Agent Plugins 1.0.0: Kẻ săn lùng định nghĩa và ván bài quyền lực thầm lặng của Vercel

Hôm qua, một startup gọi vốn gửi tôi bản pitch deck. Trang 12 của deck có dòng chữ: "Tương thích hoàn toàn với Agent Plugins 1.0.0". Họ viết hoa cả tên tiêu chuẩn, như thể đó là một tấm huy chương. Tôi dừng lại, lục trí nhớ về một thông cáo nhỏ của Vercel tuần trước — không phải whitepaper, không phải bài phát biểu khai mạc, chỉ là một blog post giới thiệu "một định dạng chung để đóng gói Skills và MCP servers". Công ty này, cùng với OpenAI, Microsoft, Cursor, GitHub và AWS, vừa tuyên bố sẽ cùng nhau vẽ lại tầng phân phối của toàn bộ ngành AI agent. Tôi không thể thoát khỏi cảm giác đã nhìn thấy kịch bản này ở đâu đó rồi. Không phải ở dạng chuẩn mực kỹ thuật, mà là ở dạng câu chuyện — về một nhóm những kẻ từng đối đầu nhau đột nhiên ngồi vào cùng một chiếc bàn, nói về "tương lai chung", ngay trước thời điểm một trong số họ sắp nắm được cần gạt quan trọng nhất. Là một kẻ săn lùng câu chuyện, tôi biết rằng những khoảnh khắc lịch sử thường bị giấu trong những đoạn trích "ngoài lề". Và phiên bản 1.0.0 này không ngoại lệ. Bạn phải hiểu bối cảnh của cơn sốt AI agent năm 2025. Hàng chục client khác nhau — ChatGPT, Claude, Cursor, GitHub Copilot, VS Code — mỗi nơi đều có cách lưu trữ skill và plugin riêng. Một skill viết cho ChatGPT không thể chạy trên Cursor. Một MCP server cấu hình cho Claude lại không được VS Code nhận diện. Các nhà phát triển phải viết đi viết lại cùng một logic nhiều lần, mỗi lần cho một nền tảng. Đây là sự lãng phí khủng khiếp, và cũng là mảnh đất màu mỡ để ai đó bước vào và tạo ra một tầng chuẩn hóa. Vercel đã chớp cơ hội này. Với một blog post, họ tập hợp hầu hết các "ông lớn" trong hệ sinh thái AI developer tool: OpenAI, Microsoft, Cursor, GitHub, AWS. Thông điệp nghe rất tử tế: "Chúng tôi muốn các nhà phát triển chỉ viết plugin một lần, chạy khắp mọi nơi." Nhưng đừng để sự tử tế đánh lừa. Trong blockchain, tôi đã học được rằng những thứ nghe có vẻ nhân văn nhất thường che giấu những toan tính kinh tế sắc lạnh nhất. Hành trình từ ICO đến DAO: 5 năm bài học không lời dạy tôi rằng ngành này trả giá đắt cho việc thiếu tiêu chuẩn, nhưng cũng trả giá đắt hơn cho những tiêu chuẩn được áp đặt từ trên xuống. Vậy Agent Plugins 1.0.0 thực chất là gì? Hãy cùng tôi soi vào bên trong. Một plugin agent, theo định nghĩa của phiên bản 1.0, là một tập hợp các tập tin và metadata được sắp xếp theo một quy ước chung. Nó không phải runtime, không phải máy ảo, không phải ngôn ngữ mới. Nó giống package.json của npm hơn bất cứ thứ gì: một bản tuyên bố về cách các thành phần được tổ chức, để client có thể nhận diện và nạp. Nói theo ngôn ngữ kỹ thuật, đây là một manifest. Không hơn. Sự tương đồng với package.json là điểm tôi muốn nhấn mạnh. Khi npm trở thành tiêu chuẩn, nó đã tạo ra một hệ sinh thái khổng lồ nhưng cũng tạo ra một điểm nghẽn trung tâm. Ai kiểm soát registry, người đó kiểm soát những gì được phân phối. Agent Plugins, trong phiên bản 1.0, chưa đưa ra registry. Nhưng nó định nghĩa một đặc tả mà bất kỳ client nào cũng có thể triển khai. Điều đó có nghĩa một công ty hạ tầng như Vercel có thể xây dựng một "App Store" cho agent ngay ngày mai, và tất cả các client tương thích đều tiêu thụ plugin từ store đó. Họ không cần sở hữu toàn bộ hệ sinh thái; họ chỉ cần sở hữu lớp phân phối. Đây chính là chiến lược "ngoại vi" mà tôi nhìn thấy rất rõ. Trong một ván cờ, người đi những quân cờ quan trọng nhất có thể thua. Người kiểm soát bàn cờ thì luôn thắng. Vercel đang cố gắng trở thành cái bàn cờ. Hãy nhìn vào danh sách các công ty tham gia: OpenAI, Microsoft, Cursor, GitHub, AWS. Không có Anthropic. Không có Claude. Trong khi MCP — Model Context Protocol, do chính Anthropic đề xuất — lại là một trong hai loại tài nguyên được Agent Plugins đóng gói. Đây không phải sự tình cờ. Đây là một hành động bao vây chiến lược: Vercel và các đồng minh sử dụng MCP như một lớp runtime, nhưng đặt lên trên nó một lớp định nghĩa và nhận diện do họ kiểm soát. Nếu MCP là giao thức HTTP của web, thì Agent Plugins đang cố gắng trở thành DNS — thứ quyết định ai được tìm thấy và được điều hướng đi đâu. Và chúng ta đều biết DNS nằm trong tay ai. Với tư cách một người từng audit smart contract, tôi đặc biệt chú ý đến phần "ngoài phạm vi". Phiên bản 1.0.0 ghi rõ: cài đặt, quyền hạn, commands, hooks, phân phối — tất cả đều không thuộc tiêu chuẩn. Nghe có vẻ thận trọng. Nhưng hãy nhìn xa hơn. Một định dạng đóng gói không có cơ chế xác thực chữ ký là một cơn ác mộng bảo mật. Nếu tôi viết một plugin độc hại, tôi chỉ cần đóng gói nó theo đúng manifest, và nó sẽ chạy trên tất cả các client tham gia giao thức. Một viên đạn, bắn trúng nhiều mục tiêu. Trong khi đó, các client vẫn giữ các mô hình phân quyền khác nhau — ChatGPT cho plugin một mức độ truy cập, Cursor lại cho một mức độ khác. Một plugin đóng gói chung có thể che giấu sự khác biệt này. Người dùng tưởng họ cài một skill đơn giản, nhưng thực ra skill đó có thể đọc toàn bộ file hệ thống tùy theo cách client xử lý quyền. Tôi đã từng viết phân tích về vụ sập FTX, và bài học lớn nhất tôi rút ra là: khi một hệ thống tập trung không có cơ chế xác minh công khai, thì sự sụp đổ không phải là câu hỏi "nếu", mà là "khi nào". Agent Plugins 1.0.0 đang tạo ra một hệ thống tập trung kiểu mới: một tiêu chuẩn thống nhất do một nhóm công ty quản trị, nhưng không cam kết an toàn. Nó giống như một ngân hàng trung ương in một loại tiền mới nhưng không có dự trữ bảo hiểm. Sống sót trong thị trường gấu dạy tôi rằng mọi thứ đều có giá, và cái giá của việc chạy theo một tiêu chuẩn non trẻ thường phải trả bằng sự phụ thuộc và các lỗ hổng. Điều này dẫn tôi đến một điểm liên hệ kỳ lạ với các Layer2. Năm 2023, thị trường chứng kiến hàng chục Layer2 mọc lên, mỗi cái tự xưng là giải pháp mở rộng Ethereum. Nhưng lượng thanh khoản thì vẫn vậy. Kết quả không phải là một hệ sinh thái lớn hơn, mà là một mớ thanh khoản bị phân mảnh. Agent Plugins cũng có thể rơi vào cái bẫy tương tự. Tiêu chuẩn này tạo ra một lớp đóng gói thống nhất, nhưng nó không giải quyết sự khác biệt thực sự giữa các agent client. Các client vẫn có khả năng riêng, mức độ truy cập công cụ riêng, và những hooks tùy chỉnh — tất cả nằm ngoài tiêu chuẩn. Thứ được thống nhất chỉ là vỏ bọc, còn phần ruột vẫn nằm trong tay từng công ty riêng lẻ. Nó không phải là một sự thống nhất thực sự. Nó là "chuẩn hóa bề mặt" để phục vụ thương mại hóa. Hãy xem các video demo mà Vercel đưa ra: một plugin được đóng gói, chạy trên nhiều client, chỉ với vài dòng cấu hình. Rất ấn tượng. Nhưng đừng quên rằng trong thị trường tăng, mọi thứ đều trông tuyệt vời. Các nhà đầu tư đổ tiền vào AI agent, và startup nào cũng muốn khoe "tương thích Agent Plugins" trên website. Từ góc nhìn của một research partner, tôi coi đây là dấu hiệu của mùa FOMO. FOMO khiến người ta tin vào lời hứa, không phải kiến trúc. FOMO khiến họ bỏ qua câu hỏi: "Ai kiểm soát cơ sở hạ tầng này?" Thật ra, chúng ta từng trải qua cảm giác này. Năm 2017, các dự án ICO khoe whitepaper hoành tráng và "hệ điều hành blockchain siêu tốc". Chúng tôi, những kẻ trẻ tuổi ngây thơ, đã mua EOS với giá 5.000 USD. Ba tháng sau, con số đó còn 20%. Khi đó tôi tự hứa: đừng bao giờ tin vào câu chuyện của một nhóm kẻ mạnh nếu họ không giải thích được cơ chế vận hành bằng code. Với Agent Plugins, code chưa đầy đủ — không có bảo mật, không có quyền hạn được kiểm toán. Nhưng câu chuyện thì rất hay. Và đây là phần tôi muốn nói về khía cạnh kinh tế thật sự, thứ mà không một bài blog nào nhắc tới. Vercel sở hữu một trong những hạ tầng edge computing lớn nhất cho web front-end. Họ cũng có Vercel AI SDK, một thư viện được hàng ngàn lập trình viên sử dụng để xây dựng AI features. Nếu Agent Plugins được tích hợp sâu vào AI SDK, mỗi lần plugin được gọi, nó có thể chạy dưới dạng một edge function trên nền tảng của Vercel. Và khi hàng trăm triệu agent bắt đầu gọi plugin mỗi giây, Vercel sẽ tính phí compute. Họ không cần bán plugin. Họ bán mỗi mili-giây xử lý. Đó là một mô hình kinh doanh tinh vi hơn nhiều so với chuyện thu phí đăng ký, và nó gắn chặt với xu hướng agent autonomous: càng tự động, càng tốn compute. Các công ty lớn tham gia vì những lý do khác nhau. AWS có thể không muốn bỏ lỡ một chuẩn nếu nó trở thành trung tâm. Microsoft đang chơi đôi: họ có GitHub Copilot và VS Code, nhưng họ cũng sử dụng OpenAI. Họ cần một chuẩn để không bị phụ thuộc vào bất kỳ một nhà cung cấp model nào. Còn OpenAI? Họ có ChatGPT và Codex, nhưng họ nhận ra rằng nếu họ tự áp đặt chuẩn riêng, thị trường sẽ quay lưng. Tham gia một liên minh giúp họ giảm rủi ro bị cô lập. Nhưng đừng quên: liên minh càng lớn, càng khó đạt được đồng thuận sâu. Một chuẩn được tạo ra bởi 6 công ty cạnh tranh thường là một chuẩn tối thiểu, không phải tối ưu. Tôi muốn dành một chút để nói về phía nhà phát triển, bởi vì tôi thực sự đồng cảm với họ. Một lập trình viên đang cố ship sản phẩm AI agent trong một thị trường cực kỳ cạnh tranh. Họ thấy một tiêu chuẩn mới được tung hô. Họ nghĩ: "Ồ, tôi chỉ cần viết một plugin, chạy được trên tất cả các client. Đúng cái tôi cần." Họ không có thời gian đọc một phân tích dài. Họ cần thứ gì đó hoạt động ngay bây giờ. Tôi hiểu điều đó. Nhưng tôi cũng biết rằng những quyết định kỹ thuật được đưa ra trong lúc vội vàng thường là những cái bẫy nghiêm trọng nhất về sau. Hãy nhớ rằng vào năm 2021, rất nhiều nhà phát triển vội vàng tích hợp oracle của một dự án lớn vì "ai cũng dùng". Chín tháng sau, giá token oracle sụp đổ, và những người phụ thuộc vào nó gánh chịu hậu quả. Tiêu chuẩn kỹ thuật không phải là một chiếc vé miễn phí. Nó là một khoản nợ vô hình. Bây giờ hãy nói về góc phản trực giác. Mọi người nhìn vào sự kiện này và gọi nó là một bước tiến của sự hợp tác. Tôi gọi nó là một hiệp ước phòng thủ. Vercel không hào phóng đến mức chia sẻ quyền lực. Họ nhận ra rằng nếu không hành động, một trong các công ty kia — có thể là OpenAI, có thể là Microsoft — sẽ áp đặt một chuẩn riêng và gạt họ ra khỏi vòng lặp. Bằng cách mời tất cả vào bàn, Vercel biến mối đe dọa thành cơ hội giữ vị thế. Và những gã khổng lồ kia cũng không ngây thơ. Microsoft tham gia cả MCP lẫn Agent Plugins — điều đó cho thấy họ không đặt cược vào một kịch bản duy nhất. Họ mua bảo hiểm cho mọi kịch bản. Vậy nên, cái gọi là "tiêu chuẩn mở" này thực chất là một kho vũ khí chiến lược. Càng nhiều công ty tham gia, càng ít công ty có thể đơn phương thay đổi luật chơi. Và Vercel, với vai trò người đề xuất, có lợi thế của người đi trước: họ sẽ viết tài liệu tham chiếu, xây dựng SDK, và hướng dẫn triển khai cho cả hệ sinh thái. Trong thế giới phần mềm, người viết documentation chính là người nắm quyền lực thực sự. Điểm mù thứ hai mà ít ai nhìn thấy: Agent Plugins không làm giảm sự phụ thuộc vào nền tảng; nó chỉ chuyển sự phụ thuộc đó lên một tầng cao hơn. Trước đây, nhà phát triển plugin phụ thuộc vào từng client riêng lẻ. Bây giờ, họ phụ thuộc vào định dạng chuẩn — và vào các công ty duy trì định dạng đó. Nếu một ngày Vercel quyết định thay đổi phiên bản manifest, tất cả plugin cũ có thể trở thành rác. Các startup xây dựng trên Agent Plugins sẽ phải chạy theo từng bản cập nhật. Nghe quen không? Đó chính xác là câu chuyện của Ethereum và DAO: "code is law" — nhưng khi quyền nâng cấp contract nằm trong tay vài admin multi-sig, thì luật là gì? Luật là ý muốn của những người ký multi-sig. Với Agent Plugins, không có multi-sig, không có quy trình đề xuất nâng cấp minh bạch. Chỉ có một thông cáo và một blog post. Nếu bạn không ngồi trong nhóm quản trị, bạn không có tiếng nói. Còn nếu bạn không có tiếng nói, bạn chỉ là người dùng — và người dùng luôn là người trả giá. Liệu có một kịch bản tích cực? Tất nhiên là có. Nếu Agent Plugins được quản trị cởi mở, với sự tham gia của cộng đồng và các nhà nghiên cứu bảo mật độc lập, nó có thể thực sự trở thành một tầng chuẩn hóa hữu ích, giảm chi phí phát triển cho hàng triệu lập trình viên. Nhưng để đạt được điều đó, các câu hỏi khó cần được trả lời minh bạch: chữ ký số được xác thực thế nào? Quyền hạn của plugin được khai báo ra sao? Ai chịu trách nhiệm khi một plugin gây thiệt hại? Liệu có quy trình nâng cấp do cộng đồng bỏ phiếu không? Nếu không có những điều này, thì "tiêu chuẩn mở" chỉ là một khẩu hiệu. Tôi muốn dùng một phép so sánh cuối cùng. Năm 2017, tôi nhìn thấy hàng loạt dự án ICO hứa hẹn "một hệ điều hành phi tập trung cho internet". Kết quả, hầu hết chỉ là những chiếc áo không có cơ thể bên trong. Năm 2020, tôi nhìn thấy DeFi Summer tạo ra một cơn sốt vàng, rồi hàng loạt smart contract bị hack vì những lỗ hổng bị bỏ qua trong lúc FOMO. Và bây giờ, năm 2025, tôi nhìn thấy một tiêu chuẩn plugin được tạo ra bởi một liên minh quyền lực, được tô điểm bằng những lời lẽ đẹp đẽ về "sự cộng tác", nhưng lại thiếu vắng cơ chế an toàn cơ bản nhất. Con đường của kẻ săn lùng không phải con đường của những người chạy theo ánh sáng. Nó là con đường của những người nhìn vào bóng tối và đặt câu hỏi về những gì họ không nhìn thấy. Hãy quay lại với câu hỏi ban đầu của tôi về startup kia. Khi họ nói "tương thích Agent Plugins", họ có biết họ đang đặt cược vào một bàn cờ mà họ không phải người cầm quân? Họ thấy một cơ hội thị trường. Tôi thấy một sự phụ thuộc mới được sinh ra. Vậy, câu hỏi dành cho bạn: khi bạn nhảy vào một tiêu chuẩn mới, bạn có tự hỏi ai đang điều khiển con tàu không? Và nếu con tàu gặp bão — ai là người bước xuống trước?