Wer zuletzt vor einem Jahr auf die Erweiterbarkeit von ChatGPT geschaut hat, findet ein Vokabular vor, das sich seitdem zweimal bewegt hat, und eine Substanz, die sich einmal bewegt hat. Das Wort Plugin ist zurück, und es bedeutet nicht mehr, was es 2023 bedeutete. Die Entwicklerdokumentation von OpenAI definiert ein Plugin heute als Paket aus drei Dingen: Skills, einem MCP-Server und optionaler UI. Die Skills ergänzen wiederholbare Abläufe rund um die Werkzeuge; der MCP-Server liefert die Werkzeuge und den Zugang zu externen Systemen; die UI ist eine Menge von Ressourcen, die manche Werkzeuge zur Anzeige in ChatGPT zurückgeben.
Die praktische Folge übersieht man leicht. Ein Plugin ist eine Verteilungshülle um einen MCP-Server — kein Ersatz für ihn und keine Voraussetzung dafür, einen zu nutzen. Wenn Ihr Ziel also ist, ChatGPT die eigenen Dateien, Notizen oder Besprechungstranskripte lesen zu lassen, ist der Bau eines Plugins meist das falsche Ende des Problems. Verzeichnis und Protokoll sind zwei verschiedene Schichten, und nur eine davon steht Ihnen im Weg.
Dieser Text trennt diese Schichten, auf Grundlage der Dokumentation von OpenAI und der Spezifikation Agent Plugins in ihrem Stand vom 15. August 2026.
Laut der Seite zur Plugin-Architektur von OpenAI kann ein Plugin Skills, einen MCP-Server oder beides enthalten. Keines von beiden ist grundsätzlich vorgeschrieben. Skills allein genügen, „wenn Anweisungen und die dem Modell bereits verfügbaren Werkzeuge ausreichen, um die Aufgabe zu erledigen“; der MCP-Server kommt hinzu, wenn das Plugin einen Dienst erreichen, einen Nutzer authentifizieren oder Verhalten auf einer Infrastruktur ausführen muss, die jemand betreibt.
Die Arbeitsteilung zwischen beiden lohnt es zu verinnerlichen, denn es ist dieselbe Teilung, die für jede Einrichtung eines Assistenten gilt, mit Plugin oder ohne:
| Teil | Wofür er da ist |
|---|---|
| MCP-Server | Aktuelle Daten, Authentifizierung, Autorisierung, kontrollierte Aktionen |
| Skill | Werkzeugabfolgen, Entscheidungspunkte, Anforderungen an die Ausgabe, Beispiele, Vorlagen |
| UI | Ressourcen, die ausgewählte Werkzeuge zurückgeben, dargestellt in ChatGPT |
Das ist keine ChatGPT-spezifische Idee. Es ist dasselbe Argument wie warum Werkzeugbeschreibungen allein nicht genügen: Ein Server sagt dem Modell, was es tun kann, ein Skill sagt ihm, wie dieses Team es getan haben will. Beides gemeinsam zu verpacken heißt schlicht, dass die zwei als eine Einheit reisen.
ChatGPT und Codex teilen sich ein Plugin-Verzeichnis, und öffentliche Einträge
sind in beiden auffindbar. Hineinzukommen ist ein Veröffentlichungsprozess mit
Veröffentlichungsanforderungen. Der Build-Leitfaden von OpenAI ist beim Hosting
eindeutig: Für die öffentliche Einreichung eines Plugins wird der MCP-Server an
einem stabilen, öffentlich erreichbaren HTTPS-Endpunkt betrieben, der den
MCP-Transport Streamable HTTP unterstützt und typischerweise unter einer URL
antwortet, die auf /mcp endet. Der Endpunkt muss für die Prüfung des Plugins
und die Domain-Verifizierung erreichbar bleiben, und die Dokumentation schließt
einen temporären Tunnel oder einen lokalen Endpunkt für die öffentliche
Einreichung ausdrücklich aus.
Lesen Sie das als Aussage über Einträge, nicht über MCP. Alles darin — öffentliches HTTPS, stabile URL, Prüfung, Domain-Verifizierung — existiert, weil Fremde die Sache installieren werden. Nichts davon ist nötig, damit ein Assistent einen Werkzeugserver nutzt. Es ist die App-Store-Steuer, und Sie zahlen sie, wenn Sie an andere Menschen ausliefern.
Weil das Format nicht das Verzeichnis ist. Am 6. August 2026 wurde die Verpackung selbst zu einem offenen Standard: Agent Plugins 1.0.0, mit einem technischen Lenkungsausschuss aus Kern-Maintainern von Amazon, Cursor, Microsoft, OpenAI und Vercel und Unterstützung zum Start in ChatGPT und Codex, Cursor, GitHub Copilot, Kiro und VS Code. Erklärtes Ziel ist eine schmale gemeinsame Basis für Interoperabilität — Autoren verpacken ihre Komponenten einmal, statt sie pro Client umzusortieren.
Der Aufbau ist bewusst langweilig. Ein Plugin ist ein Verzeichnis mit
plugin.json im Wurzelverzeichnis (Pflicht sind nur $schema und name),
Agent Skills in skills/, je ein Unterverzeichnis mit einer SKILL.md, und die
Konfiguration des MCP-Servers in mcp.json. Und mcp.json beschreibt drei
Transporte: stdio für einen lokalen Unterprozess, der durch einen Befehl
gestartet wird, streamable-http für einen entfernten Endpunkt und sse für den
alten Transport von 2024-11-05. Die Konformitätsregel ist ausdrücklich: Ein
Client, der MCP-Server aus Agent Plugins unterstützt, muss mindestens stdio
oder streamable-http unterstützen und sollte beides unterstützen.
Ein Plugin, dessen MCP-Server vollständig auf Ihrem Laptop läuft, ist also ein gültiges Plugin. Es ist nur kein veröffentlichbares im öffentlichen Verzeichnis von OpenAI, was etwas anderes ist als „nicht erlaubt“. VS Code etwa installiert Agent Plugins aus einem Marktplatz oder direkt von der URL eines Git-Repositorys, und die MCP-Server eines Plugins erscheinen neben denen auf Arbeitsbereichs- und Benutzerebene. Cursor unterstützt den Standard neben dem eigenen Format und verwaltet beide auf seiner Customize-Seite.
Lassen Sie das Plugin weg. Binden Sie den Server an.
config.toml, und ein lokaler Prozess, der durch einen
Befehl gestartet wird, ist dort ein Fall erster Klasse: command, dazu
optional args, env und cwd. Eintragen mit codex mcp add, über die
MCP-Server-Einstellungen der Desktop-App oder durch direktes Bearbeiten von
~/.codex/config.toml.Der Unterschied zwischen diesen Oberflächen ist nicht kosmetisch. Ein lokaler stdio-Server ist ein Programm, das Ihr Client startet und mit dem er über Standardeingabe und Standardausgabe spricht: kein Port ist offen, kein Token wird ausgestellt, und auf dem Weg zum Assistenten reist nichts zu einem Dritten. Ein gehosteter Endpunkt bedeutet einen Betreiber, Zugangsdaten und einen Netzwerkweg — ein vernünftiger Tausch für einen Dienst, der tatsächlich in der Cloud lebt, und ein merkwürdiger für Ihre eigenen Notizen.
Eines ändert die Umstellung der Verpackung nicht: Ob ein Assistent handeln darf,
entscheidet der Client, nicht das Plugin. Codex bietet vier Freigabemodi —
auto, prompt, writes und approve —, wobei writes bei Werkzeugen
nachfragt, die nicht als Read-only markiert sind, global gesetzt über
default_tools_approval_mode oder je Werkzeug. VS Code behandelt die MCP-Server
eines Plugins dagegen als implizit vertrauenswürdig, sobald Sie das Plugin
installiert haben: Anders als Server auf Arbeitsbereichsebene lösen sie beim
Start keine eigene Vertrauensabfrage aus. Gut zu wissen, bevor Sie ein Plugin
aus einem unbekannten Marktplatz installieren.
Auch deshalb ist „Read-only“ eine Eigenschaft, die ein Server angibt, und kein
Versprechen, das ein Verzeichnis durchsetzt. Der Server von Speak-Y meldet seine
datenverändernden Befehle — eine Aufnahme verschlagworten, Sprecher umbenennen,
in einen Team-Kanal teilen — als datenverändernd, sodass der Client vor der
Ausführung nachfragt; Lesen läuft lokal und braucht nichts weiter. Ein Client
lässt sich auf reines Lesen festlegen, indem --read-only zu den args des
Servers hinzugefügt wird — danach werden ihm die ändernden Befehle gar nicht
erst angeboten.
Wenn Sie eine Integration für andere Menschen bauen, sind Plugins jetzt die richtige Form: ein Paket, ein Manifest, mehrere Clients und ein Verzeichnis, das ChatGPT und Codex zugleich erreicht. Wenn Sie Ihrem eigenen Assistenten Ihren eigenen Kontext geben wollen, greift nichts von dieser Maschinerie, und danach zu greifen kostet Sie eine Hosting-Rechnung und eine Warteschlange in der Prüfung für ein Problem, das eine Zeile in einer Konfigurationsdatei bereits löst.
Speak-Y geht bewusst den zweiten Weg. Sein MCP-Server ist ein lokaler Prozess, kostenlos in jedem Tarif einschließlich Free, mit einem Klick installiert unter Einstellungen → Integrationen — was ein Assistent lesen und ändern kann, steht in der MCP-Übersicht. Wenn Sie noch überlegen, welchen Assistenten Sie darauf richten, behandelt der Client-Vergleich, wer einen lokalen Server starten kann und wer nicht.
Ein Paket, kein Protokoll. Die Entwicklerdokumentation von OpenAI definiert es als Skills, einen MCP-Server und optionale UI: Die Skills ergänzen wiederholbare Abläufe, der MCP-Server liefert die Werkzeuge und den Zugang zu externen Systemen, und die UI ist eine Menge von Ressourcen, die ausgewählte Werkzeuge zurückgeben. Der MCP-Server ist optional — ein Plugin, das nur aus Anweisungen und Ressourcen besteht, kann allein aus Skills bestehen.
Nein. Ein Plugin zu veröffentlichen ist der Weg, eine Integration über das gemeinsame Verzeichnis von ChatGPT und Codex an andere Menschen zu verteilen. Damit ein Assistent auf Daten auf Ihrem eigenen Rechner zugreifen kann, richten Sie Ihren Client direkt auf einen MCP-Server: Codex und die ChatGPT-Desktop-App nehmen einen lokalen stdio-Server in config.toml entgegen, Cursor und VS Code in mcp.json. Kein Eintrag, keine Prüfung, kein Hosting.
Das Format erlaubt es: Die Spezifikation Agent Plugins 1.0.0 definiert in mcp.json Einträge für die Transporte stdio, streamable-http und sse, und ein konformer Client muss mindestens stdio oder streamable-http unterstützen. Das öffentliche Verzeichnis von OpenAI erlaubt es nicht: Für die öffentliche Einreichung eines Plugins muss der Server an einem stabilen, öffentlich erreichbaren HTTPS-Endpunkt liegen, und die Dokumentation schließt einen lokalen Endpunkt oder einen temporären Tunnel ausdrücklich aus. Geprüft am 15. August 2026.
MCP ist das Protokoll, das ein Assistent mit einem Werkzeugserver spricht. Agent Plugins, veröffentlicht am 6. August 2026, ist ein Verpackungsformat, das festlegt, wo die Teile eines Plugins liegen: plugin.json im Wurzelverzeichnis, Skills in skills/, die Konfiguration des MCP-Servers in mcp.json. Im technischen Lenkungsausschuss sitzen Maintainer von Amazon, Cursor, Microsoft, OpenAI und Vercel, und zum Start unterstützen es ChatGPT und Codex, Cursor, GitHub Copilot, Kiro und VS Code.
Nein, und er muss es nicht sein. Speak-Y liefert einen lokalen MCP-Server, den Ihr Client auf Ihrem Rechner startet, sodass Aufnahmen und Transkripte aus der Bibliothek auf der Festplatte gelesen und nicht zu einem fremden Endpunkt hochgeladen werden. Er lässt sich mit einem Klick unter Einstellungen → Integrationen installieren und ist in jedem Tarif kostenlos, auch in Free.