교육 현장에서 가장 많이 받는 요청은 여전히 프롬프트다. 잘 쓰는 문장을 알려달라는 것이다. 그런데 실습을 시작하면 막히는 지점은 문장이 아니다. 자기가 매주 하는 일의 순서를 말로 설명하지 못한다. 어떤 시스템에 먼저 들어가고, 무엇을 확인하고, 누구 승인을 받는지가 머릿속에만 있다.
이달 나온 업데이트들은 그 빈틈을 정확히 겨냥한다. 배포되는 단위가 문장에서 절차로 올라갔다.
재사용 단위가 프롬프트에서 절차 한 벌로 커졌다
GitHub이 Agent Plugins 1.0을 공개했다. AWS, Anysphere, Microsoft, OpenAI, Vercel이 함께 낸 명세이고 Google이 같은 날 코어 메인테이너로 합류했다. 플러그인 하나에 스킬과 MCP 서버를 함께 묶는다. 발표문이 든 예시는 "배포 런북과 그 도구 연동"이다. 설명서와 그 설명서가 부르는 도구를 한 덩어리로 배포한다는 뜻이다.
그전에는 클라이언트마다 매니페스트와 디렉터리 구조를 따로 유지해야 했다. 스킬과 서버가 같아도 그랬다. 지금은 한 패키지를 VS Code, Copilot CLI, Copilot SDK, Copilot 앱이 함께 읽는다. 바뀐 것은 성능이 아니라 유통이다.
절차를 저장하기 시작하면 질문은 권한으로 옮겨간다
SpaceXAI는 8월 17일 Grok Bot을 공개했다. 에이전트가 전용 클라우드 컴퓨터에서 상주하고, 대화 맥락과 사용자 선호를 유지하며, 사람이 시연으로 가르친 절차를 워크플로로 저장해 재사용한다. API도 MCP도 없는 서비스는 화면으로 조작한다. 여러 봇이 그룹 대화로 맥락을 공유한다.
공개 직후 논의가 몰린 항목은 성능이 아니었다. 배포 유연성, 가격, 권한, 그리고 상시 동작하는 에이전트를 사용자가 얼마나 통제하는가였다. 베타는 SuperGrok Heavy와 Cursor Ultra·Teams Premium 구독자로 제한돼 있다.
관리자가 잠그는 대상이 모델에서 출처와 권한으로 바뀌었다
같은 달 GitHub 엔터프라이즈 관리 설정에 붙은 항목들을 보면 통제 지점이 어디로 옮겨갔는지 분명하다.
| 통제 대상 | 설정 키 | 효과 |
|---|---|---|
| 도구 연결 | allowedMcpServers / deniedMcpServers | 허용 목록 밖 MCP 서버 연결 차단 (8월 6일 GA) |
| 설치 출처 | extraKnownMarketplaces / strictKnownMarketplaces | 승인된 마켓플레이스 외 플러그인 설치 금지 |
| 실행 권한 | permissions.disableBypassPermissionsMode | 승인 우회·오토파일럿 사용 차단 |
MCP 허용목록은 serverUrl, serverCommand, serverName 세 가지로 대상을 지정하는데, 문서는 serverName이 사용자가 붙인 이름표일 뿐 보안 통제가 아니라고 명시한다. 정책은 fail closed다. 설정이 깨졌거나 검증할 수 없으면 허용이 아니라 차단으로 떨어진다. 8월 18일에는 JetBrains용 Copilot에도 같은 키들이 들어갔고, OpenTelemetry 수집기 엔드포인트와 콘텐츠 캡처 정책까지 중앙에서 정하게 됐다.
표준이 해결한 것은 포장이지 내용이 아니다. 잘못 정리된 런북도 똑같이 잘 배포된다. 패키지가 늘어날수록 무엇을 승인했는지 아는 사람이 회사 안에 있어야 한다.
교육의 결과물이 프롬프트 모음이면 배포 단위가 되지 못한다. 조녁컴퍼니가 AX 전환 교육에서 마지막까지 붙드는 것도 여기다. 각자가 하는 일의 순서를 패키지로 묶을 수 있을 만큼 적어내고, 그 패키지에 붙일 권한 등급까지 정하는 것. 사업영역 →