Claude-Code-Plugins bündeln ganze Workflows und erweitern die Angriffsfläche der KI-Lieferkette

Ein Plugin bündelt Commands, Agents, Skills, Hooks sowie MCP- und LSP-Server

Laut der Claude-Code-Dokumentation von Anthropic kann ein Plugin Commands, Agents, Skills, Hooks sowie MCP- und LSP-Server enthalten. Die Installation erfolgt über Marketplaces, etwa mit `/plugin install <name>@<marketplace>`. Stammt ein Plugin nicht aus dem offiziellen Marketplace `claude-plugins-official`, muss der jeweilige Marketplace vorher hinzugefügt werden.

Verteilt wird damit nicht mehr nur ein einzelner Prompt, sondern der Workflow selbst. Anweisungen, Befehle und Anbindungen an externe Werkzeuge kommen gemeinsam in einem Paket. Teams müssen Abläufe nicht länger in jedem Chat neu aufbauen, sondern installieren einen gemeinsamen Bestand. Ein Prompt steckt dagegen meist in einem Chatverlauf oder einem gespeicherten Textschnipsel und bringt weder Werkzeuge noch Prozesswissen mit.

Wie verbreitet dieses Modell ist, lässt sich der Dokumentation nicht entnehmen.

Knowledge Work Plugins: Rollen-Workflows für Vertrieb, Recht und Finanzen, aber keine Nutzungsdaten

Als Beispiel dient Anthropics Open-Source-Repository Knowledge Work Plugins. Die öffentliche Sammlung enthält rollenorientierte Workflows für Vertrieb, Recht, Finanzen, Daten, Produktmanagement und Recherche.

Nach Angaben des Autors eines dev.to-Beitrags zeigte GitHub am 25. Oktober 2026 rund 32,8K Sterne und 3,6K Forks. Die Zahlen belegen allenfalls öffentliches Interesse. Über tatsächliche Nutzung oder geschäftlichen Nutzen sagen sie nichts, das räumt der Autor selbst ein. Er schreibt außerdem, die Plugins nicht in einer Produktivumgebung getestet zu haben.

Was Admins laut Dokumentation steuern können: Installationsvorschau, Namespaces, managedMcpServers

Vor der Installation zeigt Claude Code laut Dokumentation an, was ein Plugin hinzufügt: Commands, Agents, Skills, Hooks sowie MCP- und LSP-Server. Der Befehl `/plugin install` öffnet in einer Sitzung zunächst die Detailansicht, in der sich der Scope wählen lässt. Bei Plugins aus Anthropics offiziellem Marketplace erscheinen zusätzlich zwei Schätzungen des Kontextverbrauchs: pro Turn und bei Aufruf.

Skills aus Plugins erhalten automatisch den Plugin-Namen als Namespace, um Konflikte zu vermeiden. Im SDK lassen sich Plugins nur über lokale Pfade laden; das Feld `type` muss den Wert "local" haben. Wer ein Plugin aus einem Marketplace nutzen will, lädt es vorher herunter.

Für Claude Desktop können Administratoren MCP-Server über den Schlüssel `managedMcpServers` auf allen Geräten verteilen. Nutzer können sie nicht entfernen. Pro Tool lassen sich die Richtlinien allow, ask oder blocked setzen. Ein Fallstrick liegt im Feldnamen: Die Plugin-Datei `.mcp.json` verwendet `type`, Claude Desktop erwartet in `managedMcpServers` dagegen `transport`. Fehlt das Feld, verwirft die Anwendung den Eintrag und meldet einen Konfigurationsfehler. Wie wirksam diese Mechanismen im Einsatz sind, geht aus dem Material nicht hervor.

Marketplace-Studien finden bösartige Skills; postmark-mcp zeigt das Muster des vertrauenswürdigen Updates

Eine arXiv-Studie analysierte 3.984 Agent-Skills aus Marketplaces und fand 76 bestätigte bösartige Payloads, darunter Credential-Diebstahl, Backdoors und Datenabfluss. 13,4 Prozent der Skills enthielten mindestens ein kritisches Sicherheitsproblem. Mindestens 8 manuell bestätigte bösartige Skills waren zum Veröffentlichungszeitpunkt auf clawhub.ai öffentlich verfügbar. Die Autoren verweisen auf eine im Februar 2026 von OpenSourceMalware dokumentierte, koordinierte Malware-Kampagne gegen Nutzer von Claude Code und OpenClaw.

Eine zweite arXiv-Arbeit, MalSkills, erreicht nach eigenen Angaben auf einem Benchmark mit 200 Skills 93 Prozent F1. Auf 150.108 Skills aus 7 Registries markierte das Verfahren 620 als potenziell bösartig. Dabei handelt es sich um Verdachtsfälle, nicht um bestätigte Funde. Beide Werte beschreiben die jeweilige Stichprobe und lassen sich nicht auf alle Marketplaces übertragen.

Wie ein Angriff über Vertrauen funktioniert, zeigt postmark-mcp. Laut Cloud Security Alliance (September 2025) verhielt sich das npm-Paket in 15 Versionen normal und kam auf rund 1.500 Downloads pro Woche. Ab Version 1.0.16 kopierte es jede ausgehende E-Mail heimlich an eine vom Entwickler kontrollierte Adresse. Die Komponente änderte sich also, nachdem Nutzer ihr bereits vertrauten.

Volle Anweisungsautorität, keine Sandbox: Warum Skills und Plugins riskanter sind als Remote-MCP-Server

Das FINOS AI Governance Framework erklärt, weshalb Skills und Plugins eine eigene Risikoklasse bilden. Geladene Skill-Inhalte gelangen mit voller Anweisungsautorität in den System-Prompt. Mitgelieferte Skripte laufen ohne Sandbox mit den Rechten des Nutzers. Ein kompromittiertes Paket kann daher sowohl das Verhalten des Agenten lenken als auch beliebigen Code ausführen. Anders als bei Remote-MCP-Servern gibt es für Skills weder Netzwerkkontrollen noch Protokoll-Authentifizierung oder Dienstisolation. Es handelt sich um lokale Dateien, die als vertrauenswürdige Anweisungen behandelt werden.

Der Anbieter HOL bewirbt sein Produkt Guard als „AI antivirus for agentic code“ und beschreibt die Überwachung von Coding-Agents, MCP-Servern, Skills und Plugins. Das ist eine Selbstbeschreibung des Herstellers. Ein unabhängiger Test der Erkennungsrate gegen bekannte bösartige Pakete steht aus.

Offen bleibt vieles. Das Material enthält keine Daten zur Verbreitung von Plugins, zur Kompatibilität zwischen Anbietern oder zu EU-rechtlichen Fragen. Ob dies den Trend früherer Berichte fortsetzt oder eine neue Stufe markiert, lässt sich anhand der Belege nicht entscheiden.