AIエージェント同士でスキル設定やMCPサーバの接続情報を使い回せるようにする仕様「Agent Plugins 1.0.0」が発表されました。AWS、マイクロソフト、OpenAI、Anysphere、Vercelが名前を連ね、Googleも対応を表明しています。ただしClaude Codeを提供するAnthropicは、この発表に加わっていません。
AWSやマイクロソフトらがAgent Plugins 1.0.0を発表
AIエージェントを使う際には、専門知識や組織固有のルール、作業手順を指定する「スキル」の設定ファイルと、外部ツールと連携するためのMCPサーバへの接続設定が必要になります。これまでこの設定は、AIエージェントを提供するベンダーごとに書き方やフォルダ構成が異なっていました。ユーザーが複数のAIエージェントを併用する場合、同じような内容の設定を、エージェントごとに違う形式へ書き直す作業が発生していたことになります。
今回発表されたAgent Pluginsは、この設定をエージェントの種類にかかわらず共有できる、共通のパッケージフォーマットとして定義されたものです。具体的には、スキルを記述するSKILL.mdや、MCPサーバとの接続設定を行うmcp.jsonなどを含むフォルダ構成が定められています。すでにGitHub Copilot、Visual Studio Code、AnysphereのCursor、ChatGPTおよびCodex、AWS Kiroがこの仕様のサポートを発表済みです。Googleも対応を発表していますが、Claude Codeを手がけるAnthropicはこの動きに加わっておらず、対応の有無は明らかになっていません。
Publickeyの記事は、この仕様が発表された経緯とサポート状況を報じています。
これまでベンダー間で設定方法が異なっていたという事実と、Agent Pluginsという共通フォーマットが用意されたという事実は、出典記事に明記されています。ただしAgent Pluginsへの対応を発表した各ツールで、実際に既存のスキルやMCP設定がどの程度そのまま移行できるのか、移行作業にどれほどの手間がかかるのかについては、出典記事に記載がありません。仕様が発表された直後の段階であり、実運用での検証結果はまだ確認できていません。
仕様拡張の議論も進行中、承認フローや署名機能を検討
Agent Pluginsは今回の1.0.0発表で完成した仕様ではなく、今後も拡張が続く見込みです。出典記事によれば、ファイルシステムやネットワークへのアクセス可否の設定、プラグインをインストールする際のユーザー承認フロー、任意のコマンド実行時やMCPサーバへのアクセス時の承認フロー、プラグイン公開時の暗号署名といった機能が、追加の議論対象として挙がっています。
これらの項目は、いずれも安全性や信頼性に関わる部分です。プラグインのインストールや実行の際にユーザーの承認を挟む仕組み、公開時の署名検証といった機能は、共通フォーマットが広く使われるようになるほど必要性が増す種類のものだと考えられますが、これは出典記事が挙げている検討項目そのものであり、現時点でどれが仕様に取り込まれるか、いつ実装されるかは記事内で確定していません。
現状で分かっているのは、SKILL.mdやmcp.jsonを含む基本的なフォルダ構成が1.0.0として定義され、主要なAIコーディングツールがサポートを表明した、という段階までです。承認フローや署名といった追加機能がいつ標準化されるか、Anthropicが対応するかどうかは、いずれも未確定の要素として残っています。ユーザーが複数のAIエージェントを使い分けている場合、現時点でどのツールがAgent Pluginsに対応しているかを個別に確認する必要があります。
注目ニュース
Metabaseにゼロデイ脆弱性、認証なしで管理者権限を奪取可能
ビジネスインテリジェンスツールMetabaseに、CVSSスコア10.0の最大深刻度の脆弱性が見つかり、実際の攻撃で悪用されていることが警告されています。CVE識別子は付与されていません。この脆弱性は、認証を経ていない遠隔の攻撃者がMetabaseのアプリケーションデータベースへ任意のSQLを注入できるもので、これによって管理者権限相当のアクセスを得られるとされています。認証を一切必要としない点と、深刻度スコアが最高値である点が、出典記事が強調している要素です。詳しい攻撃件数や対象範囲については、出典記事に記載がありません。The Hacker Newsが報じています。
AtlassianのRovoがJiraやConfluenceのデータを外部へ送信させられる可能性
Atlassianが提供するAIアシスタント「Rovo」が、攻撃者が仕込んだ指示によって、サインイン中のユーザーがアクセスできるJiraやConfluenceのデータを収集し、外部のサーバーへ送信させられる可能性があることが分かりました。2社のセキュリティ企業が、それぞれ別の経路でこの挙動を発見しています。うち一方の経路のみ、対処が完了していることが確認されています。AI security firmのPromptArmorは、Rovoが読み込むコンテンツの中に指示を隠す手法を用いたとされています。もう一方の経路の詳細や対処状況については、出典記事に記載がありません。The Hacker Newsが報じています。
新しいCSS攻撃手法、Webメールの防御を突破しパスワードを窃取
メール本文の中身が、メッセージの表示領域を越えてWebメールの画面全体に干渉できるという研究結果が発表されました。Outlook、Gmail、Fastmail、Proton Mail、Yahoo Mail、AOL Mailにまたがる攻撃チェーンで、パスワードの取得、サードパーティアカウントの乗っ取り、トークンの漏洩、信頼されたUI操作の乗っ取り、メールを読み取るAIツールの操作が可能になるとされています。対象サービスが6つのメールサービスにわたる点と、影響の種類が複数列挙されている点が特徴です。PortSwiggerの研究者Garethによる調査として報じられています。The Hacker Newsが詳細を伝えています。
TrueConfが侵害され、クライアントインストーラーにバックドアが仕込まれる
ハクティビスト集団Head Mareが、パッチ未適用のビデオ会議ソフトTrueConfのサーバーの脆弱性を利用し、クライアントインストーラーを不正なバージョンに置き換えていたことが分かりました。デフォルトで開いているTCPポート4307を使い、認証なしでサーバーへ接続、内部でKLCERT-26-057とKLCERT-26-058として管理されている脆弱性を使ってサンドボックスを脱出し、権限をNT AUTHORITY\SYSTEMまで昇格させています。TrueConfはロシアの企業や政府機関で使われているオンプレミス型のビデオ会議ツールです。攻撃者はlocale.phpファイルをウェブシェルに置き換え、PhantomCoreとPhantomGraphという2種類のバックドアを配布していたとKasperskyが報告しています。脆弱性は2026年6月18日にバージョン5.3.9、5.4.9、5.5.5で修正済みです。BleepingComputerが報じています。
編集後記：仕様の呼びかけと参加企業の非対称
Agent Plugins 1.0.0の発表で目についたのは、参加企業の並びとAnthropicの不在です。AWS、マイクロソフト、OpenAI、Anysphere、Vercel、Googleと、AIエージェントを提供する主要企業の多くが名を連ねる一方で、Claude Codeを持つAnthropicだけがこの発表に加わっていません。仕様そのものは設定ファイルの書式を揃えるという実務的な内容で、それ自体に賛否が分かれる要素は見当たりません。だからこそ、対応を表明していない企業がどう動くのかは、共通フォーマットがどこまで実際に「共通」になるかを左右する条件として残ります。承認フローや署名といった安全性に関わる拡張が今後どう決まるかも、まだ見えていません。