Ist Agent Plugins das Ende der KI-Agenten-Fragmentierung?
Was der neue Standard von OpenAI, Google und Microsoft wirklich leistet

Was tatsächlich passiert ist

Jeder Agent-Client erwartet derzeit eine andere Ordnerstruktur für Extensions. Wer ein Coding-Assistenten-Tool, einen Daten-Connector oder einen wiederverwendbaren Workflow baut, musste ihn einmal für Claude Code, erneut für Cursor, erneut für VS Code Copilot paketieren. Agent Plugins erfindet keine neue Fähigkeit — es standardisiert den Container. Ein Plugin ist ein Verzeichnis mit einem plugin.json-Manifest im Root. Skills liegen in skills/ und müssen der bestehenden Agent-Skills-Spezifikation entsprechen. MCP-Server werden in mcp.json deklariert und unterstützen stdio, Streamable HTTP oder Legacy HTTP+SSE. Jeder konforme Client kann beides aus demselben Ordner laden; ein Reverse-Domain-Namespace bleibt für client-spezifische Extras reserviert, die nicht in den portablen Kern sickern.

Vercel initiierte den Vorschlag; Vertreter von AWS, Anysphere (Cursor), GitHub, Microsoft und OpenAI formten die 1.0-Spezifikation gemeinsam. Im initialen Technical Steering Committee stehen Amazon, Cursor, Microsoft, OpenAI und Vercel als Core-Maintainer. Google fügte sich am Launch-Tag hinzu — vertreten durch DeepMind-Engineer Kevin Hou — und bestätigte Support in Antigravity, Gemini CLI und dem Data Agent Kit.

Zeitlinie: Das kam nicht aus dem Nichts

Agent Plugins ist die dritte Schicht eines 18-Monats-Stacks, keine Solo-Erfindung:

Das Muster: MCP löste das Verbinden von Agents mit Tools. Agent Skills löste das Beibringen wiederverwendbarer Verfahren. Keines löste, wie beide Komponenten konsistent paketiert und entdeckt werden — genau diese Lücke adressiert Agent Plugins.

Kernfakten auf einen Blick

Quellen: Vercel-Blog, Spezifikation auf agent-plugins.org, Google Developers Blog — alle veröffentlicht am 6. August 2026.

Warum das Design bewusst eng gehalten ist

Es standardisiert den Container, nicht den Inhalt

Das Manifest deklariert, welche Spec-Version ein Paket adressiert; Komponenten liegen an festen, vorhersehbaren Orten. Ein Client, der einen Komponententyp nicht kennt, überspringt ihn — statt das ganze Plugin abzulehnen. Das hält das Format zukunftskompatibel, wenn später weitere Typen dazukommen.

Die harten Teile werden explizit vertagt

Der Spec-Text ist klar: v1 „defines no install mechanism, no distribution protocol, no permission model, no sandboxing requirements, no trust or provenance verification, and no user experience.“ Das sind keine Versehen — Googles eigene Ankündigung nennt sie bewusst ausgespart. Der enge Scope ermöglichte Einigung zwischen fünf Wettbewerbern in Monaten statt Jahren. Der Trade-off: Die sicherheitskritische Frage — ist dieses konkrete Plugin sicher — liegt vollständig beim jeweiligen Client. Wer Cloud-seitige Datenverarbeitung mit Agents plant, bleibt damit auch für DSGVO-relevante Vertrauens- und Verarbeitungsentscheidungen an die Client-Implementierung gebunden, nicht an den Paketstandard.

Das Timing folgt Adoptionsdruck, nicht Marketing

Agent Skills allein hatten binnen fünf Monaten nach der Öffnung 32+ Tools erreicht. In diesem Maßstab wird das unabhängige Neu-Lösen desselben Packaging-Problems von jedem Client von einer Kleinigkeit zu echter doppelter Engineering-Kosten — das ist das eigentliche Argument für Standardisierung jetzt statt früher.

Agent Plugins im Vergleich zu Vorgängern

Der offene Konflikt: Sicherheit, Skepsis und wer wirklich profitiert

• Sicherheit wurde bewusst ausgespart — und das Timing ist unangenehm. Einen Monat vor dem Launch demonstrierte die Security-Firma AIR öffentlich einen gefälschten Agent Skill namens brand-landingpage, der Glaubwürdigkeit von einem Repo mit 36.000 GitHub-Stars borgte und bei jedem getesteten Marketplace die Scanner passierte — inklusive Cisco, Nvidia und skills.sh. Geschätzt 26.000 deployte Agents, teils auf Unternehmenskonten, über eine klassische Time-of-Check/Time-of-Use-Lücke: Während des Scans zeigte der Skill auf legitime Dokumentation, danach wurde der Link getauscht. Unabhängig fand Snyks Audit von fast 4.000 veröffentlichten Skills in 36,8 % Sicherheitslücken, 13,4 % mit kritischem Schweregrad (Credential-Exposure oder schädlicher Code). Die Agent-Plugins-Spezifikation enthält null Vorkehrungen für Provenance-Verifikation oder Runtime-Attestation.
• Nicht jeder Entwickler hält den Standard für viel wert. Dax Raad (SST-Framework) sagte, er sei „very much against“ — ein „thin standard“, dessen nützliche Teile ohnehin als client-spezifische Extensions neu implementiert würden. Developer Advocate Angie Jones sah das Gegenteil: genau eine Methode, Skills zwischen den Tools des Alltags mitzunehmen.
• Ein gemeinsames Format begünstigt kleine Player nicht offensichtlich. Die Open-Ecosystem-Story: einmal bauen, alle großen Clients erreichen. Ein standardisiertes Paketformat ändert aber nicht, wo Nutzer schon sind — es kann Incumbents mit bestehender Basis erleichtern, Drittanbieter-Extensions ohne Switching-Cost aufzusaugen.
• Eine Governance-Lücke, die englischsprachige Berichterstattung weitgehend übersehen hat: Alle fünf Gründungsmitglieder des Steering Committees — Vercel, OpenAI, Microsoft, Amazon und Anysphere — plus Google am Launch-Tag sind US-Unternehmen. Das zählt, weil MCP bereits breit auf großen regionalen KI-Plattformen läuft, die eigene MCP-Marketplaces betreiben und MCP als Kern der Agent-Infrastruktur behandeln. Keine dieser Plattformen steht auf der Agent-Plugins-Governance-Liste. Ob das nur Timing ist — die Spec ist Tage alt — oder ein frühes Signal einer zweiten, parallel laufenden Protokollschicht über Regionen hinweg, adressiert keine der Launch-Ankündigungen direkt.

Warum es über die Spec hinaus zählt

Das Launch-Datum ist kein Zufall. GPT-5 wurde am 7. August 2026 ein Jahr alt; OpenAI nutzte die Vorwoche für GPT-5.6 Luna (unbegrenzte Free-Tier-Textchats) und GPT-5.6 Sol (neuer „Thinking Effort“-Slider für Paid Tiers) parallel zur Agent-Plugins-Ankündigung. Googles Framing im Developer Blog: „Packaging is unglamorous infrastructure, and unglamorous infrastructure is exactly the kind of thing that should be shared rather than reinvented five times.“ Zusammen mit MCP (Verbindung) und Agent Skills (Lehren) komplettiert Agent Plugins (Distribution) einen Drei-Schichten-Stack, den die Branche brauchte, bevor „eine wiederverwendbare Agent-Fähigkeit einmal bauen“ praxisnah wird.

Für Teams, die Skills, MCP-Server und lokale Toolchains auf echtem macOS validieren — nicht in einer VM — sind dedizierte physische Apple-Silicon-Knoten mit vollem Root/sudo, SSH und VNC oft schneller als ein privates Rack. Start über die RUVCLOUD-Bestellseite mit tagesbasierter Miete.