誰：在 ChatGPT、Cursor、GitHub Copilot、VS Code 等多款 Agent 產品間為同一擴充功能反覆打包的開發者與工程團隊；痛點：Agent Skills 與 MCP 伺服器已有協定，但各用戶端目錄結構與發現方式仍不一致；本文結論：2026 年 8 月 6 日發布的 Agent Plugins 1.0 把這兩種元件裝進同一套目錄格式，但安裝、分發與安全校驗仍留給各用戶端。下文按時間線、核心數據、設計取捨、橫向對比、爭議點與 FAQ 展開。
5W 速覽：2026 年 8 月 6 日，OpenAI 聯合 Vercel、微軟、亞馬遜、Cursor 母公司 Anysphere 五方組成技術指導委員會，正式公開發布 Agent Plugins 1.0 版規範——一種讓 AI Agent 的「技能」（Skills）和「工具」（MCP 伺服器）可以打包成同一種目錄格式、在 ChatGPT、Cursor、GitHub Copilot、VS Code、Kiro 等不同產品間通用的開放標準。谷歌當天宣布以核心維護者身分加入。這一發布恰好卡在 GPT-5 發布一週年（8 月 7 日）前一天，被外界解讀為 OpenAI「從拼模型轉向拼生態」的訊號。
發生了什麼：一條從 MCP 到 Agent Plugins 的時間線
AI Agent 的「可擴充性」問題不是新話題，Agent Plugins 是這條技術演進鏈上最新的一環，而不是從零發明：
| 時間 | 事件 |
|---|---|
| 2023年3月 | OpenAI 推出 ChatGPT Plugins，允許第三方為 ChatGPT 開發插件，是早期較開放的擴充生態 |
| 2024年1月 | OpenAI 推出 GPTs 商店後，逐步關閉 Plugins，轉向更封閉的平台模式 |
| 2024年11月 | Anthropic 發布 MCP（Model Context Protocol），標準化 Agent 連接外部工具／資料的方式，後捐贈給 Linux 基金會 |
| 2025年3月 | OpenAI、Google 相繼宣布支援 MCP，業界逐漸統一到這套協定上 |
| 2025年10月16日 | Anthropic 在 Claude Code 中推出 Agent Skills，用 SKILL.md 檔案封裝可複用的操作指令 |
| 2025年12月18日 | Agent Skills 獨立為開放標準（agentskills.io），微軟、OpenAI 在 48 小時內跟進支援 |
| 2026年3月 | Agent Skills 採用範圍擴大到 32 款以上工具，包括 Gemini CLI、JetBrains Junie、AWS Kiro 等 |
| 2026年7月24日 | Agent Plugins 規範 1.0.0 首次以「工作草案」形式發布 |
| 2026年8月6日 | Vercel 領頭，聯合 OpenAI、微軟、亞馬遜、Cursor 正式公開發布 Agent Plugins 1.0，谷歌同日加入核心維護者行列 |
可以看到，Agent Plugins 要解決的問題很具體：Agent Skills 解決了「怎麼給 Agent 教一套可複用技能」，MCP 解決了「怎麼讓 Agent 連上外部工具和資料」，但兩者的打包、發現方式在不同用戶端（ChatGPT、Cursor、Copilot……）裡各有一套目錄結構和設定習慣。開發者想讓同一個擴充套件同時在這些產品裡跑，此前需要為每家平台各寫一份。Agent Plugins 要做的，就是把 Skills 和 MCP 伺服器這兩種元件，統一裝進同一個「包裝盒」。
核心數據一覽
| 項目 | 內容 |
|---|---|
| 規範版本 | Agent Plugins 1.0.0（狀態：工作草案） |
| 發起方 | Vercel（發起提案方） |
| 技術指導委員會（TSC） | 亞馬遜（AWS）、Cursor 開發商 Anysphere、微軟、OpenAI、Vercel；谷歌 8 月 6 日以核心維護者身分加入 |
| 標準覆蓋的元件類型 | 僅 2 種：Agent Skills、MCP 伺服器 |
| 核心檔案 | 根目錄 plugin.json 清單檔案；skills/ 目錄存放技能；mcp.json 描述 MCP 伺服器設定 |
| 發布首日支援用戶端 | ChatGPT 與 Codex、Cursor、GitHub Copilot、Kiro、VS Code |
| 治理方式 | 開放授權、公開倉庫（GitHub agentplugins/agent-plugins-spec），無單一公司主導路線圖 |
| 標準明確不覆蓋 | 安裝機制、分發／市場、權限模型、沙箱隔離、信任與來源校驗、使用者體驗 |
數據來源：Vercel 官方部落格、agent-plugins.org 規範文件、Google Developers Blog（均為 2026 年 8 月 6 日發布）。具體條款與用戶端支援列表可能隨時間變化，請以官方頁面為準。
深度拆解：它到底標準化了什麼，又為什麼不多做
1. 一個清單檔案，兩種元件。Agent Plugins 的技術設計其實很「小」：一個插件就是一個目錄，根目錄放一個 plugin.json 清單，聲明這個套件遵循哪個版本的規範。如果插件裡帶了技能，就放在固定的 skills/ 目錄下，且必須符合 Agent Skills 規範定義的 SKILL.md 格式；如果帶了 MCP 伺服器設定，就寫進 mcp.json，支援 stdio、Streamable HTTP 等多種連接方式。用戶端只要認得這套固定的目錄結構，就能自動發現和載入對應元件——不認識的元件類型或格式錯誤，只需略過該元件而不是拒絕整個插件。此外還留了「反向網域擴充命名空間」機制（比如 com.cursor.xxx/），允許各家用戶端在標準之外附加自己的私有能力，不會污染通用部分。
2. 故意留白的部分，才是真正的博弈焦點。規範文本裡明確寫著：v1 版本「不定義安裝機制、不定義分發協定、不定義權限模型、不要求沙箱隔離、不做信任與來源校驗、不涉及使用者體驗」——這些統統留給各家用戶端自己決定。換句話說，Agent Plugins 解決的是「包裝長什麼樣」，不解決「這個套件能不能信、裝的時候有沒有風險、去哪兒下載」。這不是疏漏，而是刻意為之的設計取捨：範圍越窄，各方越容易達成一致、越容易落地，這也是為什麼這份規範能在幾個月內從提案走到五家巨頭聯合發布。但代價是，恰恰最難、最要命的問題——誰來判斷一個插件是否安全——被明確甩給了每一個用戶端自己去解決。
3. 為什麼這件事現在做，而不是更早。MCP 和 Agent Skills 各自走過了「廠商自造標準→開放捐贈→業界跟進」的路徑（MCP 捐給了 Linux 基金會，Agent Skills 由 Anthropic 主動開放）。這一次 Agent Plugins 從第一天就是多家公司共同制定，某種程度上是業界吸取了此前「先各自為戰再艱難統一」的教訓，也說明 Skills 和 MCP 的採用規模已經大到「不統一打包方式，大家都要重複勞動」的臨界點——據統計，Agent Skills 規範發布後半年內採用工具已超過 32 款。
橫向對比：Agent Plugins 和它的「前輩們」
| 標準／產品 | 發布方 | 解決的問題 | 現狀 |
|---|---|---|---|
| ChatGPT Plugins（2023） | OpenAI 獨家 | 讓第三方為 ChatGPT 加功能 | 已於 2024 年停用，轉向封閉的 GPTs 商店 |
| MCP（2024） | Anthropic 發起，後捐贈 Linux 基金會 | Agent 連接外部工具／資料的通訊協定 | 已成為業界事實標準，OpenAI、Google 均已支援 |
| Agent Skills（2025） | Anthropic 發起，後開放為獨立標準 | 給 Agent 封裝可複用的操作指令／工作流 | 採用工具超 32 款，仍在快速擴張 |
| Agent Plugins（2026） | Vercel 發起，五巨頭聯合制定 | 把 Skills 和 MCP 伺服器統一打包、統一發現 | 剛發布 1.0 工作草案，谷歌已跟進加入 |
可以看到，Agent Plugins 並不是要取代 MCP 或 Agent Skills，而是在這兩層協定之上加了一層「打包契約」——它解決的是「最後一公里」的工程摩擦，而不是重新定義 Agent 怎麼呼叫工具。模型側與定價節奏可對照本站 GPT-5.6 分層定價解讀。
爭議點：開放標準≠沒有風險，也≠沒有算盤
- 安全問題被明確甩鍋給用戶端：就在 Agent Plugins 發布前一個月，安全公司 AIR 公開演示了一次「假技能」攻擊——一個名為
brand-landingpage的惡意 Agent Skill，借用一個擁有 3.6 萬星標的知名倉庫的信譽，成功繞過了 Cisco、Nvidia、skills.sh 等多家安全掃描工具，據稱觸達約 2.6 萬個 Agent（部分為企業帳號）。核心漏洞是經典的「檢查時－使用時」（TOCTOU）時間差：掃描時連結指向的是正常文件，通過審核後再悄悄替換成惡意位址。Snyk 同期對近 4000 個已上線技能的審計也發現，36.8% 存在安全缺陷，13.4% 含有致命級問題（惡意程式碼、憑證洩露等）。Agent Plugins 標準本身完全沒有涉及這類信任與來源校驗機制，等於把這個燃眉之急的問題原樣傳給了下一步。 - 「這是不是一個太單薄的標準」：開發者工具框架 SST 的作者 Dax Raad 公開表示「非常反對」這份標準，認為它是「一個很薄的標準」，真正有用的部分最終還是會被各家用戶端做成自己的私有擴充，標準本身淪為擺設。但也有開發者（如開發者布道師 Angie Jones）對此表示歡迎，認為終於有了一種方式，能把自己累積的技能包在不同工具間搬來搬去，不用來回重寫。
- 統一「包裝規格」到底利好誰：支持者的邏輯是，統一包裝能讓中小開發者一次開發、同時觸達 ChatGPT、Cursor、Copilot 等所有主流用戶端的使用者，降低進入門檻，是典型的「開放生態」敘事。但反過來看，標準往往利好已經擁有使用者基數的頭部用戶端——因為不管插件包裝得多標準，使用者還是要先打開一個具體的 Agent 產品才能用上它，頭部效應可能反而被這層「統一插件層」進一步固化。
- 中國大廠集體缺席：值得注意的是，Agent Plugins 的五個創始技術指導委員會成員（Vercel、OpenAI、微軟、亞馬遜、Cursor 母公司 Anysphere）以及後來加入的谷歌，清一色是美國公司，阿里、百度、字節、騰訊等在中國已經普遍支援 MCP 協定、甚至各自搭建了 MCP 廣場的廠商，均未出現在這份標準的制定名單裡。這既可能是時間差（標準剛發布，後續不排除跟進），也可能預示著中美 AI Agent 生態在底層協定層面的又一次「平行發展」。
影響與背景：從「拼模型」到「拼基礎設施」
這次發布還有一個耐人尋味的時間點——8 月 7 日正是 GPT-5 發布一週年，OpenAI 選在這個節點前一天官宣 Agent Plugins，同時還在同一週更新了面向免費使用者的 GPT-5.6 Luna 模型（解除文字對話次數限制）和面向付費使用者的 GPT-5.6 Sol（新增「思考強度」滑桿）。這種安排釋放的訊號很明確：過去兩年 AI 業界比拼的是模型參數和榜單排名，但現在無論是 OpenAI 還是谷歌、微軟，都在同步往「基礎設施／生態」這條線上發力——用 Google 在官方部落格裡的說法，「打包是不體面但必要的基礎設施，這種東西應該被共享，而不是被重新發明五次」。這也和更廣泛的業界敘事吻合：MCP 解決了「連接」，Agent Skills 解決了「教學」，Agent Plugins 解決了「分發」——三層協定疊在一起，才勉強拼出一個「Agent 真正能被規模化複用」的技術閉環，而不是靠某一家公司單點突破。
可引用數據與核驗來源
- 規範版本與狀態：Agent Plugins 1.0.0，工作草案；發起方 Vercel；首日用戶端含 ChatGPT/Codex、Cursor、GitHub Copilot、Kiro、VS Code。
- 元件範圍：僅覆蓋 Agent Skills 與 MCP 伺服器；核心檔案為
plugin.json、skills/、mcp.json。 - 安全側旁證：AIR 演示的惡意 Skill 據稱觸達約 2.6 萬個 Agent；Snyk 對近 4000 個技能的審計顯示 36.8% 有缺陷、13.4% 含致命級問題（第三方研究口徑）。
- 採用壓力：Agent Skills 開放後約半年內採用工具超過 32 款（官方與業界報導口徑）。
官方與第三方來源如下；規範與用戶端支援列表可能隨時間變化，發布前請核實最新數據：
Vercel 官方部落格：Introducing Agent Plugins
agent-plugins.org：Agent Plugins Specification 1.0.0
Google Developers Blog：Agent Plugins package your skills, tools, and more
The Next Web：OpenAI and four rivals agreed on one standard for AI agents
FAQ
Agent Plugins 和 MCP、Agent Skills 是什麼關係？會互相替代嗎？
不會替代。MCP 負責「Agent 怎麼連接外部工具和資料」，Agent Skills 負責「怎麼給 Agent 封裝一套可複用的操作指令」，Agent Plugins 則是在這兩者之上加了一層統一的打包和發現格式，讓開發者能把 Skills 和 MCP 伺服器一起塞進同一個目錄、被不同用戶端認出來。三者是分層關係，不是競爭關係。
普通開發者現在需要關心 Agent Plugins 嗎？
如果你正在給 Claude Code、Cursor、ChatGPT 等多個 Agent 工具分別開發擴充，且已經在用 Agent Skills 或 MCP 伺服器，那麼值得關注——用這套格式打包一次，理論上能同時被多家用戶端識別，減少重複勞動。如果只是普通使用者，短期內感知不會很明顯。
這個標準安全嗎，會不會被惡意插件利用？
標準本身不提供安全保障——它只定義「包裝長什麼樣」，不涉及掃描、沙箱、來源校驗。安全責任完全在各家用戶端手裡。鑒於此前已經出現過繞過多個主流掃描器的惡意 Agent Skill 案例，建議安裝任何 Agent 插件前，仍要透過官方市場、核實來源，不要盲目信任 star 數或「看起來正規」的倉庫。
中國廠商（阿里、百度、字節等）會跟進這個標準嗎？
目前這些廠商都還沒有出現在 Agent Plugins 的制定名單裡，但它們此前已普遍支援 MCP 協定。考慮到該標準完全開放、任何用戶端都可以自行實作，不排除後續中國工具跟進適配，但目前沒有官方公開計畫，建議關注後續動態。
Agent Plugins 會不會像 2023 年的 ChatGPT Plugins 一樣，過一段時間就被放棄？
兩者背景不同。ChatGPT Plugins 是 OpenAI 獨家產品、決策權在一家公司手裡，說停就能停。Agent Plugins 從第一天就是多家公司共同治理的開放標準，任何一家單獨退出也不影響規範本身的存續。但開放標準也有自己的風險——如果實際使用者寥寥，或者各家用戶端更願意投入資源做私有擴充，標準同樣可能被「晾在一邊」。目前處於剛發布階段，能否真正被廣泛採用還需要觀察後續幾個月的落地情況。
Agent Plugins 把「打包契約」標準化了，卻把安裝、信任與沙箱留給各用戶端——這意味著工程團隊仍要在真實環境裡反覆驗證 Skills、MCP 伺服器與多用戶端相容性。共享開發機或虛擬化環境往往狀態污染、難以重置；需要一台整機獨享、可隨時切換設定的真實 Apple Silicon 實體主機時，VMSPIN 按天起租的雲端 Mac mini 通常是更優解：MDM 自動交付，SSH 與 VNC 雙通道接入，適合 Cursor／Agent 工具鏈對照與短期評測。可結合 Mac mini M4 租賃全解析 與 定價頁 測算持有成本。