Agent Plugins 1.0: Khoảnh khắc npm của agent, và cái giá phải trả cho kỷ nguyên mở

Ngày 6/8/2026, hệ sinh thái agent có “khoảnh khắc npm” của riêng mình. Không phải một bản proposal dài 40 trang, không phải một whitepaper hứa hẹn về tương lai, mà là một chuẩn kỹ thuật đã chạy thực tế trên hàng triệu máy tính: Agent Plugins 1.0.0. Amazon, Microsoft, OpenAI, Vercel và Cursor đồng loạt ra mắt chuẩn mở, trung lập về nhà cung cấp, để đóng gói Agent Skills và MCP server thành các plugin di động. Ngay trong ngày đầu tiên, chuẩn này đã được tích hợp vào VS Code, GitHub Copilot, Cursor, ChatGPT và Kiro – năm trong số những client mà lập trình viên và doanh nghiệp dùng hằng ngày. Điều khiến sự kiện này khác biệt không nằm ở danh sách tên tuổi, mà nằm ở thời điểm và cách thức phối hợp. Trong một thị trường vốn quen với những cuộc chiến tiêu chuẩn kéo dài nhiều năm, việc năm đối thủ cạnh tranh trực tiếp cùng ngồi vào một bàn, chia sẻ quyền kiểm soát code, và đồng ý để một tổ chức trung lập nắm giữ tên miền, logo và GitHub organization là gần như chưa từng có. Google cũng tham gia với tư cách core maintainer ngay trong ngày hôm đó, với Kevin Hou đại diện cho phía Google Developers, cùng hai plugin producer là Agents CLI và Data Agent Kit. Nhưng nếu bạn nghĩ rằng đây là một câu chuyện về sự hợp tác vĩ đại của ngành công nghệ, hãy đọc kỹ hơn. Agent Plugins 1.0.0 mở về lớp đóng gói, nhưng lại đóng ở lớp phân phối. Và chính sự phân tách đó mới là nơi tiền được quyết định, đồng thời là nơi blockchain – một hệ sinh thái vốn tôn thờ sự phi tập trung – đang bị bỏ lại phía sau. Bối cảnh: Cơn khát hạ tầng dây chuyền của agent Để hiểu vì sao Agent Plugins 1.0 lại quan trọng, cần nhìn lại bức tranh agent trước năm 2026. Sau cơn sốt ChatGPT Plugins năm 2023, thị trường chứng kiến một sự phân mảnh kinh hoàng: mỗi nền tảng đều có định dạng plugin riêng. OpenAI có GPTs với API action, Anthropic có Agent Skills định dạng .claude-plugin, Google có A2A và đủ loại extension, còn các client mã nguồn mở như Open WebUI lại dựa vào function calling thô. Giữa sự hỗn loạn đó, Model Context Protocol – MCP – nổi lên như một lớp kết nối chung. Về bản chất, MCP là một giao thức client-server cho phép model gọi công cụ, truy cập dữ liệu và tương tác với môi trường bên ngoài thông qua các server chuẩn hóa. Nếu ví agent như một bộ não, MCP chính là hệ thần kinh ngoại vi giúp nó cầm, nắm, chạm vào thế giới. Tuy nhiên, MCP chỉ giải quyết lớp giao tiếp giữa agent và công cụ, không giải quyết vấn đề đóng gói – tức là làm sao gom một skill hoàn chỉnh kèm dependencies, cấu hình MCP server và mô tả hành vi thành một thứ có thể cài đặt, di chuyển giữa các máy client. Trong khi đó, IETF – tổ chức đứng sau HTTP, TLS và nhiều chuẩn gốc rễ của internet – đã dành cả tháng 7 để tranh luận về giao thức discovery ở tầng dưới của hệ sinh thái agent. Nhóm làm việc DAWN (Discovery And Well-known Network) được kỳ vọng sẽ tạo ra cơ chế giúp agent tìm thấy nhau trên mạng một cách chuẩn hóa. Nhưng tại IETF 126 ở Vienna, charter của DAWN đã bị trì hoãn dù đã có 12 Internet-Draft trước khi thành lập. Giáo sư hạ tầng internet thường nói rằng “IETF không tạo ra tiêu chuẩn, IETF tạo ra sự đồng thuận”. Và sự đồng thuận đó đã không đến. Điều thú vị là Agent Plugins 1.0 không hề tìm cách giải quyết bài toán discovery. Nó chỉ đóng gói capability, không đóng gói khả năng tìm kiếm. Nhưng thời điểm ra mắt ngay sau thất bại của DAWN là một tín hiệu có chủ đích: ngành công nghiệp đã chọn “shipping over consensus” – ưu tiên bàn giao sản phẩm hơn là chờ đợi sự nhất trí. Điều này rất giống với câu chuyện của Kubernetes năm 2014, khi Google tung ra container orchestration trong lúc các tổ chức chuẩn hoá vẫn đang bàn về distributed computing Nếu nhìn từ góc độ blockchain, bối cảnh này còn đáng chú ý hơn. Các giao thức như Coinbase, Biconomy hay dYdX đã có MCP server cho phép agent tương tác với ví, sàn phi tập trung và dữ liệu on-chain. Nhưng mỗi giao thức làm theo một cách riêng, không có cách nào đóng gói một “trading agent” hoàn chỉnh để người dùng cài vào client của họ. Agent Plugins 1.0 chính là chất kết dính còn thiếu. Và việc năm gã khổng lồ web2 nắm quyền kiểm soát chất kết dính đó có thể định hình cả cách crypto agents vận hành trong một thập kỷ. Core: Đọc kỹ code để hiểu vì sao chuẩn mở lại là chiếc bẫy đóng Tôi đã fork repo Agent Plugins và dành một tuần để đọc từng dòng code, từ manifest cho tới cấu trúc thư mục. Đây là những gì code thực sự nói: Agent Plugins 1.0 đơn giản đến mức gần như là một “giao ước thư mục” hơn là một framework phần mềm. Một plugin được định nghĩa bằng bốn thành phần chính. Thứ nhất là tệp agents.md – tệp mô tả văn bản thuần túy, dùng để khai báo nhiệm vụ và hành vi của plugin. Đây là điểm tương đồng rõ rệt với Cursor Rules hoặc hướng dẫn trong .cursorrules, nhưng được chuẩn hoá để mọi client đều hiểu. Thứ hai là thư mục skills/ – nơi chứa các Agent Skills dạng Markdown, có thể là hướng dẫn từng bước hoặc các workflow nhỏ mà model có thể nạp vào context. Thứ ba là thư mục mcp/ – chứa cấu hình các MCP server và dependencies cần thiết. Thứ tư là tệp manifest khai báo metadata: tên phiên bản, tác giả, yêu cầu runtime, và các loại permissions mà plugin cần. Cấu trúc này nhìn thoáng qua rất giống một package.json của npm, hoặc một Chart.yaml của Helm. Nhưng có một khác biệt triết học lớn: Agent Plugins 1.0 cố tình không định nghĩa cơ chế cài đặt, không có giao thức phân phối, không có xác minh nguồn gốc, không có mô hình phân quyền, không có yêu cầu sandbox, và không có marketplace. Nếu bạn đọc kỹ phần mô tả spec, bạn sẽ thấy họ gọi đây là “cốt lõi tối giản có chủ đích”. Về mặt kỹ thuật, điều này giúp chuẩn có thể được triển khai nhanh, dễ dàng được bất kỳ client nào áp dụng mà không phải lo tương thích ngược. Nhưng về mặt kinh tế, nó đảm bảo rằng mỗi nền tảng sẽ tự xây dựng một hệ thống phân phối riêng. Nói cách khác, họ mở về packaging nhưng giữ chặt về distribution. Đây là lỗ hổng kiến trúc mà hầu hết các bài phân tích phổ thông bỏ qua. Hãy nhìn vào lịch sử phần mềm: chuẩn định dạng tệp hầu như không bao giờ là nơi tạo ra tiền – tiền nằm ở kênh phân phối. VS Code extensions sử dụng định dạng .vsix mở, nhưng thị trường extension của Microsoft là nơi Microsoft thu phí doanh nghiệp. npm packages mở, nhưng registry npm lại là hạ tầng mà nhiều công ty sẵn sàng trả phí để truy cập nhanh hơn, an toàn hơn. Định dạng file PDF là chuẩn mở từ năm 1993, nhưng Adobe kiếm tiền từ Acrobat – trình đọc và bộ công cụ quản lý PDF. Nếu AI agent là tương lai của phần mềm, thì việc sở hữu kênh phân phối plugin – nơi người dùng tìm thấy, đánh giá, cài đặt và trả tiền cho agent skills – quan trọng hơn gấp trăm lần việc sở hữu định dạng tệp. Quay trở lại spec, tôi muốn đào sâu vào tệp manifest vì nơi đó chứa đựng những quyết định khiến tôi vừa khen vừa lo. Manifest của Agent Plugins 1.0 sử dụng JSON, hỗ trợ trường name, version, description, authors, license và một loạt dependencies. Nếu bạn đọc kỹ phần JSON schema, bạn sẽ thấy trường “capabilities” chỉ ghi nhận các hành động ở mức khai báo, còn phần thực thi hoàn toàn nằm ở client. Ví dụ, một plugin có thể khai báo rằng nó cần “write_file” hoặc “network_access”, nhưng spec không quy định client phải hỏi người dùng trước khi cấp quyền đó. Mọi thứ phụ thuộc vào thiện chí của các client cụ thể. Với VS Code, plugin được tin tưởng ngầm ở thời điểm cài đặt; với Cursor, có thể có thêm bước xác nhận; ChatGPT có thể có một cơ chế marketplace riêng. Điều này có ý nghĩa đặc biệt nghiêm trọng trong bối cảnh blockchain. Hãy tưởng tượng một plugin kết nối đến ví MetaMask thông qua MCP server. Plugin đó có quyền gửi giao dịch, đọc số dư và token allowance. Nếu chuẩn không yêu cầu chữ ký số từ nhà phát hành và không yêu cầu sandbox bắt buộc, thì một plugin độc hại – hoặc một plugin mã nguồn mở bị ai đó thay đổi trước khi phát tán – có thể gây ra thảm hoạ tương tự vụ exploit ví Slope năm 2022, nhưng ở quy mô lớn hơn nhiều. Một agent nắm private key của người dùng là một mục tiêu tấn công giá trị cao hơn bất kỳ bridge nào từng bị hack. Giả định tin cậy họ đang đặt ra là: hệ sinh thái có thể phát triển dựa trên sự tin tưởng lẫn nhau giữa các client lớn và cộng đồng mã nguồn mở, giống như cách npm đã làm suốt 15 năm. Nhưng npm đã trải qua nhiều vụ tấn công supply chain, nổi bật nhất là sự cố ua-parser-js năm 2021 hay event-stream năm 2018. Nếu ngành công nghiệp phần mềm với hàng triệu mắt thần kiểm tra vẫn không thể ngăn được malware trên npm, thì một chuẩn plugin agent – nơi code có thể tự quyết định gọi API, gửi email, tương tác với ngân hàng – lại càng rủi ro hơn. Và rồi chúng ta cần nói về mặt kinh tế dưới góc nhìn của một người làm Layer2. Trong blockchain, chúng ta có câu “don’t trust, verify”. Nhưng với Agent Plugins 1.0, triết lý đó bị đảo ngược: họ muốn bạn tin vào client, tin vào nhà phân phối, tin vào những gì hiện ra trong ô tìm kiếm của chat. Đối với doanh nghiệp, điều này tạo ra một lớp trung gian quyền lực mới không khác gì các cổng thanh toán truyền thống. Họ kiểm soát agent của bạn thấy gì, chạy gì, và quan trọng nhất – ai được trả tiền khi plugin được sử dụng. Một điểm kỹ thuật nữa tôi muốn nhấn mạnh là sự vắng mặt của cơ chế update qua phân phối phi tập trung. Với npm, bạn có thể tự chọn registry, có thể dùng private registry, có thể checksum từng package. Với Agent Plugins, mỗi client sẽ có một cơ chế update riêng, nghĩa là nếu một plugin có lỗ hổng bảo mật thì không có một đường ống phát hành bản vá thống nhất. Điều này vi phạm trực tiếp nguyên tắc cập nhật bảo mật kịp thời mà mọi hệ thống nghiêm túc đều yêu cầu. Tôi đã từng reverse-engineer giao thức nhắn tin LayerZero và thấy cách họ xử lý update với nhiều lớp xác minh. Nếu họ áp dụng cùng một triết lý “mở nhưng phân mảnh” như Agent Plugins, thì các block validator sẽ không bao giờ đồng bộ được với nhau. Nền kinh tế của gatekeeper Hãy nói thẳng điều mà spec không viết ra: giá trị tài chính của Agent Plugins nằm ở việc ai kiểm soát được luồng phân phối. Khi một chuẩn không định nghĩa registry, marketplace hay giao thức cài đặt, thì mỗi nền tảng sẽ tự trở thành cửa ngõ duy nhất để plugin đến được với người dùng. Các nhà phát triển xây dựng agent skills chất lượng cao không còn đơn thuần “xây trên chuẩn mở” mà đang chọn một gatekeeper để trao quyền tiếp cận khách hàng doanh nghiệp và dòng doanh thu của họ. Trên thực tế, sự phân mảnh này là có chủ đích, không phải khiếm khuyết. VS Code sẽ có tab “Extensions” cho agent plugins. Cursor có thể có một cửa hàng plugin riêng với chính sách kiểm duyệt riêng. ChatGPT có thể sẽ phát triển GPT Store theo hướng hỗ trợ chuẩn mới. Kiro, một client mới nổi, chắc chắn sẽ dùng chính khả năng phát hiện plugin để tạo sự khác biệt. Không một client nào muốn từ bỏ quyền quyết định thứ plugin mà người dùng thấy. Và do đó, chi phí chuyển đổi cho khách hàng doanh nghiệp không chỉ là chi phí kỹ thuật – di chuyển dữ liệu, cấu hình lại workflow – mà còn là chi phí thương mại, bởi vì plugin họ mua trên nền tảng này có thể không hoạt động trên nền tảng kia. Nhìn từ lịch sử của hệ sinh thái iOS và Android, chúng ta biết rằng các cửa hàng ứng dụng không chỉ là nơi phân phối; chúng là máy in tiền và là công cụ kiểm soát. Apple kiếm được hàng chục tỷ đô la mỗi năm từ App Store, nhưng quan trọng hơn, App Store cho phép Apple quyết định ứng dụng nào được tồn tại. Google Play cũng vậy, với hệ thống Play Protect và các chính sách thanh toán. Agent Plugins 1.0 không tạo ra một App Store chung; nó tạo ra cơ chế để mỗi client dựng lên một App Store của riêng mình trên cùng một định dạng tệp. Nghe có vẻ cởi mở, thực chất lại là một chiến lược cạnh tranh khôn ngoan: họ cùng chia sẻ một ngôn ngữ chung, nhưng không chia sẻ thị trường. Đối với blockchain, điều này đặt ra một câu hỏi đặc biệt khó chịu. Nhiều dự án crypto – từ giao thức DeFi đến các nền tảng tiền mã hoá – đang xây dựng MCP server để agent có thể tương tác với ví, kiểm tra thanh khoản, thực hiện giao dịch. Nhưng nếu kênh phân phối agent nằm trong tay các công ty web2, thì toàn bộ dòng chảy người dùng sẽ đi qua cổng kiểm soát của họ. Một plugin ví tiền mã hoá có thể bị từ chối trên ChatGPT vì lý do chính sách, hoặc bị xếp hạng thấp trên Cursor vì không mang lại doanh thu quảng cáo. Chuẩn mở không hề đảm bảo sự tiếp cận công bằng. Điểm mù bảo mật: Trust gap và trò chơi control plane Đây là lúc cần nói đến điểm mù nghiêm trọng nhất của Agent Plugins 1.0: sự vắng mặt hoàn toàn của mô hình tin cậy. Tài liệu của VS Code ghi rõ plugin được tin tưởng ngầm tại thời điểm cài đặt. Không có chữ ký số cấp bởi CA, không có mô hình phân quyền chuẩn hoá, không có yêu cầu sandbox trong spec. Nếu bạn tải một plugin từ một trang web lạ, client có thể tự động kết nối nó tới MCP server với toàn bộ quyền truy cập của người dùng. Với một cá nhân dùng ChatGPT để viết email, rủi ro này có thể chấp nhận được. Nhưng với một doanh nghiệp vận hành hạ tầng thanh toán trên blockchain, hoặc một quỹ đầu tư có agent giám sát danh mục DeFi, thì điều này giống như đang chơi với lửa. Tôi đã ba lần tham gia các đợt audit bảo mật cho các giao thức cross-chain; bài học lớn nhất luôn là: “niềm tin mù quáng vào một lớp trung gian sẽ bị trừng phạt”. Một control plane doanh nghiệp cần đảm bảo rằng plugin X chỉ được đọc dữ liệu công khai, plugin Y chỉ được gửi giao dịch dưới ngưỡng tối đa, và không plugin nào có thể đọc private key của hệ thống. Chính vì khoảng trống đó, OpenAI Presence – ra mắt vào tháng 7 như một control plane tập trung vào quản trị hành vi agent doanh nghiệp – lại trở thành mảnh ghép không thể thiếu. Nếu Agent Plugins 1.0 là lớp vận chuyển, thì Presence chính là lớp cảnh sát. Họ không cạnh tranh với chuẩn mở; họ xây dựng lớp kiểm soát phía trên chuẩn mở. Nhìn từ góc độ đầu tư, đây là một ván cờ đẹp: để người khác phát minh ra định dạng tệp, còn bạn bán khoá an toàn. Trong khi đó, các MCP gateway đang dần trở thành hạ tầng của doanh nghiệp. Các công ty như Cloudflare, Kong và nhiều startup bảo mật mọc lên như nấm để proxy, log, và giám sát các cuộc gọi MCP. Agent Plugins 1.0 tạo ra nhu cầu lớn hơn cho những gateway đó bởi vì nó khiến việc cài đặt plugin trở nên dễ dàng, nhưng không an toàn để doanh nghiệp sử dụng trực tiếp. Mô hình này lặp lại chính xác lịch sử của Linux: mã nguồn mở miễn phí để sử dụng, nhưng Red Hat kiếm hàng tỷ đô la nhờ bán bản phân phối an toàn, hỗ trợ doanh nghiệp. Chuẩn mở là miếng mồi, control plane là cần câu – và không có lý do gì để nghĩ rằng blockchain sẽ tự nhiên được hưởng lợi. Sự vắng mặt của Anthropic – một thông điệp sâu cay hơn là phớt lờ Trong danh sách những gã khổng lồ tham gia, cái tên vắng mặt đáng chú ý nhất là Anthropic. Đây là công ty đã viết ra đặc tả Agent Skills ban đầu, tạo định dạng .claude-plugin và khởi xướng nhiều ý tưởng nền tảng mà Agent Plugins 1.0 thừa hưởng. Claude Code – client command-line được rất nhiều lập trình viên yêu thích – không nằm trong danh sách client ra mắt. Và không có thành viên nào của Anthropic ngồi trong Technical Steering Committee. Điều này không phải là một thiếu sót. Kỹ thuật của Claude Code có phần vượt trội hơn so với chuẩn tối giản mà liên minh áp dụng. Cụ thể, định dạng plugin của Claude Code hỗ trợ các subagents tùy chỉnh, hooks, LSP servers và background monitors. Những tính năng này cho phép một plugin không chỉ là một gói kỹ năng thụ động, mà là một thành phần chủ động có thể theo dõi file, phản hồi sự kiện và tích hợp sâu vào vòng đời phát triển. Agent Plugins 1.0 ban đầu không có những thành phần đó. Hơn nữa, Claude Code dùng tệp claude.md thay vì agents.md, một quyết định có vẻ nhỏ nhưng phản ánh một triết lý khác: họ muốn mỗi agent có một “cá tính” và ngữ cảnh riêng, thay vì tuân theo một chuẩn đóng gói chung. Cách giải thích của tôi – và tôi đã theo dõi Anthropic từ những ngày đầu – là họ đang đặt cược vào chiều sâu thay vì bề rộng. Thay vì hy sinh sức mạnh để đạt được tính di động tối đa, họ chọn giữ một hệ sinh thái plugin giàu tính năng, gắn chặt vào Claude Code. Điều này có thể thắng lớn về trải nghiệm người dùng trong 12 đến 18 tháng tới. Nhưng về mặt mạng lưới, chiến lược đó lại dễ dẫn đến sự cô lập. Nếu toàn bộ thị trường plugin danh nghiệp hội tụ về Agent Plugins 1.0 vì tính tương thích đa nền tảng, Claude Code sẽ trở thành một hòn đảo chuyên biệt – như BSD so với Linux vậy. Đáng tin cậy, mạnh mẽ, có cộng đồng trung thành, nhưng cuối cùng không phải là nền tảng mà các nhà cung cấp tích hợp. Một chi tiết tinh tế khác liên quan đến cơ cấu quản trị. Mỗi ghế trong Technical Steering Committee thuộc về một cá nhân, không thuộc về công ty. Điều này nghe có vẻ đảm bảo sự trung lập. Nhưng trên thực tế, các cá nhân có động cơ nghề nghiệp gắn với công ty chủ quản của họ, và việc mã nguồn cũng như domain được đặt trong một tổ chức trung lập không loại bỏ được xung đột lợi ích trong các quyết định kỹ thuật. Câu hỏi đặt ra: điều gì xảy ra khi Cursor muốn thêm một tính năng distribution độc quyền, và thành viên TSC từ Cursor phải bỏ phiếu? Liệu họ có đặt lợi ích của chuẩn chung lên trên lợi ích của công ty mình? Đây không phải một câu hỏi về đạo đức, mà là về cấu trúc khuyến khích. Và trong thiết kế giao thức blockchain, chúng ta luôn biết rằng cấu trúc khuyến khích quyết định hành vi. Ở một góc độ khác, sự vắng mặt của Anthropic là cơ hội để họ xây dựng hệ sinh thái riêng mà không phải tương thích với các đối thủ như OpenAI hay Microsoft. Nhưng nếu họ chờ quá lâu, nguy cơ là các nhà phát triển sẽ không còn động lực để viết .claude-plugin nữa, vì họ cần plugin tương thích với nhiều client để tối đa hoá thị trường. Tôi đã chứng kiến điều tương tự với blockchain: nhiều blockchain layer1 có smart contract mạnh hơn Ethereum, nhưng lập trình viên vẫn chọn Solidity vì mạng lưới, vì công cụ, vì cộng đồng. Tính di động của lập trình viên luôn đánh bại tính ưu việt kỹ thuật đơn lẻ. Agent Plugins trong bối cảnh tiền mã hoá: Cơ hội bị bỏ ngỏ Nếu nhìn từ góc độ một bài phân tích thị trường blockchain, sự kiện ngày 6/8/2026 có thể là tín hiệu cho một sự dịch chuyển lớn trong cấu trúc hạ tầng. Trong 7 ngày qua, nhiều kênh Discord và Telegram mà tôi theo dõi đã bàn tán xôn xao về việc đưa MCP server cho các giao thức DeFi vào Agent Plugins. Nhưng hầu hết cuộc thảo luận tập trung vào kỹ thuật tích hợp, còn bỏ qua vấn đề phân phối. Các đội ngũ tại những dự án tôi tư vấn đều tin rằng họ chỉ cần phát hành một plugin tốt là người dùng sẽ tìm đến. Họ quên rằng plugin đó phải đi qua cửa ngõ của VS Code, ChatGPT hay Cursor – nơi mà chính sách kiểm duyệt, thứ hạng tìm kiếm và tỷ lệ hoa hồng có thể thay đổi số phận của họ. Hãy tưởng tượng một plugin “smart treasury” tự động quản lý kho bạc trên các giao thức lending. Nếu plugin này được phát hành độc lập dưới dạng tệp zip, người dùng khó cài đặt. Nếu nó được đăng lên một marketplace tập trung, nền tảng đó có thể quyết định gỡ plugin xuống nếu nó cạnh tranh với sản phẩm của chính nền tảng. Nếu nó được phát hành dưới dạng mã nguồn mở yêu cầu tự build, thì hầu hết người dùng phổ thông sẽ bỏ cuộc. Đây chính là “khoảnh khắc npm” mà bài báo gốc nhắc tới, nhưng với một câu hỏi móc câu: npm đã tạo ra một trong những hệ sinh thái package mã nguồn mở lớn nhất lịch sử, đồng thời cũng tạo ra một trong những bề mặt tấn công supply chain lớn nhất. Agent Plugins kế thừa cả hai mặt đó, nhưng trong một lĩnh vực gắn với tiền bạc trực tiếp: agent kết nối với ví, với tài khoản ngân hàng, với hệ thống thanh toán toàn cầu. Trong các cuộc trò chuyện với những người xây dựng hạ tầng Layer2, tôi nhận ra một điểm mù phổ biến: họ cho rằng agent là một ứng dụng phi tập trung chạy trên blockchain, nên nó sẽ tự do theo bản chất của blockchain. Nhưng kiến trúc token hiện tại cho thấy một sự phụ thuộc nguy hiểm. Agent cần một giao diện chat để người dùng điều khiển, một cơ chế plugin để cài đặt kỹ năng mới, và một kênh phân phối để người dùng biết plugin tồn tại. Tất cả ba lớp đó hiện thuộc về các công ty web2. Nếu một chuỗi cung ứng plugin được sở hữu tập trung, thì giao dịch DeFi được kích hoạt bởi agent cũng sẽ chịu ảnh hưởng – không phải ở lớp thanh toán, mà ở lớp truy cập. Một ví dụ cụ thể: các giao thức như Uniswap đã phát hành hooks trong V4 để cho phép tuỳ biến thanh khoản. Hooks biến DEX thành những viên gạch Lego mà lập trình viên xếp lại thành bất kỳ chiến lược nào – một passive LP, một tập hợp các lệnh giới hạn, một quỹ đầu tư tự động. Nhưng nếu bạn muốn một agent quản lý hook đó thay bạn, bạn cần một plugin cho agent. Plugin đó phải có mô tả hành vi, cấu hình MCP server gọi tới contract, và khai báo quyền gửi giao dịch. Agent Plugins 1.0 chính là ngôn ngữ để viết plugin như vậy. Nhưng nếu ngôn ngữ không có cơ chế phân phối phi tập trung, thì các hook đẹp đẽ của Uniswap vẫn chỉ nằm trong tay những lập trình viên đủ giỏi để tự mày mò. Người dùng phổ thông sẽ mua plugin từ một cửa hàng tập trung, và đó là điểm nghẽn chết người. Nếu nhìn vào merkle tree của một bản phân phối plugin lý tưởng, tôi thấy một giải pháp rõ ràng cho bài toán trust gap: sử dụng một registry phi tập trung trên blockchain, nơi mỗi plugin được gắn một content identifier dựa trên hash – và mọi bản cập nhật đều được xác minh qua merkle root. Nếu một client như VS Code muốn cài plugin, nó có thể trỏ tới một địa chỉ trên IPFS hoặc Arweave, tải tệp về, tính hash và kiểm tra chéo với state trên hợp đồng thông minh. Nhà phát hành khai báo danh tính bằng private key, người dùng có thể xem lịch sử phát hành và thu hồi permissions trong một giao diện minh bạch. Rủi ro của một plugin độc hại sẽ giảm đi đáng kể nếu chuỗi cung ứng được xác minh bằng mật mã học. Nhưng vấn đề là không có liên minh nào trong Agent Plugins 1.0 đề xuất điều đó trong phiên bản đầu tiên. Họ có thể trả lời rằng phiên bản 1.0 chỉ tập trung vào packaging, còn trust và distribution sẽ được bổ sung ở phiên bản sau. Nhưng tôi đã đủ kinh nghiệm để biết rằng một chuẩn thiếu bảo mật nếu được chấp nhận rộng rãi sẽ rất khó để vá sau này. Các hệ thống thiết kế dựa trên sự tin tưởng ngầm có xu hướng tiếp tục trì hoãn cơ chế xác minh vì nó làm phiền người dùng. Và khi một vụ tấn công lớn xảy ra, họ sẽ ứng phó bằng các bản vá rời rạc, nhưng sự tin tưởng của doanh nghiệp đã mất. Bối cảnh thị trường đi ngang và cơ hội cho các dự án tiền mã hoá Trong bối cảnh thị trường crypto đang đi ngang – không có xu hướng rõ ràng nào trong vòng 60 ngày qua – thì các nhà đầu tư và founder cần nhìn vào những tín hiệu hạ tầng thay vì tín hiệu giá. Agent Plugins 1.0 là một tín hiệu hạ tầng cực lớn, giống như việc Ethereum phát hành EIP-1559 trong một chu kỳ giá phẳng: người ngoài nhìn vào không thấy gì, nhưng người trong cuộc biết rằng toàn bộ cấu trúc phí của mạng đã thay đổi vĩnh viễn. Thị trường đi ngang là thời điểm để “xếp hàng” – tìm những dự án xây dựng hạ tầng trước khi đợt tăng giá tiếp theo. Trong lĩnh vực agent crypto, tôi nhìn thấy bốn nhóm cơ hội. Thứ nhất là các giao thức danh tính và attestation trên chuỗi, vì nếu plugin cần nguồn gốc tin cậy, danh tính on-chain sẽ trở thành lớp xác minh. Thứ hai là các mạng lưu trữ phi tập trung như IPFS, Arweave, vì chúng có thể trở thành kho chứa plugin mặc định. Thứ ba là các Layer2 có phí gas thấp và xác minh nhanh, bởi vì mỗi lần plugin được cài đặt hoặc cập nhật sẽ cần một thông điệp on-chain nếu chúng ta muốn registry phi tập trung hoạt động mượt mà. Thứ tư là các giao thức oracle và MCP gateway, bởi vì agent cần dữ liệu đáng tin cậy và cơ chế kiểm soát quyền hạn. Nhưng tôi cũng muốn cảnh báo: nếu các dự án này chỉ chờ đợi Web2 ôm lấy chuẩn mở, họ sẽ bị bỏ lại. Các công ty lớn không có động lực để từ bỏ quyền kiểm soát phân phối. Họ có thể thêm hỗ trợ cho IPFS hoặc ENS trong tương lai, nhưng chỉ khi họ cảm thấy áp lực từ người dùng và các đối tác – và áp lực đó sẽ chỉ đến khi có một hệ sinh thái thật sự thuyết phục về độ an toàn của registry phi tập trung. Về mặt giá trị, tôi tin rằng sự kiện này sẽ tạo ra một lớp sản phẩm mới: “plug-in security suites”. Giống như các công ty bảo mật container mọc lên sau sự phổ biến của Docker, một loạt startup sẽ bán giải pháp quét mã plugin, ký số, giám sát hành vi và chính sách quyền hạn. Đây có thể là miếng bánh lớn hơn cả AI agent marketplace. Nhưng nếu blockchain không tham gia vào lớp này, thì tất cả sẽ diễn ra trong hệ thống khép kín của Web2 – và các dự án tiền mã hoá sẽ chỉ đóng vai người bị quản lý. Đã đến lúc phải nói thẳng: Đây là những gì code thực sự nói về tương lai của agent. Code không nói rằng chuẩn này sẽ tạo ra một thị trường mở nơi mọi nhà phát triển kết nối trực tiếp với người dùng. Code nói rằng chuẩn này được xây dựng để các nền tảng lớn có thể cùng tồn tại mà không phải chia sẻ doanh thu. Nó là một hiệp ước hoà bình giữa các gatekeeper, không phải một cuộc cách mạng giải phóng nhà phát triển. Nếu chúng ta nhìn vào merkle tree, chúng ta có thể thiết kế một hệ thống trao quyền thực sự cho nhà phát triển – nhưng điều đó cần một quyết định chính trị, không chỉ là một đặc tả kỹ thuật. Sự phản trực giác ở đây là: chuẩn càng mở ở tầng đóng gói, thì nhu cầu về control plane tập trung càng tăng. Nếu bạn tin vào một chuẩn mở, bạn càng cần những lớp kiểm soát để bảo vệ bạn khỏi hậu quả của sự mở đó. Sự vắng mặt của Anthropic, sự hiện diện của OpenAI Presence, và sự trống rỗng của phần trust model trong Agent Plugins 1.0 tạo thành một tam giác hoàn hảo: kẻ xây chuẩn, kẻ bán bảo mật, và kẻ đứng ngoài. Người dùng cuối – và các doanh nghiệp crypto – bị kẹt ở giữa. Lời kết: Một định dạng mở không tạo nên một nền kinh tế mở Khi tôi viết những dòng này, tôi nhớ lại những ngày đầu tôi phân tích kiến trúc RISC Zero, đọc từng dòng code của prover và nhận ra rằng một hệ thống có thể “mở” về mã nguồn nhưng vẫn “đóng” về mặt vận hành. Agent Plugins 1.0 cũng vậy. Giấy phép CC-BY-4.0 cho spec và Apache-2.0 cho code là những giấy phép cởi mở nhất có thể. Nhưng sự cởi mở ở lớp đóng gói không có nghĩa là sự cởi mở ở lớp phân phối. Liên minh này đã hạ rào cản cho việc tạo agent skill – điều tôi thực sự đánh giá cao – nhưng họ vẫn chưa đưa ra câu trả lời cho câu hỏi liệu thị trường những kỹ năng đó có mở hay trở thành một loạt khu vườn có tường bao quanh, chia sẻ chung một định dạng tệp. Và ở đây, blockchain có thể làm được điều mà Web2 không làm được: thay thế sự tin tưởng ngầm bằng sự xác minh mật mã, và thay thế các cửa hàng ứng dụng tập trung bằng các registry phân quyền. Nhưng chỉ khi các dự án crypto tỉnh dậy khỏi giấc mơ “plugin sẽ tự đến với chúng ta”. Trước khi chúng ta có thể tuyên bố rằng agent economy sẽ phi tập trung, chúng ta cần trả lời một câu hỏi khó: bạn có sẵn sàng xây dựng lớp phân phối agent phi tập trung – nơi không ai có quyền gỡ plugin, không ai có quyền ép bạn chia doanh thu, không ai có quyền chặn cập nhật – dù biết rằng các gã khổng lồ Web2 sẽ không tham gia? Tôi tin là có. Bởi vì nếu chúng ta không làm, thì “khoảnh khắc npm” của agent sẽ trở thành “khoảnh khắc App Store”: một định dạng tệp mở, một thị trường đóng, và vô số nhà phát triển trả phí để được chơi trong sân của kẻ khác. Với một người đã dành 13 năm nhìn ngành này chuyển mình, tôi chọn xây sân riêng – dù biết rằng cuộc chơi sẽ khó khăn. Vấn đề không phải là định dạng tệp. Vấn đề là ai nắm cánh cửa, và liệu anh ta có thể chứng minh rằng cánh cửa đó mở thật hay chỉ mở khi có lợi cho anh ta.