「Agent Plugins」規格化、AIエージェント拡張に忍び寄るサプライチェーンリスク

「一度書けばどこでも動く」の裏側 #

OpenAIはAWS・Cursor・GitHub・VS Code・Vercelと共同で、AIエージェント拡張機能の共通規格「Agent Plugins 1.0」を発表した。既存のAgent SkillsやMCPサーバ設定をskills/ディレクトリとmcp.jsonにまとめ、plugin.jsonで識別情報を付ければ、Codex・ChatGPT・Cursor・GitHub Copilot・Kiroなど対応クライアント間でそのまま使い回せる。同日にはGoogleもコア開発元として参画を表明し、自社製品への統合を進めると発表した。一方でClaude／Anthropicは現時点で対応クライアント一覧に入っていない。

npm化するAIエージェント拡張 #

この動きはAIエージェント業界にとって「npmパッケージ」に相当する配布インフラの誕生といえる。ワンパッケージで複数のツールに配れる利便性は大きいが、裏を返せばプラグイン1個の中に任意のMCPサーバ設定を同梱できるということでもある。悪意ある配布者が有用そうなSkillを装い、mcp.json経由で外部サーバへの資格情報送信や任意コマンド実行を仕込めば、対応する全クライアントに同時に配布網が広がる。npmやVS Code拡張機能のマーケットプレイスで繰り返されてきたサプライチェーン攻撃の構図が、エージェントの権限（ファイル操作やシェル実行）ごとそのまま持ち込まれるリスクがある。

導入前に見るべき点 #

規格自体に署名検証やサンドボックスの仕組みが標準化されているかは今後の運用次第だ。企業でエージェントツールを導入する際は、プラグインの出所とmcp.json内のリモート接続先を必ず確認し、未検証のプラグインを自動更新させない運用を検討したい。標準化が進むほど、審査を経ないプラグインの拡散速度も上がることを忘れてはならない。