Wtyczki Claude Code: Czym są i jak ich używać

Wtyczka Claude Code to folder, który jednocześnie dostarcza więcej niż jeden rodzaj rozszerzenia. Tam, gdzie umiejętność to pojedynczy plik SKILL.md uczący Claude jednego zachowania, wtyczka może grupować umiejętności, podagentów, hooki, komendy slash i nawet serwer MCP, instalując wszystko jednym poleceniem. To różnica między wręczeniem komuś karty z przepisem a wręczeniem mu wyposażonej kuchni.

Anthropic dodał wtyczki do Claude Code pod koniec 2025 roku i rozwiązały one realny problem: zespoły nie instalowały pojedynczych umiejętności, lecz kompletne konfiguracje. Konfiguracja "backend developera" mogła wymagać umiejętności debugowania, podagenta do przeglądu kodu, hooka pre-commit i połączenia MCP z bazą danych. Przed wtyczkami oznaczało to cztery oddzielne instalacje i cztery miejsca, w których konfiguracja mogła się rozsynchronizować. Wtyczka czyni to jednym krokiem.

Testujemy i katalogujemy umiejętności Claude w SkillProof, a wtyczki są kolejną warstwą ponad tym, co zazwyczaj recenzujemy: formatem pakowania, a nie zachowaniem. Ten przewodnik omawia, co faktycznie znajduje się we wtyczce, jak działa system marketplace i to samo pytanie o zaufanie, które zadajemy odnośnie umiejętności od początku, teraz zastosowane do czegoś o znacznie większej powierzchni.

Co faktycznie pakują wtyczki

Cztery typy składników mogą pojawić się w pojedynczej wtyczce, a większość rzeczywistych wtyczek używa więcej niż jednego:

• Umiejętności — instrukcje markdown, które ładują się, gdy zadanie pasuje, ten sam format omówiony w czym są umiejętności Claude.
• Podagenci — oddzielne instancje Claude z własnym promptem systemowym i oknem kontekstowym, przydatne do delegowania głośnych lub równoległych zadań.
• Hooki — komendy powłoki, które uruchamiają się automatycznie przy zdarzeniach takich jak zapis pliku, commit, czy zakończenie wywołania narzędzia. Klasycznym przykładem jest hook lint-on-save.
• Komendy Slash — niestandardowe komendy, takie jak /deploy czy /standup, które uruchamiają predefiniowany prompt lub skrypt, gdy wpisze je członek zespołu.
• Serwery MCP — połączenie z zewnętrznym narzędziem lub źródłem danych, skonfigurowane raz wewnątrz wtyczki zamiast ręcznie w każdym projekcie.

Wtyczka nie potrzebuje wszystkich pięciu. Wiele dostarcza tylko kilka umiejętności, lub pojedynczy hook wraz z komendą, która go wywołuje. To, co czyni ją wtyczką, a nie luźnym zbiorem plików, jest fakt, że instaluje się ją jako jedną jednostkę, z jednym manifestem opisującym jej zawartość.

Wtyczki vs umiejętności: analogia z pakietem npm

Najczystszy sposób myślenia o tym: umiejętność to funkcja, wtyczka to pakiet.

Pojedyncza umiejętność uczy Claude jednego zachowania, czy to formatowania notatek ze spotkań, czy audytu strony SEO. Nie ma zależności ani konfiguracji poza własnym markdownem. Tak jest celowo: umiejętność napisana do obsługi kilku niepowiązanych zadań ma tendencję do zawodnego wyzwalania się dla wszystkich, ponieważ jej opis nie może być specyficzny dla żadnego z nich.

Wtyczka jest jednostką dystrybucji wokół tego zachowania. W świecie npm funkcja nie jest wysyłana sama; jest wysyłana w pakiecie z package.json, numerem wersji i być może kilkoma innymi funkcjami, które do siebie pasują. Wtyczka pełni tę samą rolę dla Claude Code: jest rzeczą z nazwą, wersją, autorem i manifestem, a umiejętności, hooki i komendy w jej wnętrzu są eksportami.

To rozróżnienie ma praktyczne znaczenie. Kiedy coś się zepsuje, "trigger umiejętności jest zbyt niejasny" i "hook wtyczki uruchamia niewłaściwą komendę powłoki" to różne błędy z różnymi poprawkami. Obwinianie całej wtyczki za jedną złą umiejętność w jej wnętrzu, lub odwrotnie, marnuje czas. Najpierw przeczytaj manifest, aby zobaczyć, co faktycznie zostało dostarczone, zanim zaczniesz diagnozować cokolwiek.

Oznacza to również, że te dwie jednostki są oceniane inaczej. Umiejętność żyje lub umiera na jakości triggera i czy jej wyjście jest lepsze niż domyślne Claude. Wtyczka żyje lub umiera na tym, czy jej części współpracują: czy hook uruchamia się przed lub po tym, jak umiejętność potrzebuje jego wyjścia, czy komenda wywołuje serwer MCP, który jest faktycznie skonfigurowany, czy instalacja koliduje z czymś, co już masz.

Anatomia wtyczki

Każda wtyczka potrzebuje katalogu .claude-plugin w swoim korzeniu, zawierającego plugin.json, czyli manifest. Wszystko inne (skills/, agents/, hooks/, commands/, .mcp.json) znajduje się obok jako zwykłe foldery, których Claude Code szuka zgodnie z konwencją.

Oto mała, ale kompletna wtyczka, z adnotacjami:

team-standards/
├── .claude-plugin/
│   └── plugin.json
├── skills/
│   └── code-review/
│       └── SKILL.md
├── hooks/
│   └── hooks.json
└── commands/
    └── deploy.md

// .claude-plugin/plugin.json
{
  "name": "team-standards",
  "version": "1.2.0",
  "description": "Nasz hook lintujący, umiejętność przeglądu i komenda deploy w jednej instalacji.",
  "author": "platform-team"
}

Manifest jest celowo skromny. Identyfikuje wtyczkę i jej wersję; nie wymienia każdego pliku w środku, ponieważ Claude Code automatycznie wykrywa skills/, hooks/ i commands/ po nazwach ich folderów.

// hooks/hooks.json
{
  "PreToolUse": [
    {
      "matcher": "Bash",
      "hooks": [{ "type": "command", "command": "./scripts/check-branch.sh" }]
    }
  ]
}

Ten hook uruchamia się przed każdym wywołaniem narzędzia Bash i może je zablokować, co jest sposobem na wymuszenie czegoś takiego jak "nigdy nie uruchamiaj niszczycielskich komend git na main" bez polegania na tym, że Claude pamięta o sprawdzeniu.

<!-- commands/deploy.md -->
---
description: Uruchom naszą listę kontrolną deploy na staging
---

Zweryfikuj, czy gałąź nie jest main, potwierdź zastosowanie migracji, a następnie uruchom `./deploy.sh staging`. Zgłoś podsumowanie logów deploy.

Wpisanie /deploy uruchamia dokładnie to, za każdym razem, z identycznym opisem dla każdego członka zespołu, który zainstaluje wtyczkę. Ta spójność jest całym argumentem: trzy komponenty, jeden numer wersji, jedno polecenie instalacji i nikt nie ma lokalnej konfiguracji odbiegającej od konfiguracji innych.

Oddzielny plik, marketplace.json, nie jest częścią samej wtyczki. Jest to indeks, który publikuje repozytorium marketplace, aby Claude Code wiedział, jakie wtyczki się tam znajdują i skąd je pobrać. marketplace.json jednego repozytorium może zawierać dziesiątki niepowiązanych wtyczek; myśl o tym jak o rejestrze, a plugin.json jak o pojedynczym pakiecie wewnątrz niego.

Instalacja z marketplace'ów

Umieszczenie wtyczki na swoim komputerze to dwa polecenia. Najpierw wskaż Claude Code na marketplace:

/plugin marketplace add anthropic/plugins

To odczytuje marketplace.json tego repozytorium i dodaje każdą wymienioną wtyczkę do listy, którą możesz przeglądać. Następnie zainstaluj jedną:

/plugin install code-standards@anthropic

Część @anthropic określa, z którego marketplace'u pobrać, ponieważ możesz dodać kilka jednocześnie, a ta sama nazwa wtyczki teoretycznie może istnieć w więcej niż jednym. Claude Code pobiera pliki wtyczki, rejestruje jej umiejętności i komendy oraz podłącza wszelkie hooki lub serwery MCP, które deklaruje.

Oto część, która powinna brzmieć znajomo, jeśli czytałeś cokolwiek innego, co napisaliśmy: nikt tego nie recenzuje. Dodanie marketplace oznacza zaufanie każdemu, kto utrzymuje to repozytorium, a instalacja wtyczki z niego oznacza zaufanie każdemu plikowi, który wtyczka przynosi, w tym hookom, które uruchamiają komendy powłoki i serwerom MCP, które uzyskują dostęp do sieci. To jest dokładnie ten sam problem zaufania, który udokumentowaliśmy dla umiejętności, z tą różnicą, że wtyczka ma więcej ruchomych części, co oznacza więcej miejsc, w których coś złego może się ukryć. Umiejętność może być tylko przekonującym tekstem załadowanym do kontekstu. Wtyczka może być również hookiem, który wykonuje się przy każdym commicie, niezależnie od tego, czy na to patrzysz, czy nie.

Nasza lista kontrolna bezpieczeństwa dla umiejętności ma tu zastosowanie z jednym dodatkiem. Przed zainstalowaniem wtyczki:

1. Przeczytaj manifest i każdy plik, do którego się odwołuje przed uruchomieniem polecenia instalacji, a nie po. plugin.json twierdzący, że jest "pomocnikiem deploy", który jednocześnie deklaruje serwer MCP wskazujący na nieznaną domenę, jest sygnałem wartym zatrzymania się.
2. Zablokuj wersję. Zainstaluj code-standards@1.2.0, a nie cokolwiek latest rozwiąże się na następny wtorek. Wtyczka, która zmienia swoje zachowanie hooka po tym, jak już jej zaufałeś, jest gorsza niż ta, która była zła od samego początku, ponieważ nie będziesz jej obserwować.
3. Sprawdź, jakie hooki i komendy są dostarczane, zwłaszcza. Hooki uruchamiają się automatycznie, bez wpisywania czegokolwiek, przy zdarzeniach takich jak wywołania narzędzi i zapisy plików. To jest komponent, który najbardziej warto przeczytać w całości, ponieważ jest to ten, który działa bez Twojego polecenia w danym momencie.
4. Traktuj serwer MCP zawarty we wtyczce jak każdy inny serwer MCP: uzyskuje on rzeczywisty dostęp do sieci i często rzeczywiste poświadczenia. Pakowanie go wewnątrz wtyczki nie czyni go bezpieczniejszym, po prostu ułatwia instalację bez zauważenia, że jest tam obecny.

Pełny model zagrożeń, w tym to, jak wygląda złośliwy hook lub umiejętność w praktyce, omawiamy w naszym przewodniku po bezpieczeństwie umiejętności Claude. Wszystko tam dotyczące traktowania instrukcji stron trzecich jak zależności, której nie audytowałeś, dotyczy wtyczek, tylko z szerszym promieniem rażenia.

Kiedy pakować konfigurację zespołu jako wtyczkę

Najwyraźniejszym sygnałem, że jesteś gotowy na wtyczkę: napisałeś te same instrukcje konfiguracji w README, przypiętej wiadomości na Slacku i dokumencie onboardingu, i już są one niespójne w dwóch z trzech miejsc.

Weźmy konkretny przypadek. Zespół platformy chce, aby każda sesja Claude Code każdego inżyniera egzekwowała te same standardy: brak bezpośrednich commitów do main, spójny przegląd kodu przed scaleniem i jedno polecenie deploy na staging. Rozpakowane osobno, to hook, który ktoś musi pamiętać dodać do settings.json, umiejętność, którą ktoś musi pamiętać zainstalować, i komenda, o której istnieniu ktoś musi pamiętać. Spakowane jako wtyczka team-standards, to jedna linia:

/plugin install team-standards@our-org

i każdy nowy pracownik otrzymuje hook ochrony gałęzi, umiejętność checklisty przeglądu kodu i komendę /deploy w jednym kroku, wersjonowane razem, dzięki czemu aktualizacja skryptu deploy i aktualizacja kryteriów przeglądu są wydawane w tej samej wersji, zamiast się rozjeżdżać.

Sygnał odwrotny również ma znaczenie: jeśli Twoja konfiguracja to pojedyncza umiejętność bez hooków, komend czy zależności MCP, pakowanie jej jako wtyczki dodaje manifest i wpis na marketplace bez żadnych korzyści. Opublikuj ją jako samodzielną umiejętność, tak jak omawiamy w czym są umiejętności Claude, i sięgnij po wtyczkę dopiero wtedy, gdy jest więcej niż jedna ruchoma część do synchronizacji. Jeśli serwer MCP jest skomplikowaną częścią Twojej konfiguracji, nasze uwagi na temat jego budowania znajdują się w MCP Builder, co warto przejrzeć, zanim zdecydujesz, czy wtyczka potrzebuje własnego serwera, zamiast wskazywać na istniejący.

Nasz własny 30-minutowy przewodnik po konfiguracji Claude Code pokazuje, jak budować tę warstwę krok po kroku dla indywidualnej osoby; wtyczka zespołowa to to samo ćwiczenie warstwowe, tylko wersjonowane i udostępniane zamiast składane ręcznie na każdym laptopie.

Ekosystem w 2026 roku, szczerze

Wtyczki są młode i to widać. Format marketplace ustabilizował się dopiero kilka miesięcy temu, co oznacza, że większość plików marketplace.json w użyciu została napisana na podstawie wczesnego szkicu specyfikacji i od tego czasu nie była ruszana. Jakość dokumentacji jest bardzo zróżnicowana: niektóre repozytoria wtyczek mają jasne README z historią wersji, inne to pojedynczy commit bez wyjaśnienia, co faktycznie robi zawarty hook.

Fragmentacja jest większym problemem. Ponieważ wtyczka może deklarować własne umiejętności zamiast odwoływać się do tych, które już masz zainstalowane, to samo zachowanie jest powielane w kilkunastu różnych wtyczkach z kilkunastoma różnymi poziomami jakości. Widzieliśmy umiejętność przeglądu kodu zawartą w trzech niepowiązanych wtyczkach, żadna nieświadoma istnienia pozostałych, każda napisana według innego standardu.

Prowadzi to do tej samej loterii jakości, którą udokumentowaliśmy dla ogólnych umiejętności społeczności: około połowa tego, co testujemy, zawodzi za pierwszym razem, czy to z powodu skryptu instalacyjnego, który zakłada strukturę katalogów, której autor nigdy nie zweryfikował na czystej maszynie, czy hooka, który cicho nic nie robi, ponieważ został napisany pod kątem wcześniejszej wersji API hooków. Wtyczka nie rozwiązuje tego wskaźnika błędów. Po prostu pakuje więcej komponentów, z których każdy może zawieść niezależnie, a wtyczka działa tylko wtedy, gdy każdy element w jej wnętrzu działa.

Żadne z powyższych nie oznacza, aby unikać wtyczek. Oznacza to stosowanie tego samego sceptycyzmu, który zastosowałbyś do każdej zależności: sprawdź, kto ją utrzymuje, sprawdź, kiedy była ostatnio aktualizowana, i nie instaluj czegoś z trzema komponentami, gdy potrzebujesz tylko jednego z nich. Format pakowania jest naprawdę użyteczny do utrzymania synchronizacji zespołu. Nie zastępuje on jednak czytania tego, co instalujesz.

FAQ

Jaka jest różnica między wtyczką Claude Code a umiejętnością?

Umiejętność to jedno zachowanie w jednym pliku markdown. Wtyczka to jednostka dystrybucji, która może grupować kilka umiejętności wraz z podagentami, hookami, komendami slash i serwerem MCP, wszystko instalowane razem jednym poleceniem i jednym numerem wersji. Umiejętności każdej wtyczki to nadal umiejętności u podstaw; wtyczka jest tylko opakowaniem wokół nich.

Jak zainstalować wtyczkę Claude Code?

Najpierw dodaj marketplace za pomocą /plugin marketplace add <repo>, a następnie zainstaluj konkretną wtyczkę z niego za pomocą /plugin install <nazwa-wtyczki>@<marketplace>. Zablokuj wersję zamiast instalować cokolwiek, na co marketplace aktualnie wskazuje jako latest, aby aktualizacja nie zmieniła niepostrzeżenie zachowania, które już przejrzałeś.

Czy wtyczki Claude Code są bezpieczne do instalacji?

Traktuj je tak, jakbyś traktował każdą zależność stron trzecich, i ostrożniej niż zwykłą umiejętność, ponieważ wtyczka może również dostarczać hooki, które automatycznie uruchamiają komendy powłoki, oraz serwery MCP z rzeczywistym dostępem do sieci. Przeczytaj manifest i każdy dołączony plik przed instalacją, a nie po. Nasz przewodnik po bezpieczeństwie umiejętności szczegółowo omawia podstawowy model zagrożeń.

Czy mogę umieścić własny serwer MCP w wtyczce?

Tak. Wtyczka może zadeklarować plik .mcp.json, który konfiguruje serwer MCP jako część instalacji, dzięki czemu członkowie zespołu otrzymują automatycznie skonfigurowane połączenie zamiast konfigurować je ręcznie w każdym projekcie. Jeśli budujesz sam serwer, a nie tylko go podłączasz, zapoznaj się z MCP Builder po stronie budowania, zanim zdecydujesz, czy wtyczka potrzebuje własnego serwera, zamiast wskazywać na istniejący.

Gdzie znaleźć wtyczki Claude Code do zainstalowania?

Anthropic utrzymuje oficjalny marketplace, a marketplace'y społecznościowe szybko się rozwinęły od czasu uruchomienia formatu. Jakość jest tak zróżnicowana, jak w przypadku ogólnych umiejętności społeczności, więc sprawdź manifest, sprawdź, kiedy był ostatnio aktualizowany, i preferuj wtyczki od utrzymujących, którzy dokumentują, co faktycznie znajduje się w środku, zanim dodasz ich marketplace.