Agent Plugins 1.0.0: Portables Format, Sicherheit bleibt Clientsache

Core Maintainer von Amazon, Cursor, Microsoft, OpenAI und Vercel haben Agent Plugins 1.0.0 veröffentlicht, eine offene, herstellerneutrale Spezifikation für portable Plugins aus Agent Skills und MCP-Servern. Am 6. August 2026 trat Google der Gruppe als Core Maintainer bei.

Google hat außerdem begonnen, das Format in eigene Produkte einzubauen. Die Version 1.0.0 zieht dabei eine enge Grenze: Sie vereinheitlicht das Paket, aber nicht den sicheren Weg dieses Pakets in einen Agentenclient.

Ein Verzeichnis als gemeinsame Verpackung

Bislang können Skill und MCP-Server zwar funktionieren, doch verschiedene Clients erwarten unterschiedliche Verzeichnisstrukturen, Manifest-Metadaten und MCP-Konfigurationen. Dadurch entstehen leicht mehrere Kopien derselben Komponenten, die mit der Zeit auseinanderlaufen.

Die offizielle Spezifikation setzt dagegen auf ein schlichtes Modell. Ein Plugin ist ein Verzeichnis mit einer plugin.json im Wurzelverzeichnis, die nur $schema und name zwingend verlangt. Skills liegen unter skills/, MCP-Server werden in mcp.json deklariert. Diese Orte sind fest vorgegeben; das Manifest kann sie weder verschieben noch Komponenten inline definieren. Eigene Funktionen eines Clients wandern in ein Verzeichnis im Reverse-Domain-Schema wie com.example.client/, das andere Clients ignorieren.

Die Komponenten werden getrennt behandelt. Startet ein MCP-Server nicht, überspringt der Client diesen Eintrag und lädt die Skills trotzdem.

Hinzu kommt eine Pfadregel aus der Spezifikation: Alles, was ein Client aus dem Paket liest oder ausführt, muss innerhalb des aufgelösten Plugin-Wurzelverzeichnisses bleiben. Diese Regel sperrt einen Plugin-Prozess jedoch nicht in eine Sandbox und beschränkt auch keine Pfade, die ihm zur Laufzeit übergeben werden.

Das ist sinnvoll, aber schmal.

Portabilität ersetzt kein Vertrauensmodell

Version 1 lässt zentrale Betriebsfragen bewusst offen: Installationsmechanismus, Distributionsprotokoll, Berechtigungsmodell, Sandbox-Anforderungen, Prüfung von Vertrauen und Herkunft sowie eine einheitliche Nutzererfahrung. Diese Aufteilung trägt den unterschiedlichen Anforderungen von IDEs, CLIs und verwalteten Unternehmensplattformen Rechnung.

Für den Betrieb bedeutet das: Jeder Client-Anbieter muss selbst festlegen, woher ein Plugin kommen darf, welche Rechte seine Bestandteile erhalten und unter welchen Bedingungen der enthaltene Code läuft. Einen gemeinsamen Vertrag dafür gibt es nicht.

Als Interoperabilitätsbaustein hat das Format trotzdem Gewicht. Agents CLI und das Data Agent Kit unterstützen es bereits; für Letzteres stehen Plugins für BigQuery, Spanner und Cloud SQL bereit. Ob daraus ein clientübergreifendes Ökosystem wird, entscheidet sich in den einzelnen Clients.

Für einen produktiven Rollout reicht es deshalb nicht, dass ein Paket der Spezifikation entspricht. Plattform- und Betriebsteams brauchen eigene Regeln für Installation, Berechtigungen, Ausführungsgrenzen und Herkunftsprüfung. Erst diese zweite Schicht macht ein portables Plugin im Betrieb vertrauenswürdig.