Agent Plugins 1.0.0 发布：多家共修的 AI 插件打包标准，六个客户端同日支持

2026 年 8 月 6 日，Agent Plugins 1.0.0 正式发布。这是一份中立、开放授权的规范，目的是把 AI 代理的扩展组件收敛成统一的打包格式。规格由 Vercel 提案，AWS、Anysphere（Cursor 开发商）、GitHub、Microsoft、OpenAI、Vercel 六家共同修订定案；初始技术指导委员会（TSC）的 Core Maintainer 来自 AWS、Cursor、Microsoft、OpenAI、Vercel，Google 也加入为 Core Maintainer。规范正文、维护者名单、贡献流程与技术决策全部公开在 GitHub 上。值得注意的是，这不是一纸合作意向书——ChatGPT、Codex、Cursor、GitHub Copilot、Kiro、VS Code 六个客户端在发布同日即支持。

一个目录就是一个插件

规范本身刻意做得简单。一个 plugin 就是一个目录：根目录放 plugin.json 清单，必填字段极少，官方只要求 $schema 与 name 两项；可选的 skills/ 文件夹放 Agent Skills；可选的 mcp.json 用来配置 MCP server。换句话说，v1 覆盖的组件只有两类——Agent Skills 与 MCP server。commands、hooks、agents 这些各家客户端早已存在的概念，目前仍留在各自的自定义范围内，尚未纳入标准。

与 MCP 是叠加，不是取代

本站编年史在 7 月 28 日曾报道 MCP 规范的大幅改版。两者要分清层次：MCP 是协议层，规范模型与外部工具之间怎么通信；Agent Plugins 是打包与分发层，规范这些能力怎么装箱、分发与安装。MCP server 正是 Agent Plugins 所打包的两类组件之一，两层是叠加关系，而不是彼此替代。过去一份 MCP server 要在不同客户端各配置一次，现在可以连同技能说明一起装成一包带着走。

官方自陈的局限

规范对自身缺口说得相当坦白，v1.0.0 尚未定义以下机制：

• 权限模型：插件能访问什么、不能访问什么，标准层面没有答案
• 沙箱隔离：插件运行时的边界尚未规范
• 签名验证：无法从标准层面确认这包插件是谁做的、有没有被篡改
• 密钥管理：API 密钥等敏感配置该怎么携带，尚无机制

官方把这四项明确列为未来工作。

对管理者的意义

好消息是“一次写好、到处能用”。企业内部自制的 AI 工具，过去要在 ChatGPT、Copilot、Cursor 各做一份、各自维护；现在可以收敛成一包，内部工具更接近可移植、可交接的公司资产，而不是绑在单一工具里、经办人一走就失传的个人配置。但正因为 v1 完全没有权限模型与签名验证，现阶段合理的用法是内部自制、内部分发，不宜开放员工自由安装来路不明的第三方插件。安全审查真正该问的一句话是：这包插件里的 MCP server 连到哪里、能拿到公司哪些数据？