Agent Plugins 是什麼？
OpenAI 聯合五巨頭發布的 AI 外掛「統一包裝」標準

讀懂 Agent Plugins 前，先避開這六個認知坑

AI Agent 的「可擴充性」不是新話題，但包裝格式碎片化一直在拖慢落地。對照下面六點，能更快判斷這份標準解決了什麼、又故意沒碰什麼：

1. 01

   把它當成「新協議」：Agent Plugins 不取代 MCP 或 Agent Skills，而是在兩者之上加一層「打包契約」——解決目錄結構與發現方式，不重新定義 Agent 怎麼調工具。

2. 02

   以為覆蓋了安裝與安全：規範明確不定義安裝機制、分發／市場、權限模型、沙箱隔離、信任與來源校驗、使用者體驗——這些全留給各客戶端。

3. 03

   忽略元件類型只有兩種：v1 僅標準化 Agent Skills 與 MCP 伺服器；不認識的元件類型應跳過，而不是拒絕整個外掛。

4. 04

   把它當成 OpenAI 獨家產品：發起方是 Vercel；TSC 含亞馬遜、Anysphere（Cursor）、微軟、OpenAI、Vercel；谷歌同日加入核心維護者。

5. 05

   用 star 數當安全背書：發布前一個月，AIR 演示的假技能已繞過多家掃描器；Snyk 審計近 4000 個技能，36.8% 有缺陷、13.4% 含致命問題。

6. 06

   預設國內大廠已在桌上：創始 TSC 與谷歌清一色美國公司；阿里、百度、字節、騰訊等雖普遍支援 MCP，卻未出現在制定名單。

核心數據與技術拆解：標準化了什麼，又為什麼不多做

數據來源：Vercel 官方部落格、agent-plugins.org 規範文件、Google Developers Blog（均為 2026 年 8 月 6 日發布）

1. 一個清單檔案，兩種元件

技術設計很「小」：一個外掛就是一個目錄，根目錄放 plugin.json，聲明遵循哪個版本。技能放在固定的 skills/ 下，且必須符合 Agent Skills 的 SKILL.md 格式；MCP 伺服器配置寫進 mcp.json，支援 stdio、Streamable HTTP 等多種連接方式。客戶端認得這套結構即可自動發現和載入——不認識的元件類型或格式錯誤，只需跳過該元件而不是拒絕整個外掛。還留了「反向網域擴充命名空間」（如 com.cursor.xxx/），允許各家附加私有能力、不污染通用部分。

my-plugin/
├── plugin.json
├── skills/
│   └── summarize/
│       └── SKILL.md
├── mcp.json
└── com.example.client/
    └── hooks/

2. 故意留白的部分，才是真正的博弈焦點

規範文本明確寫著：v1「不定義安裝機制、不定義分發協議、不定義權限模型、不要求沙箱隔離、不做信任與來源校驗、不涉及使用者體驗」。換句話說，Agent Plugins 解決的是「包裝長什麼樣」，不解決「這個包能不能信、裝的時候有沒有風險、去哪兒下載」。範圍越窄，各方越容易達成一致——這也是為什麼幾個月內能從提案走到五家巨頭聯合發布。代價是：誰來判斷外掛是否安全，被明確甩給每一個客戶端。

3. 為什麼這件事現在做，而不是更早

MCP 和 Agent Skills 各自走過「廠商自造→開放捐贈→行業跟進」的路徑。這一次 Agent Plugins 從第一天就是多家公司共同制定。Skills 和 MCP 的採用規模已大到「不統一打包方式，大家都要重複勞動」的臨界點——據統計，Agent Skills 規範發布後半年內採用工具已超過 32 款。若你需要 MCP／Skills 的底層說明，可對照此前的 MCP 協議解讀 與 Agent Skill 指南。

• 硬數據 1：規範版本 1.0.0（工作草案）；元件類型恰好 2 種
• 硬數據 2：首日支援客戶端含 ChatGPT／Codex、Cursor、GitHub Copilot、Kiro、VS Code
• 硬數據 3：Agent Skills 採用工具超 32 款；AIR 假技能據稱觸達約 2.6 萬個 Agent；Snyk 審計近 4000 技能中 36.8% 有缺陷、13.4% 含致命問題

爭議點、行業背景與六步落地清單

爭議點：開放標準 ≠ 沒有風險，也 ≠ 沒有算盤

• 安全問題被明確甩鍋給客戶端：發布前一個月，安全公司 AIR 公開演示「假技能」攻擊——惡意 Agent Skill brand-landingpage 借用擁有 3.6 萬星標倉庫的信譽，繞過 Cisco、Nvidia、skills.sh 等多家掃描工具，據稱觸達約 2.6 萬個 Agent（部分為企業帳號）。核心漏洞是經典的 TOCTOU 時間差：掃描時連結指向正常文件，通過審核後再悄悄替換。Snyk 同期對近 4000 個已上線技能的審計發現，36.8% 存在安全缺陷，13.4% 含有致命級問題。Agent Plugins 標準本身完全沒有涉及信任與來源校驗。
• 「這是不是一個太單薄的標準」：開發者工具框架 SST 的作者 Dax Raad 公開表示「非常反對」，認為它是「一個很薄的標準」，真正有用的部分最終還是會被各家做成私有擴充。但也有開發者布道師 Angie Jones 表示歡迎，認為終於能把技能包在不同工具間搬來搬去。
• 統一「包裝規格」到底利好誰：支持者認為中小開發者可一次開發、同時觸達主流客戶端；反過來看，標準往往利好已有使用者基數的頭部客戶端——使用者仍要先打開具體 Agent 產品才能用上外掛。
• 中國大廠集體缺席：五個創始 TSC 成員以及後來加入的谷歌，清一色是美國公司。阿里、百度、字節、騰訊等在國內已普遍支援 MCP、甚至各自搭建了 MCP 廣場的廠商，均未出現在制定名單。這既可能是時間差，也可能預示中美 AI Agent 生態在底層協議層面的又一次「平行發展」。

影響與背景：從「拼模型」到「拼基礎設施」

8 月 7 日正是 GPT-5 發布一週年，OpenAI 選在前一天官宣 Agent Plugins，同時還在同一週更新面向免費使用者的 GPT-5.6 Luna（解除文字對話次數限制）和面向付費使用者的 GPT-5.6 Sol（新增「思考強度」滑塊）。訊號很明確：過去兩年比拼模型參數和榜單，現在無論是 OpenAI 還是谷歌、微軟，都在同步往「基礎設施／生態」發力——用 Google 官方部落格的說法，「打包是不體面但必要的基礎設施，這種東西應該被共享，而不是被重新發明五次」。MCP 解決「連接」，Agent Skills 解決「教學」，Agent Plugins 解決「分發」——三層協議疊在一起，才勉強拼出一個「Agent 真正能被規模化複用」的技術閉環。

六步落地清單：開發者現在怎麼跟進

1. 01

   盤點現有擴充：列出你已有的 Skills（SKILL.md）與 MCP 伺服器配置，確認哪些值得做成可移植包

2. 02

   按規範搭目錄：根目錄放 plugin.json，技能進 skills/，MCP 寫進 mcp.json，對照 agent-plugins.org 校驗

3. 03

   選 1–2 個客戶端做冒煙：優先在 Cursor、VS Code／Copilot 或 ChatGPT／Codex 上驗證發現與載入

4. 04

   把安全當客戶端問題處理：只從官方市場或可信來源安裝；不盲目信任 star 數；關注 TOCTOU 式替換風險

5. 05

   私有能力走擴充命名空間：客戶端專屬能力放進反向網域目錄，避免污染可移植核心

6. 06

   用穩定算力跑 Agent 流水線：外掛再標準，仍要在穩定環境裡執行 Skills／MCP；獨佔遠端 Mac 比共享筆電更適合 7×24 Agent

統一包裝降低了「為每個客戶端重寫擴充」的摩擦，但安裝信任、沙箱與權限仍因客戶端而異；共享 CI 節點、筆電斷連、公共雲排隊，也會讓 Agent 技能與 MCP 工具鏈在真實交付裡掉鏈子。對於需要穩定 SSH、獨佔 Apple Silicon 與可複現 Agent／iOS CI 環境的團隊，NodeMini 的 Mac Mini 雲端租賃通常是更優解：秒級開通、真實 Mac 硬體，適合把 Cursor、CLI Agent 與 Skills／MCP 流水線放在同一台常駐節點上。詳見 Mac Mini 租賃價格與 幫助中心。

數據來源：Vercel《Introducing Agent Plugins》及 Changelog（2026-08-06）；agent-plugins.org Spec 1.0.0；Google Developers Blog《Agent Plugins package your skills, tools, and more》；The Next Web、Virtualization Review；Anthropic Agent Skills 相關更新；AIR、Snyk（ToxicSkills）、Help Net Security；36 氪、阿里雲開發者社群關於國內 MCP 採用情況的報導；OpenAI《Improving GPT‑5.6 Sol in ChatGPT》、TechCrunch（2026-08-06）。資訊截至 2026-08-07，發布前請核實最新數據。