Agent Plugins是什么？OpenAI联合五巨头发布的AI插件「统一包装」标准，解决了什么、又留下了什么坑

5W 速览：2026 年 8 月 6 日，OpenAI 联合 Vercel、微软、亚马逊、Cursor 母公司 Anysphere 五方组成技术指导委员会，正式公开发布 Agent Plugins 1.0 版规范——一种让 AI Agent 的「技能」（Skills）和「工具」（MCP 服务器）可以打包成同一种目录格式、在 ChatGPT、Cursor、GitHub Copilot、VS Code、Kiro 等不同产品间通用的开放标准。谷歌当天宣布以核心维护者身份加入。这一发布恰好卡在 GPT-5 发布一周年（8 月 7 日）前一天，被外界解读为 OpenAI「从拼模型转向拼生态」的信号。本文按时间线、核心数据、深度拆解、横向对比、争议点与 FAQ 梳理公开口径。

SECTION 01 Agent Plugins 发布前，开发者最该警惕的四个信号

• 它统一的是「包装」，不是「安全」：规范明确不定义安装机制、分发/市场、权限模型、沙箱隔离、信任与来源校验、用户体验——安全责任完全留给各客户端。
• 组件类型只有两种：目前仅覆盖 Agent Skills 与 MCP 服务器；不认识的组件类型应跳过，而不是拒绝整个插件。
• 恶意 Skill 已有实战案例：发布前约一个月，安全公司 AIR 演示假技能 brand-landingpage 绕过多家扫描器；Snyk 对近 4000 个技能审计称 36.8% 存在缺陷、13.4% 含致命级问题。
• 治理名单清一色美国公司：TSC 与谷歌均为美企；国内已普遍支持 MCP 的阿里、百度、字节、腾讯等暂未出现在制定名单。

从 MCP 到 Agent Plugins 的时间线：

• 2023 年 3 月：OpenAI 推出 ChatGPT Plugins，早期较开放的扩展生态。
• 2024 年 1 月：推出 GPTs 商店后逐步关闭 Plugins，转向更封闭的平台模式。
• 2024 年 11 月：Anthropic 发布 MCP，后捐赠给 Linux 基金会。
• 2025 年 3 月：OpenAI、Google 相继宣布支持 MCP。
• 2025 年 10 月 16 日：Anthropic 在 Claude Code 中推出 Agent Skills（SKILL.md）。
• 2025 年 12 月 18 日：Agent Skills 独立为开放标准（agentskills.io），微软、OpenAI 在 48 小时内跟进。
• 2026 年 3 月：Agent Skills 采用范围扩大到 32 款以上工具。
• 2026 年 7 月 24 日：Agent Plugins 1.0.0 以工作草案形式发布。
• 2026 年 8 月 6 日：Vercel 领头联合五方正式公开发布；谷歌同日加入核心维护者行列。

Agent Skills 解决「怎么教 Agent 一套可复用技能」，MCP 解决「怎么连上外部工具和数据」；Agent Plugins 要把两者装进同一个「包装盒」，减少为每家客户端各写一份的重复劳动。

SECTION 02 Agent Plugins 1.0 核心数据一览

下表汇总官方与规范文档口径，便于横向扫读。

数据来源：Vercel 官方博客、agent-plugins.org 规范文档、Google Developers Blog（均为 2026 年 8 月 6 日发布）。

SECTION 03 它到底标准化了什么，又为什么不多做

1. 一个清单文件，两种组件。一个插件就是一个目录，根目录放 plugin.json 清单，声明遵循哪个版本的规范。技能放在固定的 skills/ 目录，且必须符合 Agent Skills 的 SKILL.md 格式；MCP 服务器配置写进 mcp.json，支持 stdio、Streamable HTTP 等多种连接方式。客户端认得这套目录结构即可自动发现和加载——不认识的组件类型或格式错误，只需跳过该组件而不是拒绝整个插件。还留了「反向域名扩展命名空间」（如 com.cursor.xxx/），允许各家附加私有能力。

{
  "$schema": "https://agent-plugins.org/schemas/1.0.0/plugin.schema.json",
  "name": "example-agent-plugin"
}
skills/     ← Agent Skills（SKILL.md）
mcp.json    ← MCP 服务器配置（可选）

2. 故意留白的部分，才是真正的博弈焦点。v1「不定义安装机制、不定义分发协议、不定义权限模型、不要求沙箱隔离、不做信任与来源校验、不涉及用户体验」。Agent Plugins 解决的是「包装长什么样」，不解决「这个包能不能信、装的时候有没有风险、去哪儿下载」。范围越窄，各方越容易达成一致；代价是安全问题被明确甩给每一个客户端。

3. 为什么这件事现在做，而不是更早。MCP 和 Agent Skills 各自走过「厂商自造→开放捐赠→行业跟进」路径；Agent Plugins 从第一天就是多家公司共同制定。Skills 采用规模已超 32 款工具——「不统一打包方式，大家都要重复劳动」已到临界点。

SECTION 04 Agent Plugins 和它的「前辈们」横向对比

Agent Plugins 并不是要取代 MCP 或 Agent Skills，而是在这两层协议之上加了一层「打包契约」——解决「最后一公里」的工程摩擦。多模型 API 选型可对照OpenRouter 接入指南。

SECTION 05 开放标准≠没有风险：安全、单薄标准与话语权争议

1. 安全问题被明确甩锅给客户端：AIR 公开演示假技能 brand-landingpage，借用约 3.6 万星标仓库信誉，绕过 Cisco、Nvidia、skills.sh 等扫描，据称触达约 2.6 万个 Agent。核心是 TOCTOU 时间差：扫描时链接正常，审核后再替换恶意地址。Snyk 同期审计近 4000 个技能：36.8% 有缺陷，13.4% 含致命级问题。Agent Plugins 标准本身完全没有信任与来源校验机制。
2. 「这是不是一个太单薄的标准」：SST 作者 Dax Raad 公开表示「非常反对」，认为真正有用的部分最终会被各家做成私有扩展；开发者布道师 Angie Jones 则欢迎终于能把技能包在不同工具间搬来搬去。
3. 统一「包装规格」到底利好谁：支持者强调中小开发者一次开发、多端触达；反过来看，用户仍要先打开具体 Agent 产品，头部客户端的用户基数可能被这层统一插件进一步固化。
4. 中国大厂集体缺席：TSC 五方及谷歌清一色美国公司；阿里、百度、字节、腾讯等国内已支持 MCP、甚至搭建 MCP 广场的厂商均未出现——既可能是时间差，也可能预示中美 Agent 生态在底层协议层面的「平行发展」。

SECTION 06 从「拼模型」到「拼基础设施」：为什么卡在 GPT-5 周年前夕

• 时间点耐人寻味：8 月 7 日是 GPT-5 发布一周年；OpenAI 选在前一天官宣 Agent Plugins，同周还更新面向免费用户的 GPT-5.6 Luna（解除文字对话次数限制）和付费用户的 GPT-5.6 Sol（新增「思考强度」滑块）。
• 行业叙事三层闭环：MCP 解决「连接」，Agent Skills 解决「教学」，Agent Plugins 解决「分发」——三层叠在一起，才勉强拼出「Agent 真正能被规模化复用」的技术闭环。
• Google 的表述：「打包是不体面但必要的基础设施，这种东西应该被共享，而不是被重新发明五次。」

SECTION 07 评估是否跟进 Agent Plugins 的六步清单

1. 先盘点你已有的 Skills 与 MCP：若已在 Claude Code、Cursor、ChatGPT 等多端维护扩展，统一打包收益最大；若只是单客户端用户，短期感知有限。
2. 核对目录契约是否可落地：根目录 plugin.json、skills/（符合 SKILL.md）、可选 mcp.json；私有能力走反向域名命名空间，勿污染通用部分。
3. 列出目标客户端与首日支持矩阵：ChatGPT/Codex、Cursor、GitHub Copilot、Kiro、VS Code；谷歌称将在 Antigravity、Gemini CLI、Data Agent Kit 等产品推进支持。
4. 把安全责任写进安装流程：标准不提供扫描与来源校验；优先官方市场、核实仓库与变更历史，不盲目信任 star 数。
5. 用「包装 vs 行为」分层看标准：MCP/Skills 仍定义运行时行为；Agent Plugins 只标准化怎么装进同一个目录被发现。
6. 跟踪治理与国内跟进动态：关注 agent-plugins.org 与各客户端 changelog；国内厂商是否适配尚无公开计划，决策时预留并行维护成本。

SECTION 08 可引用数据与权威来源

• 规范版本：Agent Plugins 1.0.0，工作草案；公开仓库 agentplugins/agent-plugins-spec
• 组件覆盖：仅 Agent Skills 与 MCP 服务器两种
• 首日客户端：ChatGPT 与 Codex、Cursor、GitHub Copilot、Kiro、VS Code
• Skills 采用规模：开放后约半年内采用工具超过 32 款
• 安全审计参考：AIR 假技能案例约触达 2.6 万 Agent；Snyk 近 4000 技能样本中 36.8% 有缺陷、13.4% 致命级

以下为可核验的官方与第三方入口，发版后请再次打开核对最新进展：

Vercel Blog — Introducing Agent Plugins

agent-plugins.org — Specification 1.0.0

Google Developers Blog — Agent Plugins package your skills, tools, and more

The Next Web — OpenAI and four rivals agreed on one standard for AI agents

标准层统一了「包装」，生产侧仍要面对多客户端联调成本、MCP 工具链稳定性、以及本地算力是否可控这三道关。纯云端 Agent 会话会随高峰与配额抖动；虚拟化云 Mac 又常带来兼容性与性能损耗。对于需要零损耗原生算力、稳定 iOS CI/CD 与 AI Agent 7×24 自动化的生产环境，VPSNIX 的云端物理节点通常是更优解——100% 苹果原装物理机、完整 Root 权限、无 Hypervisor 损耗、按天/周/月弹性下单。可结合Mac mini M4 租赁全解析与定价页评估双栈方案。

SECTION 09 常见问题 FAQ