Agent Plugins: единый packaging-стандарт
что он закрывает — и какие дыры оставляет осознанно

5W в одну строку: 6 августа 2026 OpenAI, Vercel, Microsoft, Amazon и Anysphere (Cursor) как Technical Steering Committee опубликовали Agent Plugins 1.0 — vendor-neutral directory format, в который Skills и MCP-серверы упаковываются один раз и грузятся в ChatGPT, Cursor, GitHub Copilot, VS Code и Kiro. Google в тот же день вошёл как core maintainer. Релиз за день до годовщины GPT-5 (7 августа) — сигнал, что OpenAI жмёт на ecosystem plumbing, а не только на model leaderboard. Ниже — timeline, таблицы, design trade-offs, security drama, FAQ и 6-шаговый чеклист.

01 Что случилось: timeline от MCP к Agent Plugins

Extensibility агентов — не новость. Боль разработчика конкретная: Skills учат переиспользуемым процедурам, MCP подключает tools/data, но packaging/discovery у каждого клиента свой. Один и тот же extension раньше = N упаковок.

• Fragmented packaging: один и тот же Skills/MCP конфиг переупаковывали отдельно под Claude Code, Cursor, VS Code Copilot.
• Discovery не совместим: разные directory conventions — «write once, load everywhere» было фантазией.
• Security без общего контракта: malicious Skills уже обходили mainstream scanners; новая спека trust/sandbox сознательно не трогает.
• Governance power play: кто держит packaging layer — и отсутствие китайских вендоров в TSC — определяет long-term adoption path.

Agent Plugins кладёт Skills и MCP-серверы в один «короб». Timeline:

Agent Plugins не изобретает новую agent capability. Это engineering contract поверх MCP (connect) и Agent Skills (teach): packaging + discovery.

02 Ключевые факты и сравнение с предшественниками

Сначала факты спеки, затем матрица против ChatGPT Plugins / MCP / Agent Skills:

*Источники: Vercel blog, agent-plugins.org spec, Google Developers Blog — все 6 августа 2026.*

Agent Plugins не конкурирует с MCP или Skills — он сидит сверху и закрывает last-mile friction упаковки, а не runtime semantics вызова tools.

03 Разбор: что стандартизировали — и почему scope узкий

1. Один манифест, два компонента

Технически дизайн «тонкий»: plugin = directory с root plugin.json (версия спеки). Skills живут в skills/ и обязаны соответствовать Agent Skills SKILL.md; MCP-серверы — в mcp.json (stdio, Streamable HTTP и т.д.). Compliant client находит и грузит известное; неизвестный тип или битый формат — skip компонента, не reject всего пакета. Reverse-domain namespaces (например com.cursor.xxx/) — escape hatch для private client extensions без загрязнения portable core.

my-agent-plugin/
├── plugin.json          # манифест: версия спеки
├── skills/              # Agent Skills (SKILL.md-compliant)
│   └── .../SKILL.md
├── mcp.json             # MCP server config (stdio / Streamable HTTP…)
└── com.cursor.xxx/      # optional: client-private namespace

2. Сознательные дыры — настоящий battlefront

Текст спеки жёсткий: v1 не определяет install mechanism, distribution protocol, permission model, sandbox requirements, trust/provenance verification, UX. Agent Plugins отвечает на вопрос «как выглядит коробка» — не «можно ли ей доверять» и не «откуда качать». Узкий scope = согласие за месяцы, не годы. Trade-off: самый кровавый вопрос — safe ли этот конкретный plugin — полностью на каждом клиенте.

3. Почему сейчас, а не раньше

MCP и Agent Skills прошли путь vendor-standard → open donation → industry follow. Agent Plugins с дня один — multi-vendor. Adoption Skills (32+ tools за месяцы) поднял duplication cost packaging выше порога «ещё потерпим».

Контекст: от model benchmarks к plumbing

7 августа — годовщина GPT-5. OpenAI анонсировал Agent Plugins за день и в ту же неделю обновил GPT-5.6 Luna (unlimited free-tier text chats) и GPT-5.6 Sol (новый «thinking effort» slider для paid). Формулировка Google: packaging — unglamorous infrastructure, и именно её надо шарить, а не reinvent пять раз. MCP (connect) + Skills (teach) + Plugins (distribute) — три слоя, без которых «reusable agent capability once» остаётся слоганом.

04 Шесть шагов: оценить и упаковать Agent Plugins

Blind full-migration в prod не обязателен. Если уже ведёте multi-client Skills/MCP — эти шесть шагов режут duplication и risk:

1. Инвентаризация: список существующих Skills (SKILL.md) и MCP configs; проверить соответствие open specs, а не только private formats.
2. Скелет directory: root с plugin.json (версия спеки); Skills → skills/, MCP → mcp.json.
3. Валидация на day-one clients: тот же пакет в ChatGPT/Codex, Cursor, GitHub Copilot, Kiro, VS Code; проверить skip unknown components.
4. Private capabilities в reverse-domain namespace: client-specific — вроде com.cursor.xxx/, portable core не загрязнять.
5. Security review вне стандарта: trust out of scope — официальные маркетплейсы, исходный репозиторий, TOCTOU swap ссылок; stars ≠ trust.
6. Согласовать runtime compute: стандартизированный plugin всё равно бежит на железе. Для Apple Silicon, iOS toolchain или unattended agents сравнить bare metal Mac nodes и virtualized cloud (см. манифест bare metal).

05 Споры, цитируемые цифры, FAQ и вывод

Споры: open standard ≠ no risk ≠ no agenda

• Security явно скинули на клиентов: за месяц до релиза security-фирма AIR показала fake-skill атаку: malicious Agent Skill brand-landingpage оседлал репутацию известного репозитория с 36 000 stars, обошёл scanners Cisco, Nvidia и skills.sh и по оценкам достиг ~26 000 agents (часть — corporate accounts). Классический TOCTOU: на scan — легитимная дока, после — swap ссылки. Snyk по почти 4000 опубликованных Skills: 36,8% с дефектами, 13,4% с critical (malware, credential leaks). В спеке Agent Plugins — ноль provenance/trust.
• «Слишком тонкий стандарт»: Dax Raad (SST) — «very much against», назвал это «thin standard», где полезное всё равно уйдёт в private client extensions. Angie Jones (developer advocate) — противоположный take: наконец portable Skills между tools без rewrite.
• Кому выгодна единая упаковка? Pitch для indie: build once, hit all clients. Реальность: формат не двигает пользователей; incumbents с user base абсорбируют third-party extensions с нулевым switching cost — ChatGPT / Cursor / Copilot могут только укрепиться.
• Китайских вендоров в TSC нет: пять founders + Google — US companies. Alibaba, Baidu, ByteDance, Tencent уже жёстко на MCP (иногда со своими MCP marketplaces), но в governance Agent Plugins не числятся. Timing gap или early signal параллельного protocol layer — никто в launch materials не ответил прямо.

Цитируемые hard numbers (редакционный срез)

• Версия / статус: Agent Plugins 1.0.0, Working Draft; draft 24 июля 2026, публичный five-party launch 6 августа 2026, Google — core maintainer в тот же день.
• Scope: только packaging Skills + MCP servers; day-one: ChatGPT/Codex, Cursor, GitHub Copilot, Kiro, VS Code.
• Security side evidence: AIR fake skill мимо Cisco/Nvidia/skills.sh, ~26k agents; Snyk ~4000 skills — 36.8% flaws, 13.4% critical.

FAQ

Источники (срез на 7 августа 2026; после релиза сверять с official docs):

Vercel Blog: Introducing Agent Plugins (2026-08-06)

agent-plugins.org: Agent Plugins Specification 1.0.0 (Working Draft)

Google Developers Blog: Agent Plugins package your skills, tools, and more (2026-08-06)

The Next Web: OpenAI and four rivals just agreed on one standard for AI agents

Virtualization Review: Cloud Giants Back Agent Plugins for Cross-Client AI

Open standard унифицировал «коробку», но не trust, sandbox и install path. Private client extensions продолжат ветвиться, а malicious Skill не исчезнет от лишнего plugin.json. Если Agent workflows целиком на virtualized cloud одного вендора — типичны hypervisor overhead, слабая совместимость Apple Silicon / iOS toolchain и хромающая long-running stability. Командам с zero-overhead native compute, stable iOS CI/CD и Agent 7×24 обычно рациональнее bare metal Mac mini nodes ZUKCLOUD: dedicated Apple Silicon, без hypervisor tax, 7×24, elastic billing day/week/month. Тарифы или сразу заказ.