефектами, 13.4% — critical.

6. 06

   Ждать китайских hyperscalers за столом: founding TSC + Google — сплошь US; Alibaba, Baidu, ByteDance, Tencent уже массово на MCP, но в governance-листе Agent Plugins их нет.

Hard facts + deep dive: что стандартизировали — и почему не больше

Sources: Vercel blog, agent-plugins.org spec, Google Developers Blog — все 6 августа 2026.

1. Один manifest, два компонента

Дизайн намеренно «тонкий»: plugin = directory, в корне plugin.json (spec version). Skills лежат в skills/ и обязаны соответствовать Agent Skills (SKILL.md); MCP-server config — в mcp.json (stdio, Streamable HTTP, legacy HTTP+SSE). Compliant-клиент discover’ит и грузит оба из одного folder; unknown type / format error → skip компонента, не reject плагина. Reverse-domain namespace (типа com.cursor.xxx/) — для client-specific extras без загрязнения portable core. Google (DeepMind engineer Kevin Hou) подтвердил support work для Antigravity, Gemini CLI и Data Agent Kit.

my-plugin/
├── plugin.json
├── skills/
│   └── summarize/
│       └── SKILL.md
├── mcp.json
└── com.example.client/
    └── hooks/

2. Намеренный пробел — и есть настоящий conflict point

Спека прямолинейна: v1 «defines no install mechanism, no distribution protocol, no permission model, no sandboxing requirements, no trust or provenance verification, and no user experience». Agent Plugins стандартизирует форму контейнера, не trust, install risk или канал дистрибуции. Google сам называет omissions deliberate — узкий scope позволил договориться за месяцы, не годы. Trade-off: вопрос «безопасен ли этот плагин?» полностью на стороне каждого клиента.

3. Почему сейчас, а не раньше

MCP и Agent Skills прошли путь «vendor standard → open donation → industry adoption». Agent Plugins с day one — multi-company. Один только Agent Skills за пять месяцев после открытия перешёл 32+ tools — при таком масштабе duplicate packaging = реальный engineering cost. База по MCP/Skills: разбор MCP и гайд Agent Skills.

• Hard fact 1: spec 1.0.0 (Working Draft); ровно 2 component types
• Hard fact 2: launch clients: ChatGPT/Codex, Cursor, GitHub Copilot, Kiro, VS Code
• Hard fact 3: Agent Skills на 32+ tools; AIR fake skill ~26 000 agents; Snyk: 36.8% flaws на ~4000 skills, 13.4% critical

Controversy, industry context и 6-step checklist

Споры: open standard ≠ zero risk и ≠ без интересов

• Security сознательно скинули на клиентов: за месяц до launch AIR показал fake skill brand-landingpage — credibility от репо с 36 000 GitHub stars, прошёл сканеры Cisco, Nvidia, skills.sh — ~26 000 agents, часть corporate. Классический TOCTOU: на scan — легитимные docs, после — link swap. Snyk: 36.8% из ~4000 skills с security flaws, 13.4% critical (credential exposure, malware). В Agent Plugins — zero provenance / runtime attestation.
• «Thin standard»: Dax Raad (SST) — «very much against», «a thin standard», полезное всё равно уедет в client-specific extensions. Angie Jones наоборот: наконец можно таскать уже собранные skills между tools без rewrite.
• Кому выгоден shared packaging: open-ecosystem pitch — build once, hit all major clients. Counter: users остаются у incumbents; стандартный формат снижает switching cost для ChatGPT/Cursor/Copilot и может закрепить текущий leaderboard.
• Китайских компаний за столом нет: пять founding TSC + Google — US only. MCP в Китае уже широко: Alibaba Cloud Model Studio (Bailian) и Baidu Qianfan держат MCP marketplaces; Alibaba, Baidu, ByteDance, Tencent считают MCP core agent infra. В governance Agent Plugins их нет. Timing gap или early signal параллельных US/China protocol layers — launch texts это не адресуют.

Контекст: от model race к infrastructure

7 августа 2026 — первая годовщина GPT-5. OpenAI в ту же неделю выкатил GPT-5.6 Luna (unlimited free-tier text chats) и GPT-5.6 Sol («thinking effort» slider для paid) рядом с Agent Plugins. Google в developer blog: «Packaging is unglamorous infrastructure, and unglamorous infrastructure is exactly the kind of thing that should be shared rather than reinvented five times.» MCP = connection, Agent Skills = teaching, Agent Plugins = distribution — трёхслойный стек делает «build reusable agent capability once» реальностью, а не слоганом. Competitive energy уезжает с benchmarks на plumbing.

6-step checklist: что делать разработчику сейчас

1. 01

   Инвентаризация: список Skills (SKILL.md) и MCP-server configs; что стоит сделать portable

2. 02

   Layout по спеке: root plugin.json, skills в skills/, MCP в mcp.json; validate на agent-plugins.org

3. 03

   Smoke на 1–2 клиентах: discovery/load сначала в Cursor, VS Code/Copilot или ChatGPT/Codex

4. 04

   Security = client problem: только official markets / trusted sources; не доверять star counts; держать TOCTOU link-swaps в уме

5. 05

   Private capabilities → extension namespaces: client-specific — в reverse-domain dirs, portable core чистый

6. 06

   Stable compute под Agent pipelines: даже стандартный plugin нужно гонять на стабильном runtime Skills/MCP; dedicated remote Mac лучше shared laptop для 7×24

Unified packaging режет rewrite-friction — install trust, sandbox и permissions остаются client-specific. Shared CI nodes, дропы laptop-сессий и public-cloud queues валят Skills/MCP toolchains в реальной delivery. Командам, которым нужны stable SSH, dedicated Apple Silicon и reproducible Agent / iOS CI, обычно прагматичнее cloud-аренда Mac Mini от NodeMini: секундный provisioning, real Mac hardware для Cursor, CLI agents и Skills/MCP на одном persistent node. Спеки: цены аренды Mac Mini; онбординг: help center.

Sources: Vercel «Introducing Agent Plugins» & Changelog (2026-08-06); agent-plugins.org Spec 1.0.0; Google Developers Blog «Agent Plugins package your skills, tools, and more»; The Next Web, Virtualization Review; Anthropic Agent Skills updates; AIR, Snyk (ToxicSkills), Help Net Security; 36Kr & Alibaba Cloud Developer Community по MCP в Китае; OpenAI «Improving GPT‑5.6 Sol in ChatGPT», TechCrunch (2026-08-06). Compiled as of 2026-08-07 — verify before publish.