Agent Plugins erklärt: OpenAIs neues KI-Agent-Paketstandard — was spezifiziert ist, was bewusst fehlt

Vertiefung Skills: Agent-Skill-Komplettanleitung · MCP-Hintergrund: MCP als HTTP der KI-Ära · Praxis: MCP-Server von Null.

Am 6. August 2026 veröffentlichten OpenAI, Vercel, Microsoft, Amazon und Anysphere (Cursor) gemeinsam die Spezifikation Agent Plugins 1.0.0 als Working Draft: ein herstellerneutrales Paketformat, mit dem eine Agent-Erweiterung — bestehend aus Agent Skills und MCP-Servern — ohne Neuschreiben über ChatGPT, Cursor, GitHub Copilot, VS Code und Kiro entdeckt werden kann. Google trat am selben Tag dem Technical Steering Committee (TSC) als Core Maintainer bei. Der Zeitpunkt liegt einen Tag vor dem GPT-5-Jubiläum (7. August) — und die Spec lässt Trust, Sandbox und Installationspfade bewusst offen. Für EU-Teams heißt das: Interoperabilität ist spezifiziert, DSGVO- und Security-Pflichten bleiben organisationsseitig.

01 · Drei Entscheidungsrisiken: gemeinsames Paket ≠ Vertrauensmodell

1. Paket-Fragmentierung — Skills lehren wiederverwendbare Abläufe, MCP verbindet Tools. Jeder Client erwartete bislang eigene Verzeichnis- und Config-Konventionen; dieselbe Erweiterung wurde mehrfach gepflegt.
2. Bewusste Spec-Lücken — v1 definiert weder Installation, Marketplace/Distribution, Berechtigungsmodell, Sandbox, Trust/Provenance noch UX. Konsens über die „Verpackung“; „darf ich das installieren?“ bleibt Client- und Policy-Frage — relevant für AVV, Audit und Keychain-Trennung.
3. Security-Zeitfenster ist belegt — Rund einen Monat vor Launch demonstrierte AIR den Fake-Skill brand-landingpage (Scanner u. a. bei Cisco, Nvidia, skills.sh umgangen; Reichweite laut Bericht ~26 000 Agenten). Snyks Audit von knapp 4000 Skills: 36,8 % mit Mängeln, 13,4 % kritisch. Installationspolitik darf nicht der Pressemitteilung folgen.

02 · Timeline: von MCP zu Agent Plugins

Agent Plugins ist die dritte Schicht eines rund 18-monatigen Stacks — keine Neuerfindung von Tool-Calls:

MCP löste Verbindung, Agent Skills Lehre wiederverwendbarer Abläufe. Einheitliches Paketieren und Discovery fehlten — genau dort setzt Agent Plugins an, ohne Tool-Aufrufe neu zu definieren.

03 · Kerndaten auf einen Blick

Quellen: Vercel-Blog, Spec auf agent-plugins.org, Google Developers Blog — jeweils 6. August 2026.

Harte Zahl #1: Die Spec deckt genau zwei Komponententypen ab.

Harte Zahl #2: Agent Skills lagen bereits bei 32+ Tools, bevor Paketierung standardisiert wurde.

Harte Zahl #3: Snyk: Mängel in 36,8 % von knapp 4000 Skills; AIR-Fake-Skill: ~26 000 Agenten.

04 · Spec-Zerlegung: schmaler Scope als Konsensstrategie

4.1 Container, nicht Inhalt

Ein Plugin ist ein Verzeichnis mit plugin.json-Manifest. Skills liegen unter skills/ und müssen der Agent-Skills-Spec (SKILL.md) entsprechen. MCP-Server werden in mcp.json deklariert — u. a. stdio und Streamable HTTP. Unbekannte Komponententypen werden übersprungen statt das ganze Paket zu verwerfen. Reverse-Domain-Namespaces (z. B. com.cursor.xxx/) erlauben private Client-Extras ohne das portable Kernformat zu vergiften.

4.2 Die harten Fragen liegen bewusst außerhalb

Der Spec-Text ist eindeutig: v1 definiert „no install mechanism, no distribution protocol, no permission model, no sandboxing requirements, no trust or provenance verification, and no user experience“. Google nennt diese Auslassungen absichtlich. Enge Scope-Grenzen erklärten, warum konkurrierende Anbieter in Monaten zustimmen konnten. Der Preis: „Ist dieses Plugin vertrauenswürdig?“ bleibt bei jedem Client — und bei jeder Organisation, die AVV, Logging und Datenminimierung durchsetzen muss.

4.3 Timing folgt Adoptionsdruck

Bei 32+ Skills-Tools wird doppelte Paketierung zum Engineering-Kostenfaktor. Der Launch argumentiert mit dieser Reibung, nicht allein mit Marketing um das GPT-5-Jubiläum.

05 · Vergleich mit Vorgängerstandards

Agent Plugins konkurriert nicht mit MCP oder Skills — es liegt darüber und adressiert Distributionsreibung, nicht die Semantik von Tool-Calls oder Skill-Dokumenten.

06 · Kontroverse: Security, Scope-Skepsis, Governance

• Security absichtlich ausgelagert — AIRs brand-landingpage nutzte die Glaubwürdigkeit eines ~36 000-Sterne-Repos, umging Scans per TOCTOU-Link-Swap und erreichte laut Bericht ~26 000 Agenten. Agent Plugins verlangt weder Attestation noch Provenance. Für DSGVO-sensible Umgebungen gilt: keine Prod-Credentials, keine Kundenprompts auf dem Daily Driver, untrusted Samples nur lesend und isoliert.
• „Zu dünner Standard?“ — SST-Autor Dax Raad kritisierte ein Format, dessen nützliche Teile als private Client-Extensions enden könnten. Developer Advocate Angie Jones begrüßte portierbare Skill-Pakete zwischen Tools.
• Wer profitiert von einheitlicher Verpackung? — Build-once hilft Unabhängigen auf dem Papier; Nutzer öffnen weiterhin Incumbent-Clients zuerst — Packaging kann ChatGPT-/Cursor-/Copilot-Gravitation verstärken.
• Chinesische Vendoren abwesend — Gründungs-TSC plus Google sind US-Firmen. Alibaba, Baidu, ByteDance und Tencent stehen nicht auf der Maintainer-Liste, obwohl MCP dort bereits Infrastruktur ist. Ob Zeitverzögerung oder parallele Protokollschichten, bleibt in den Launch-Texten unbeantwortet.

07 · Einordnung: von Modell-Rankings zu Plumbing

Am 7. August 2026 jährt sich GPT-5. In derselben Woche lieferte OpenAI GPT-5.6 Luna (unbegrenzte Free-Tier-Textchats) und GPT-5.6 Sol („Thinking Effort“-Slider) neben Agent Plugins. Googles Formulierung: Packaging sei undankbare Infrastruktur — und genau die sollte geteilt, nicht fünfmal neu erfunden werden. Mit MCP (Verbindung), Skills (Lehre) und Plugins (Distribution) entsteht ein dreischichtiger Stack, ohne den „einmal bauen, mehrfach laden“ Praxis bleibt. Signal: Wettbewerb wandert von Benchmark-Tabellen zu gemeinsamem Plumbing — Security und Datenschutz wandern nicht mit.

08 · Fünf Mac-Schritte: erst Paketvertrag, dann Daily Driver

Launch-Headlines ersetzen keine reproduzierbare Validierung. Führen Sie die Schritte auf sauberem macOS aus — experimentelle Skills, MCP-Credentials und untrusted Samples gehören nicht in die Firmen-Keychain.

1. Isolierten Tagesmiet-Mac bereitstellen; nur minimale Cursor-/VS-Code-/Zielclient-Toolchain — kein persönliches iCloud, kein Firmen-SSO.
2. Agent-Plugins-1.0-Verzeichnis: Root plugin.json, skills/ mit konformem SKILL.md, bei Bedarf mcp.json.
3. Dieselbe Task-Suite für Skills-only, MCP-only und kombiniert fahren; Discovery und Skip ungültiger Komponenten dokumentieren.
4. Read-only-Untrusted-Sample einspielen; prüfen, ob der Client Herkunftshinweise, Permission-Prompts oder Marketplace-Signaturen zeigt — alles Spec-Out-of-Scope, Client-Pflicht.
5. Nach Abnahme Knoten zerstören; portable Verzeichnisstruktur und nicht-portable Security-Policy getrennt in die Auswahl-Doku schreiben.

09 · FAQ

F1: Ersetzt Agent Plugins MCP oder Agent Skills?
A: Nein. MCP regelt die Laufzeit-Verbindung, Skills die wiederverwendbaren Anweisungen, Plugins das gemeinsame Paket- und Discovery-Format. Schichten, keine Konkurrenz.

F2: Müssen Entwickler den Standard jetzt schon nutzen?
A: Bei Multi-Client-Erweiterungen mit Skills/MCP: ja, beobachten und in Isolation testen. Reine Endnutzer merken kurzfristig wenig.

F3: Ist der Standard „DSGVO-sicher“?
A: Die Spec liefert keine Datenschutzgarantie — kein Trust, keine Sandbox, keine Provenance. AVV, Datenresidenz, Logging und Key-Hygiene bleiben Organisationspflicht; offizielle Märkte und Quellprüfung ersetzen Star-Counts.

F4: Welche Clients am Launch-Tag?
A: 6.8.2026: ChatGPT, Codex, Cursor, GitHub Copilot, Kiro, VS Code. Google im TSC; Antigravity, Gemini CLI und Data Agent Kit angekündigt, Launch-Tag-Shipment nicht als fertig belegt.

F5: Warum fehlen chinesische Anbieter und Anthropic im TSC?
A: Launch-Materialien listen nur US-Firmen (plus Google am Tag). Chinesische MCP-Nutzer fehlen in der Maintainer-Liste; Anthropic — Herkunft von Skills — steht nicht unter den Gründungs-Maintainern. Öffentliche Erklärung dazu lag zum Redaktionsschluss nicht vor.

10 · Mac-Miete: Spec lesen ≠ auf dem Laptop experimentieren

Ein plugin.json auf dem Notebook reicht für fünf Minuten Spielerei — nicht für Multi-Client-Discovery und untrusted Samples. Typische Risiken: experimentelle Skills teilen die Keychain mit Firmen-Credentials; Windows/Linux-VMs fehlen native macOS-Discovery-Pfade; temporäre Hosts reproduzieren Apple-Silicon-Toolchains unzuverlässig. Wer reproduzierbare Cross-Client-Ergebnisse, Tagesabrechnung und echte Apple-Hardware braucht — und DSGVO-Trennung ernst nimmt —, mietet einen isolierten Mac statt eine zweite Maschine für einen Packaging-Spike zu kaufen. Tarife: Bare-Metal-macOS-Preise.

11 · Quellen

• Vercel Blog „Introducing Agent Plugins“ und Vercel Changelog (6. August 2026)
• agent-plugins.org — Agent Plugins Specification 1.0.0 (Working Draft)
• Google Developers Blog „Agent Plugins package your skills, tools, and more“ (6. August 2026)
• The Next Web, Virtualization Review (6. August 2026)
• Anthropic „Introducing Agent Skills“ und Folgeupdates (16. Okt. / 18. Dez. 2025)
• AIR Security Research; Snyk „ToxicSkills“; Help Net Security
• Berichterstattung zu MCP-Adoption in China (u. a. 36Kr, Alibaba Cloud Developer Community)
• OpenAI „Improving GPT‑5.6 Sol in ChatGPT“; TechCrunch (6. August 2026)

Stand 7. August 2026. Launch-Client-Listen und Spec-Status können sich ändern — vor Produktionsentscheidungen aktuelle Quellen prüfen.