Jak vybrat a bezpečně připojit plugin

Jeden skill stránku znatelně vylepšil a další krok se nabízí sám: nainstalovat ne jeden, ale rovnou deset. Hned nato pošle kolega odkaz: "nainstaluj si to, je to šikovné". Všechno se to instaluje jedním příkazem, a v tom je past. Plugin vypadá jako seznam dovedností, ale ve skutečnosti je to kód, který poběží na vašem počítači s vašimi právy a bude zabírat místo v každém rozhovoru s agentem.

Rozebereme, čím se plugin liší od skillu a co v něm může být, odkud se berou katalogy a jak rozeznat spolehlivý zdroj od náhodného, co Claude Code ukazuje před instalací a jak to číst. Pak projdeme celou cestu: nainstalovat, vyzkoušet na vlastní úloze, vypnout, odstranit. Na konci - co udělat před každou instalací a proč totéž stojí za to dělat i s libovolným skillem, který agent přinesl z internetu.

1. Skill a plugin

Truhlář má sepsané postupy: jak připravit ponk, jak brousit, jak spustit sérii podle šablony. Dokud pracuje sám, leží mu v sešitě. Pak si o jeden řekne kolega od vedlejšího ponku, o druhý učeň, a po měsíci zavolá dílna přes ulici - a posílat každému samostatný lístek už je otrava. Tak sesbírá pár postupů do bedny, na bok jí dá štítek dílny a dovnitř vloží lísteček: co tu je a jak s tím zacházet. Takovou bednu lze předat celou, aktualizovat a očíslovat.

A to je plugin. Ne další dovednost, ale obal kolem několika.

Sám o sobě plugin není samostatná dovednost, ale způsob, jak předat několik najednou. Všechno, co umí, umí přes to, co je uvnitř: dovednosti, pomocníky, automatické reakce, připojení. Otázka "co plugin umí" tak vždycky vede k jiné: co je uvnitř.

Vlastní plugin sestavíte ve chvíli, kdy si o vaše skilly začnou říkat i jiní. Pokud si nejste jistí, co vlastně potřebujete - skill, pomocníka s vlastní rolí, nebo plugin - zeptejte se agenta, ale nejdřív ho nechte položit otázky, a ne rovnou sestavovat: sestaví návrh, ale co je uvnitř, kontrolujete vy. Vodítko je jednoduché: opakujete stále stejnou prosbu - skill; vedlejší práce zahlcuje rozhovor - pomocník; stejnou sadu potřebujete v jiném projektu - plugin. Jak se plugin sestavuje krok za krokem, je samostatné téma. Tento článek je pro ty, kdo bednu dostávají.

2. Co je uvnitř pluginu

Nejčastěji má bedna pět přihrádek, a ne všechny jsou stejně neškodné.

• skills - postupy, které agent použije sám podle popisu nebo na váš příkaz;
• agents - pomocníci s vlastní rolí, kterým agent svěří část práce;
• hooks - automatické reakce na události: spouštějí příkazy bez vaší žádosti, jakmile něco nastane;
• MCP servers - připojení k externím službám; přes ně agent čte a mění věci mimo váš počítač;
• LSP servers - nápovědy ke kódu pro konkrétní jazyk; potřebují samostatně nainstalovaný program.

Dolní dvě přihrádky jsou důvod, proč se bedna bere vážně a neodkládá se do kouta. Plugin s hooks a MCP umí to, co od "sady dovedností" nečekáte: spouštět příkazy a chodit do externích služeb. Uvnitř je živý nástroj pod napětím, ne plakát na zeď. Co jsou hooks, MCP a agents zvlášť, je samostatné téma; tady stačí vědět, co znamenají jako součást balíčku. Kromě těchto pěti bývají i další přihrádky, například výchozí nastavení nebo styl odpovědí agenta, ale celkový obraz to nemění.

Pokud kartu zrovna nemáte po ruce, požádejte agenta, ať otevře repozitář pluginu a popíše, co leží v jeho složkách.

3. Jméno s prefixem

Skilly z pluginu se jmenují s prefixem: /jméno-pluginu:jméno-skillu, například /commit-commands:commit. Soused může mít "úklid" taky, a dokud je na bedně štítek, nespletete si je.

Cena je dlouhé jméno: za sdílenou sadu se platí tím, že se příkaz píše déle. Vlastní skill ve složce projektu prefix nemá.

Je v tom i výhoda. Podle prefixu v nabídce po / je vždy vidět, odkud příkaz přišel a čí je to bedna.

4. Katalog a dva kroky

Bedny se berou ze skladu. Katalog pluginů, anglicky marketplace, je seznam cizích pluginů, který někdo vede. Práce s ním má dva kroky: připojit katalog, pak z něj instalovat pluginy jeden po druhém. Samotné připojení katalogu nic neinstaluje, dostanete jen seznam.

První krok má většina lidí už hotový. Příkaz /plugin otevře panel se čtyřmi záložkami: Discover - hledat pluginy ve všech připojených katalozích; Installed - co je nainstalováno; Marketplaces - katalogy; Errors - chyby při načítání. Oficiální katalog Anthropicu je připojený od prvního spuštění a jeho pluginy jsou v Discover vidět hned: vybrat, otevřít, nainstalovat. Stejný seznam je i na stránce claude.com/plugins, pokud se chcete podívat bez Claude Code.

Druhý katalog se hodí, když hledaný plugin v oficiálním není: katalog komunity nebo cizí repozitář, ve kterém leží soubor katalogu. Připojuje se jedním příkazem, plugin z něj se instaluje taky jedním:

/plugin marketplace add anthropics/claude-plugins-community   # připojit katalog komunity
/plugin install jméno-pluginu@claude-community                #nainstalovat jeden plugin z něj
/plugin list                                                  # zkontrolovat, že je plugin v seznamu

Cizí katalog se připojuje stejným prvním příkazem, jen s jeho adresou.

Jedna drobnost, o kterou lidé zakopávají nejčastěji (a já nejsem výjimka). Jméno katalogu pro instalaci se nebere z názvu repozitáře, ale z popisu samotného katalogu: repozitář se jmenuje anthropics/claude-plugins-community, ale instaluje se z claude-community. Jaké jméno katalog má, ukáže záložka Marketplaces.

V oficiálním katalogu leží pluginy různých typů. Integrace s GitHubem je MCP, připojení k externí službě. Nápovědy ke kódu pro jazyk, řekněme typescript-lsp, jsou LSP. security-guidance kontroluje každou změnu agenta na typické zranitelnosti.

5. Tři stupně důvěry ke zdroji

Ze složky se plugin sám nenačte: musíte ho nainstalovat výslovně, a to není byrokracie. Uvnitř je kód, který se spustí s vašimi právy, tedy dokáže totéž co vy na tomto počítači. Proto první otázka u každého pluginu nezní "co umí", ale "odkud je".

Oficiální katalog. Vede ho Anthropic, ale většina pluginů v něm pochází od partnerů a dalších autorů, ne od samotného Anthropicu. Pozornosti je tu potřeba méně než u cizího repozitáře, ale popis a obsah si stejně vyplatí přečíst.

Katalog komunity. Pluginy třetích stran, které prošly automatickou kontrolou Anthropicu; téměř každý je přiřazen ke konkrétní verzi v katalogu. To je filtr, ne záruka: že plugin dělá přesně to, co slibuje, nikdo neověřil.

Libovolný repozitář nebo složka. Žádná kontrola. Sami se díváte, kdo je autor, jestli existuje srozumitelný popis a co leží ve složkách.

V jedné pracovní relaci se mohou objevit všechny tři stupně najednou: designový plugin z katalogu komunity, další z katalogu Anthropicu, třetí z cizího repozitáře s jediným pluginem uvnitř. To je v pořádku, pokud víte, na kterém stupni zrovna stojíte.

Míra pozornosti se řídí podle pluginu. Čím víc umí, tedy čím víc je v něm hooks a MCP, a čím dál je zdroj od oficiálního, tím pozorněji se dívejte.

6. Co Claude Code ukáže před instalací

Zdroj určuje, jak pozorně se dívat. Podrobnosti ukáže Claude Code sám: otevřete plugin ze záložky Marketplaces panelu /plugin nebo příkazem /plugin install název@katalog a uvidíte jeho kartu. Karta ze seznamu Discover je kratší: odhad ceny v ní není.

Jsou v ní tři řádky, kvůli kterým se to celé dělá. Poslední dva mají jen pluginy z oficiálního katalogu.

• Will install - obsah: kolik skills, agents, hooks, MCP a LSP přijede;
• Context cost - kolik plugin přidá do okna agenta: Every turn - při každém vašem požadavku, When invoked - když agent načte jeho skills a agents;
• Last updated - kdy byl plugin naposledy aktualizován.

Will install:  skills: 8   agents: 1   hooks: 2   MCP servers: 1
Context cost:  Every turn: ~400 tokens   When invoked: ~1.5k tokens
Last updated:  2 weeks ago

Čísla i podoba řádků jsou orientační, každý plugin a každá verze Claude Code má svoje. Číst obsah je snadné, ale je to jen první přiblížení: pokud jsou uvnitř jen skills, plugin nejspíš čte a radí; jsou-li tam hooks nebo MCP, spouští příkazy nebo chodí ven, a to je důvod otevřít popis a zjistit, které přesně. Karta neukáže vše: plugin může přinést i spustitelné soubory a výchozí nastavení, která na kartě nejsou. U neznámého zdroje se podívejte i do repozitáře.

A třetí otázka, kterou karta nepoloží: hodí se plugin pro vás? I dobrý plugin instalovat nemusíte. Duplikuje váš vlastní skill, táhne s sebou skripty pro jiný operační systém, nebo řeší úlohu, kterou nemáte.

7. Komu plugin připadne

Komu bedna připadne, se rozhoduje předem, při instalaci. Jsou tři možnosti.

• user - vám, ve všech projektech;
• project - všem, kdo s tímto repozitářem pracují: záznam jde do .claude/settings.json a putuje spolu s projektem;
• local - vám a jen v tomto projektu, kolegům to není vidět.

Existuje ještě managed: instaluje ho administrátor a měnit ho nejde. Většina lidí se s ním nesetká.

Pravidlo je jedno: nejužší vhodný scope. Míň míst, kde je plugin zapnutý, znamená míň situací, ve kterých vůbec běží, a míň toho, co pak uklízet. Pochybný plugin úzký scope neodzbrojí: tam, kde je zapnutý, umí úplně totéž. Project scope si zaslouží zvláštní zmínku: rozhodujete nejen za sebe. Kolegovi, který otevře repozitář, bude plugin zapnutý, ale nenainstalovaný: v záložce Errors panelu /plugin se objeví upozornění a nainstalovat plugin musí sám.

Při instalaci z panelu se na scope zeptá; /plugin install taky otevře kartu s výběrem.

8. Instalace a kontrola

Pokud instalace proběhne hladce, skončí jednou ze dvou hlášek. Buď je plugin už aktivní, nebo přijde žádost spustit /reload-plugins. Ve druhém případě to spustíte; pokud příkaz upozorní, že přenačtení znovu přečte celý rozhovor, zopakujte to s --force. Claude Code restartovat nemusíte.

Že plugin naskočil, poznáte podle /plugin list: je v seznamu a jeho skilly se objevily pod prefixem v nabídce po /.

Otevřená bedna zabírá ponk. Zapnutý plugin od první sekundy přidává do okna agenta oznámení svých skillů: jména a popisy. Celý obsah se dotáhne, až když skill přijde na řadu, ale oznámení visí pořád. U připojení k externím službám přijedou hned jména nástrojů, popisy podle potřeby; automatické reakce okno skoro nezabírají. Čím plnější okno, tím dražší a pomalejší každá odpověď.

Skutečnou cenu poznáte jen srovnáním: /context ukáže, čím je okno zaplněné. Spusťte ho před instalací a po ní.

1) bez pluginu: vlastní úloha, výsledek si zapamatovat
2) nainstalovat plugin, případně /reload-plugins
3) stejná úloha znovu
4) porovnat a rozhodnout: ponechat, vypnout, odstranit

Výsledek srovnání tu záměrně chybí: každý ho má jiný. Kritérium je jednoduché: umíte ve dvou větách říct, co plugin dělá, a jmenovat jeden důvod ho ponechat nebo odstranit - z vlastní zkoušky, ne z popisu.

9. Vypnout, odstranit, odebrat katalog

Tři akce, a jsou různé. /plugin disable vypne, ale neodstraní: plugin přestane zabírat okno, a vrátit ho jde přes /plugin enable. /plugin uninstall odebere úplně. /plugin marketplace remove odebere katalog a s ním i všechny pluginy, které se z něj instalovaly. Na to se snadno zapomíná.

/plugin disable jméno-pluginu@katalog      # vypnout, ale neztratit
/plugin uninstall jméno-pluginu@katalog    # odstranit úplně
/plugin marketplace remove katalog         # odebrat katalog a vše, co se z něj instalovalo

Příkazy otevřou tentýž panel a nechají ho otevřený, zavřít jde přes Esc. V záložce Installed se totéž dělá bez příkazů: problémové pluginy jsou nahoře, vypnuté sbalené dole. Pokud odstraňujete plugin zapnutý pro celý projekt, Claude Code se zeptá: jen pro vás, nebo pro všechny.

Úklid. Pluginy, které jste si nainstalovali sami a nepoužili dva týdny během deseti relací, Claude Code sbírá v záložce Installed pod nadpisem "Not used recently" a na kartě ukazuje, kdy plugin naposledy pracoval. Zvlášť /doctor jmenuje nepoužívané pluginy spolu s jejich cenou v kontextu. Sada nástrojů zůstává sadou, dokud si pamatujete, co v ní je a proč.

Aktualizace. Oficiální katalogy se aktualizují samy a žádají spustit /reload-plugins; katalogy třetích stran ve výchozím nastavení ne. Aktualizace je skoro nová instalace: obsah se může změnit a kartu se vyplatí otevřít znovu.

Pokud se něco pokazilo, i při samotné instalaci: záložka Errors ukáže důvod. Dál vypnout, přeinstalovat, v krajním případě vyčistit cache pluginů a nainstalovat znovu. Pokud ze záložky Marketplaces zmizel oficiální katalog, vrátí ho /plugin marketplace add anthropics/claude-plugins-official.

10. Nejen pluginy

Skill, který agent na váš pokyn stáhl z cizího repozitáře a uložil do složky projektu, je stejný případ, jen bez katalogu, karty a scope. Zkontrolovat ho nemá kdo jiný než vy.

Otázky jsou stejné. Odkud je. Co je uvnitř: SKILL.md se přečte za minutu, ale kontroluje se celá složka - skripty a soubory, na které odkazuje, také. Jaké nástroje si předem povoluje: pole allowed-tools. Ukazuje, co je předschváleno bez samostatné otázky, ne úplný seznam toho, co se může stát. Skill z repozitáře cizí služby si klidně může povolit spouštět příkazy, a u skillu, který něco posílá ven, je to normální. Ale vidět to je potřeba před prvním spuštěním, ne po něm.

Rozdíl oproti pluginu je jeden. Skill nemá kartu, zato celý jeho obsah leží hned vedle jako čistý text a přečíst si ho lze před prvním spuštěním.

11. Co udělat před každou instalací

Šest kroků, v pořadí, v jakém šly v článku.

1. Zdroj. Oficiální katalog, katalog komunity, nebo cizí repozitář - to určuje, jak pozorně se dívat dál.
2. Obsah. Karta "Will install"; hooks a MCP znamenají příkazy a výstup ven, u nich otevřít popis.
3. Cena. "Context cost" na kartě (u oficiálního katalogu) a /context před a po: za plugin se platí z každého vašeho požadavku.
4. Scope. Nejužší vhodný; project scope je rozhodnutí i za kolegy.
5. Zkušební provoz. Jedna úloha před a po, závěr z vlastního testu, ne z popisu.
6. Rozhodnutí. Ponechat, vypnout, nebo odstranit; za pár týdnů záložka Installed připomene, co zůstalo nevyužité.

Bedna se štítkem byla vymyšlena k tomu, aby se postupy daly předávat vcelku a bez posílání lístků, a funguje to oboustranně. Ten, kdo bednu dostane, se podívá na štítek, otevře víko a na ponk postaví jen to, co dnes potřebuje.

Panel pluginů a znění jeho hlášek se mění verzi od verze; pokud se vaše obrazovka liší od popsaného, řiďte se smyslem řádků, ne jejich přesnou podobou.