ARTICLE · 1324700
“一切皆插件”:AI应用形态的现状、未来与机会
“一切皆插件”:AI应用形态的现状、未来与机会“一切皆插件”最初是一个架构选择，但它正在变成一个关于AI应用如何被组织、分发和消费的产业命题。2026年的现实是：插件的数量在爆炸，分发入口在被争抢，而真正决定这个生态能否持续的东西——信任、深度与支付——才刚刚开始被认真对待。 一、从App到“能力单元”：一次没有被充分注意的范式转移 理解“一切皆插件”的分量，需要先看清它替换掉了什么。 移动互联网的应用形态是“整装应用”：一个App封装了完整的功能闭环，用户下载它，进入它，在里面完成操作。开发者抽象的方向是向上封装，把运行时细节藏起来，让用户面对一个干净的界面。这套逻辑的代价是：应用是目的地，用户必须“去那里”。 “一切皆插件”翻转了这个关系。以DeepSeek Harness（DSH）为代表，模型适配器、工具注册表、会话日志、Agent主循环本身，全部被拆成可插拔的组件，官方说法是“没有特权内核”。插件不再是被一个宿主应用调用的附属品，而是Agent能力的构成单元本身。Thoughtworks的技术雷达将这一架构与“时空可组合性”并列，认为它可能为领域专用的企业Harness和未来的自我改进型Harness提供基础。 这意味着AI应用的“最小可分发单位”变了。过去是App，现在是一个Skill、一个MCP服务器、一个插件包。用户面对的不再是一个需要进入的目的地，而是一组可以被Agent在运行时按需装载的能力集合。这个转变的产业含义，远比“多了几种装软件的方式”要深。 二、现状：规模在飞轮，裂痕在暗处 2.1 数量与渗透：飞轮确实转起来了 截至2026年11月，DSH平台日活跃用户154万，第三方插件3.5万个，约60%的活跃用户安装或创作过至少一款插件。放到更大的盘子里看：MCP SDK月下载量从2025年的约2000万飙升至9700万，公开MCP服务器超过9400个，索引在案的Skill从2025年中的约50个膨胀到8.5万个以上，部分聚合器追踪到的公开Skill多达42.5万个。全球AI Agent市场2026年估值约78–150亿美元，2030年预测区间为520–2360亿美元。 分发侧的竞争已经白热化。2026年3月起，腾讯、阿里、字节先后上线Skill商店，智谱、美团、小红书在两个月内跟进，逻辑和当年抢App Store入口如出一辙：Skill商店本身多不收费，争的是分发权背后的算力消费、云服务收入和生态停留时间。DSH官方也在2026年11月宣布将建设官方插件市场。 2.2 但“装得多”不等于“用得住” 60%的安装率是一个有歧义的信号。在传统SaaS中，高安装率往往出现在产品早期——尝鲜热情远高于成熟期，次月留存才是真正的试金石。更关键的问题藏在插件内部：3.5万个插件中有多少经过测试、由多少独立开发者贡献，目前没有公开数据。Skill经济的收入分布也印证了这种头部集中：头部10%的Skill月收入在500–3000美元，中位数低于50美元每月。数量飞轮转起来了，质量飞轮还没有。 2.3 最尖锐的张力：权限透明度的缺席 AgentGuard团队2026年9月对DSH插件生态的抽样研究，给出了一个需要被正确解读的数字：在590个成功扫描的插件中，94.7%被评为High或Critical风险。这个数字不意味着94.7%的插件有恶意——DSH插件为了实现功能，本身就可能需要较高权限。真正的问题在于后半句：用户安装插件之前，可能已经需要对代码给予相当高的信任，却无法清楚看到插件将获得哪些权限。 具体的能力暴露面是触目的：91%的插件可以读取文件，81%可以访问环境变量，74%可以访问网络，63%可以执行Shell命令，48%可以修改工具注册表；还有32个插件包含AUTO_UPDATE模式，会在未来获取并执行远程内容——用户信任的不再只是安装时审查过的代码，还包括未来通过这一机制拉取的一切。Snyk的审计则发现36.82%的受审Skill包含安全缺陷。 这不是某个平台独有的问题，而是“一切皆插件”架构的结构性代价。插件化颗粒度越细、能力越强，权限的爆炸半径就越大，而当前的生态治理还远远没有跟上扩展速度。 三、未来：不是App Store，是能力路由与信任层 一个自然的联想是：插件生态会不会长出App Store？会有某些“形”，但内核不同。 第一，货架的“逛客”在变。 App Store的核心交互是用户主动搜索、浏览、下载。而在插件生态中，选择权正在向Agent本身转移。Skill的设计哲学中已经出现了明确的“Agent decides what to load”倾向：不是把技能推给模型，而是提供检索和加载工具，让Agent在任务上下文中自行决定调用什么。Skill与MCP的分工也趋于清晰：MCP是标准化的“插头”，解决连接问题；Skill是“操作手册”，解决流程与判断问题。两者的组合，使得Agent可以在运行时动态装配能力，而不是在安装时就固定下来。 第二，评价体系的根基在松动。 App Store的信任建立在海量用户评价上。但Skill的使用分散在各个Agent会话里，用户装完就走，回商店写评价的动力天然不足。质量信号不得不更多依赖平台侧的系统化评测与结构化信号，而非用户口碑的累积。Dify的实践已经指向这个方向：信任不能靠一个徽章和一句形容词来传达，而要靠可重复的控制——什么进入了包、插件能触及什么、审查的是哪个版本、证据变化时会发生什么。 第三，安全模型比App复杂一个量级。 App的恶意行为主要靠代码扫描拦截。但Skill天然携带自然语言指令，一段看似无害的描述文字就可能改变Agent的行为路径，正则匹配和AST分析对此基本失效。企业侧的反应已经出现：白名单机制、按L1–L4分级管控权限、严格审核plugin.json和.mcp.json，这些动作的本质是把“信任”从安装后的运行时前移到安装前的准入环节。 综合来看，插件生态最终更可能长成的形态，不是静态的“应用货架”，而是运行时能力调度系统的一部分：用户在配置层组合基础能力包，Agent在任务层按需检索和加载细粒度Skill，而市场承担的核心职能是信任信号的生成与传递——安全评级、权限声明、兼容性验证、效果实测——而不是简单的“上架—下载”通道。它会有App Store的某些外观，但运转逻辑更接近一个面向Agent的能力路由与信任层。 四、机会在哪里 4.1 信任基础设施：最确定、也最被低估的赛道 94.7%的High/Critical评估和36.82%的安全缺陷率，指向一个清晰的缺口：安装前的可验证性。谁能在插件进入用户运行时之前，以低成本、可重复的方式回答“它能触及什么、它实际做了什么、它是否越界”，谁就握住了这个生态的咽喉。具体形态可能包括声明式权限清单与运行时强制绑定、可复核的冒烟契约、按信号确定性推导的信任分级，以及供应链层面的签名与扫描前置。这不是一个“锦上添花”的品类，而是生态从“能装”走向“敢用”的前提。 4.2 垂直深度：通用能力的红海之外 当前Skill的分布高度集中在软件工程（约18%）、Agent工作流（15%）和商业运营/写作（各约11%）。这些领域的通用Agent本身就能做不少事，Skill的边际价值有限。真正有壁垒的机会在通用Agent不靠插件就做不到或做不好的地方：法律领域的Harvey、客服的Sierra、医疗的Hippocratic AI，走的是深度工作流集成而非通用能力封装的路。对独立开发者而言，“一人公司”打造可复用的垂直技能包是可行的，但盈利的关键不在数量，而在差异化、持续维护和精准定价。 4.3 Agent经济的支付与结算层 2026年Agent领域一条容易被忽视但确定性较高的主线是：Agent正在从“消耗你的API额度”进化为“拥有自己的身份、预算和支付能力”。插件作为Agent调用外部能力的单元，天然处于交易发生的位置——一次数据查询、一次API调用、一次专业分析，都可能触发付费。但大量Skill开发者缺乏搭建支付系统的能力，而Agent发起的交易又需要不同于人类 checkout 的结算原语。谁能在插件调用与支付之间建立低摩擦、可审计的桥梁，谁就占据了Agent经济中“收费公路”的位置。 4.4 内容源的“合规化封装” 社媒信息、专业数据库、知识库正在被封装为插件，但非官方接口的合规风险是真实的：小红书数据抓取案判赔110万元，首例非法调用微博API转卖数据案全额支持2000万元赔偿请求。这恰恰构成了一个反向机会：合规、可溯源、有明确授权边界的内容连接器，在泥沙俱下的非官方封装中会成为稀缺品。不是“能不能连”，而是“连得干不干净、答案能不能标注来源”，会成为企业场景中内容源插件的核心区分点。 五、风险不会消失，但可以被定价 “一切皆插件”的最终考验，不是插件数量能涨到多少，而是生态能否让用户以足够低的成本判断“这个插件值不值得信任” 。当前的裂痕是真实的：权限不透明、质量分层缺失、支付闭环未成形、非官方数据源的合规阴影仍在。但裂痕本身也是机会的位置——信任基础设施、垂直深度、支付原语、合规封装，每一个方向都对应着一个尚未被充分满足的结构性需求。 插件化颗粒度越细，黑盒越少，系统的可优化空间越大。这个判断对Agent运行时成立，对生态本身同样成立。当每一个插件的权限、行为和代价都变得可见、可比较、可定价时，“一切皆插件”才从一个架构口号，变成一种可持续的应用形态。
