Ngày 6/8/2026, hệ sinh thái agent chính thức có khoảnh khắc "npm" của riêng nó – không phải để ăn mừng, mà để đặt câu hỏi ai đang giữ chìa khóa.
Amazon, Microsoft, OpenAI, Vercel và Cursor đồng loạt kích hoạt Agent Plugins 1.0.0: một tiêu chuẩn mở, trung lập về nhà cung cấp, dùng để đóng gói Agent Skills và máy chủ MCP thành các plugin di động. Đây không phải bản đề xuất, không phải sách trắng. Nó đã chạy thật trong VS Code, GitHub Copilot, Cursor, ChatGPT và Kiro. Google tham gia với tư cách core maintainer ngay trong ngày, phát hành hai plugin producer là Agents CLI và Data Agent Kit, nhưng chưa được niêm yết ở danh sách client. Ủy ban kỹ thuật có đại diện AWS, Cursor, Microsoft, OpenAI và Vercel. Tên dự án, logo, tên miền, tổ chức GitHub đều được một thực thể trung lập nắm giữ.
Mọi thứ nghe rất cởi mở. Cho đến khi bạn đọc kỹ spec.
Trong cùng khoảng thời gian, IETF DAWN đã dành cả tháng 7 ở Vienna để tranh luận về tầng discovery phía dưới hệ sinh thái agent. Điều lệ nhóm làm việc bị hoãn tại IETF 126 dù có tới 12 bản Internet-Draft. Còn ngành công nghiệp thì không ngồi yên. Họ tự xây câu trả lời của mình. Agent Plugins 1.0 không giải quyết bài toán discovery – nó đóng gói năng lực – nhưng thời điểm ra mắt không phải trùng hợp. Ngành đã chọn cách "ship" thay vì chờ đồng thuận. Tôi đã thấy kịch bản này trước đây, ở một thị trường khác.
Hồi DeFi Summer 2020, tôi audit smart contract cho 0x Protocol. Người ta nói với tôi rằng mã nguồn mở sẽ mang lại sự phi tập trung. Nhưng điều quyết định không phải mã nguồn, mà là nơi thanh khoản đổ về và ai kiểm soát giao thức. Giờ đây, lịch sử lặp lại trong thế giới agent. Một tiêu chuẩn được mở ra, nhưng cơ chế phân phối lại được các ông lớn nắm chặt trong tay. Nếu bạn nghĩ đây là vô tình, bạn đang nhầm.
Kiến trúc của sự thiếu sót
Điều đáng chú ý ở Agent Plugins 1.0 không nằm ở những gì nó quy định, mà nằm ở những gì nó cố tình bỏ qua. Bản spec không bao gồm cơ chế cài đặt, không quy định giao thức phân phối, không có xác minh nguồn gốc, không có mô hình phân quyền, không có yêu cầu sandbox, không có chợ ứng dụng. Bạn đọc lại lần nữa nhé: không có marketplace trong một tiêu chuẩn plugin. Điều đó giống như một blockchain tuyên bố phi tập trung nhưng không có cơ chế đồng thuận – nó để ngỏ cho kẻ mạnh nhất tự định nghĩa.
Và đây chính là nơi tiền rơi vào túi. Nền tảng nào sở hữu client sẽ trở thành người gác cổng. Vì mỗi nền tảng kiểm soát kênh phân phối riêng, và spec không định nghĩa bất kỳ một registry hay marketplace chung nào, các nhà phát triển xây agent skill giá trị cao không chỉ đang xây cho một tiêu chuẩn. Họ đang chọn một người gác cổng để kiểm soát con đường đến với khách hàng doanh nghiệp và dòng doanh thu của họ.
Sự phân mảnh ở đây là có chủ đích, không phải ngẫu nhiên. VS Code, Cursor, ChatGPT, Copilot, Kiro – mỗi client sẽ định nghĩa trải nghiệm discovery và cài đặt theo cách riêng. Với những người đánh giá triển khai agent ở cấp doanh nghiệp, chi phí chuyển đổi nền tảng không chỉ là kỹ thuật mà còn là thương mại. Bạn không chuyển sang một nền tảng khác chỉ bằng cách đổi một dòng cấu hình. Bạn phải chấp nhận mất đi toàn bộ hệ sinh thái plugin, mối quan hệ đối tác, và con đường phân phối mà bạn đã dày công xây dựng.
Mã nguồn mở là một lời hứa. Con đường phân phối mới là bản hợp đồng thực sự.
Sự thật là, thế giới đã từng chứng kiến một phiên bản của câu chuyện này. Tôi đang nói đến Apple App Store. Khi iPhone ra đời, các nhà phát triển web nghĩ rằng HTML5 sẽ là nền tảng mở để thách thức các ứng dụng native. Họ đã sai. Apple tạo ra App Store, và thay vì mở cổng, họ xây một khu vườn có tường bao quanh. Agent Plugins 1.0 có nguy cơ tạo ra một App Store nữa, nhưng lần này nó ẩn sau một lớp ngôn ngữ "mã nguồn mở" khiến các kỹ sư dễ dàng bỏ qua câu hỏi quyền lực. Với những ai đã từng nhìn thấy các giao thức cross-chain hứa hẹn phi tập trung rồi cuối cùng phải dựa vào oracle và relayer tập trung, mùi hương này rất quen thuộc.
Sự vắng mặt không khoan nhượng của Anthropic
Một chi tiết khiến tôi dừng lại: Anthropic vắng mặt trong liên minh. Đây là công ty đã tạo ra bản đặc tả Agent Skills và định dạng .claude-plugin – thứ đã ảnh hưởng trực tiếp đến tiêu chuẩn này. Claude Code không nằm trong danh sách client ra mắt, và không một đại diện nào của Anthropic ngồi trong ủy ban kỹ thuật.
Định dạng plugin của Claude Code hỗ trợ một bộ tính năng rộng hơn nhiều: subagents tùy biến, hooks, LSP servers, background monitors. Nhưng nó gắn chặt với cấu trúc client của riêng Anthropic, dùng claude.md thay vì quy ước agents.md mà liên minh vừa chọn. Sự vắng mặt này cho thấy một đặt cược chiến lược: Anthropic tin rằng tính năng giàu có và độc quyền sẽ thắng sự tương thích tối thiểu mà ai cũng dùng được.
Trong thế giới tiền mã hóa, tôi đã thấy cùng một kiểu đặt cược. Có những chuỗi chọn kiến trúc riêng để đạt hiệu năng cao, rồi sau đó vật lộn để kết nối với phần còn lại của hệ sinh thái. Có những chuỗi chọn khả năng tương tác ngay từ đầu và chấp nhận giới hạn về tính năng. Không có câu trả lời đúng tuyệt đối. Nhưng nếu một tiêu chuẩn ra đời mà người sáng tạo ra nó lại đứng ngoài, thì câu hỏi không phải là "tại sao họ không tham gia" mà là "liệu tiêu chuẩn này có thực sự là tương lai mà họ muốn bảo vệ".
Khoảng trống tin cậy
Và rồi đến vấn đề mà dân bảo mật như tôi không thể bỏ qua. Bản 1.0 không có mô hình tin cậy. Theo tài liệu VS Code, plugin được tin tưởng một cách ngầm định tại thời điểm cài đặt. Không có chữ ký mã hóa, không có mô hình phân quyền chuẩn hóa, không có yêu cầu sandbox trong spec. Bất kỳ ai phát hành một plugin độc hại cũng có thể giả dạng một công cụ hữu ích và chiếm quyền kiểm soát môi trường của người dùng ngay khi được cài đặt.
Điều này gợi cho tôi nhớ đến những smart contract không được audit trong giai đoạn đầu DeFi. Mã nguồn công khai, ai cũng đọc được, nhưng không ai xác minh được danh tính người triển khai và không có cơ chế bảo vệ người dùng nếu điều tồi tệ xảy ra. Kết quả là một loạt vụ hack, một loạt bài học, và một lớp dịch vụ bảo mật mọc lên để vá lỗ hổng mà giao thức tự để lại.
Với doanh nghiệp, nơi bảo mật và tuân thủ là điều kiện bắt buộc, khoảng trống này là một rào cản thực sự. Plugin không thể được cài đặt trong môi trường có kiểm soát nếu không có cơ chế xác minh nguồn gốc. Chính điều này sẽ tạo ra nhu cầu về các lớp governance nằm bên trên tiêu chuẩn mở. OpenAI Presence – ra mắt hồi tháng 7 như một control plane tập trung vào governance cho hành vi agent ở cấp doanh nghiệp – đang đứng ở vị trí hoàn hảo để lấp đầy vai trò đó. Khi các cổng MCP dần trở thành hạ tầng doanh nghiệp, các công ty sẽ phải xếp thêm các lớp kiểm soát độc quyền lên trên định dạng plugin mở để quản lý rủi ro. Cùng một kịch bản, cùng một kiến trúc, chỉ khác tên gọi.
Nếu bạn nghĩ tiêu chuẩn này quá sơ sài, hãy nhìn lại lịch sử
Bây giờ, phần phản trực giác dành cho những ai đang lắc đầu chê bai. Sự thiếu vắng cơ chế phân phối và mô hình tin cậy có thể không phải là một sai lầm, mà là một tấm vé vào cửa.
Nếu bản spec 1.0 bao gồm một registry tập trung, nó sẽ chết ngay từ ngày đầu. Bởi vì các gã khổng lồ công nghệ không bao giờ đồng ý dâng quyền kiểm soát phân phối cho một bên trung lập. Điều khiến liên minh này ngồi chung một bàn chính là việc mỗi người vẫn giữ nguyên vương quốc của mình. Họ chia sẻ định dạng đóng gói – lớp dễ dàng nhất để chia sẻ – và giữ riêng lớp quyết định giá trị – nơi plugin đến được với người dùng.
Đó là lý do tại sao tôi cho rằng phe "bò" ở đây có lý. Ngay cả một tiêu chuẩn tối thiểu, với đầy đủ lỗ hổng, vẫn tốt hơn một thế giới không có tiêu chuẩn nào. Nó tạo ra một lớp ngôn ngữ chung, cho phép một hệ sinh thái bắt đầu hình thành. ERC-20 cũng không có cơ chế bảo vệ người dùng, không có chợ phi tập trung, không có mô hình tin cậy. Nhưng nó đã tạo ra toàn bộ vũ trụ DeFi mà chúng ta biết. Còn nhớ chứ? ERC-20 có một contract không được audit, ai cũng có thể phát hành token. Nhưng chính vì rào cản thấp, các nhà phát triển đã tràn vào xây dựng, và lớp bảo mật dần được bổ sung từ bên ngoài.
Vấn đề không nằm ở chuẩn, mà nằm ở việc ai kiểm soát cổng phân phối. Nếu chúng ta chỉ nhìn vào lớp định dạng, chúng ta sẽ tự huyễn hoặc mình rằng đó là một thị trường mở. Nhưng sự thật là, thị trường agent sẽ vận hành theo cùng logic như thị trường chứng khoán trong thế giới tiền mã hóa: mã thông báo được niêm yết trên một sàn giao dịch tập trung, nhưng giao dịch lại do các nhà tạo lập thị trường chi phối. Các nhà phát triển agent skill sẽ giống như những dự án DeFi mới, phải quỳ gối trước các sàn giao dịch để được niêm yết. Chỉ khác một điều: đồng tiền thanh toán ở đây không phải là gas, mà là quyền truy cập vào người dùng.
Bài toán quyền lực không thể giải bằng một commit
Agent Plugins 1.0 có giấy phép CC-BY-4.0 cho spec và Apache-2.0 cho mã nguồn. Điều đó thực sự cởi mở. Nhưng sự cởi mở ở lớp đóng gói không có nghĩa là cởi mở ở lớp phân phối. Liên minh đã hạ thấp rào cản để xây dựng các kỹ năng agent. Nhưng liệu thị trường phục vụ cho những kỹ năng đó có mở hay không – hay trở thành một loạt khu vườn đóng kín cùng chia sẻ một định dạng tập tin – đó mới là câu hỏi định hình giai đoạn tiếp theo của nền kinh tế agent.
Tôi vẫn nhớ cảm giác bị lừa bởi E-Coin Energy năm 2017, khi tôi mới 19 tuổi, đổ 2000 USD đã dành dụm được vào một whitepaper đẹp đẽ và một đội ngũ không bao giờ xuất hiện. Bài học tôi học được không phải là "đừng tin vào tiền mã hóa", mà là "đừng tin vào những gì được viết trên giấy, hãy nhìn vào kiến trúc quyền lực". Định dạng plugin có thể mở, giấy phép có thể mở, nhưng nếu con đường dẫn đến người dùng nằm trong tay năm công ty, thì quyền lực vẫn nằm đó. Và quyền lực không bao giờ tự nguyện phân tán.
Câu hỏi dành cho các nhà phát triển đang chọn xây dựng trên Agent Plugins 1.0 rất đơn giản: bạn đang xây dựng trên một tiêu chuẩn mở, hay bạn chỉ đang chọn cho mình một người gác cổng mới? Sự khác biệt giữa hai điều đó sẽ quyết định ai thực sự kiếm được tiền từ nền kinh tế agent – còn ai chỉ nhận những mảnh vụn từ bữa tiệc.
Khi một tiêu chuẩn mở được tung ra thị trường với tốc độ nhanh đến vậy, tôi không hỏi "nó có hoạt động không". Tôi hỏi: ai đang nắm chìa khóa? Và nếu bạn không trả lời được câu hỏi đó, thì bạn đang không xây dựng cho tương lai – bạn đang xây dựng cho kế hoạch của người khác.
