)
Última actualización: 9 de noviembre, 2026
¿Qué es un Claude Code plugin? Un Claude Code plugin es un directorio de skills, agentes, hooks, servidores MCP y otros componentes que Claude Code instala y carga como una sola unidad. Con un comando obtienes una configuración ya preparada, y el marketplace del que viene aporta las actualizaciones. La contrapartida es la confianza: un plugin se ejecuta con tus privilegios de usuario, así que es código que instalas, no solo un prompt.
TL;DR: puntos clave
- Según Anthropic, un plugin instalado puede ejecutar código arbitrario con tus privilegios, y 3 tipos de contenido (hooks, monitors y procesos de servidor) corren fuera del sandbox (Claude Code Docs, 2026).
- El 9 de noviembre de 2026 el marketplace oficial listaba 317 plugins, y 263 de ellos apuntan a fuentes externas, 262 con un commit SHA fijado (claude-plugins-official, GitHub).
- Plugin4Shell, divulgado el 18 de septiembre de 2026, permitía sustituir el código fijado de un plugin en 4 agentes de programación, y Anthropic lo corrigió en Claude Code 2.1.179 (Cloud Security Alliance, 2026).
- Los administradores disponen de 13 ajustes de política para plugins en los managed settings, y una lista strictKnownMarketplaces vacía bloquea todos los marketplaces, incluido el oficial (Claude Code Docs, 2026).
- El 29 de octubre de 2026, 2 versiones troyanizadas de la extensión de IDE de Claude Code estuvieron unas 11 horas en el marketplace de Cursor. Eran extensiones, no plugins (Cursor, 2026).
- La guía de Red Hat del 18 de agosto de 2026 propone una auditoría de repositorio de 5 minutos para plugins de terceros (Red Hat Developer, 2026).
De un vistazo: Claude Code plugins en 60 segundos
Respuesta rápida
¿Qué contiene un Claude Code plugin y qué puede ejecutar?
Un plugin agrupa varios tipos de componentes bajo un manifiesto. Las skills, los comandos y los agentes orientan lo que Claude hace con sus herramientas. Los hooks, los monitors y los servidores MCP y LSP son código que se ejecuta como tú. La documentación de Anthropic dice que las reglas de permisos y el sandbox no lo cubren.
| Componente | Qué aporta | Cómo se ejecuta | Reglas de permisos y sandbox |
|---|---|---|---|
| Skills, comandos, agentes | Instrucciones y flujos que Claude carga | Texto en el contexto de Claude | Cubren las llamadas a herramientas que provocan |
| Hooks | Comandos en eventos del ciclo de vida, como tras una edición | Comandos de shell con todos tus permisos | No se aplican |
| Monitors | Comandos en segundo plano que informan a Claude | Comandos de shell que arrancan con la sesión | No se aplican |
| Servidores MCP | Herramientas de un sistema externo | Un proceso que arranca Claude Code | Cubren las llamadas a herramientas, no el proceso |
| Servidores LSP | Diagnósticos y navegación por el código | Un proceso de servidor de lenguaje | No se aplican |
| Ejecutables en bin/ | Comandos en el PATH de la herramienta Bash | Se ejecutan cuando Claude los llama en Bash | Cubren la llamada a Bash |
Cómo lo investigamos
El 9 de noviembre de 2026 leímos la documentación de Claude Code de Anthropic sobre plugins, marketplaces, políticas y seguridad. Contamos las entradas del marketplace.json oficial y revisamos los análisis de la Cloud Security Alliance, Cursor y Red Hat. Las cifras del catálogo cambian a menudo.
Qué es un Claude Code plugin y cuándo lo necesitas
Un Claude Code plugin es un directorio de componentes que Claude Code instala y carga como una sola unidad. Suele llevar un manifiesto en .claude-plugin/plugin.json. Las skills, los subagentes, los hooks y los servidores MCP funcionan también por separado. Un plugin compensa cuando quieres varios de ellos empaquetados, versionados y actualizados juntos.
Según Claude Code Docs (2026), instalas un plugin para obtener una configuración que otra persona ya construyó, y creas uno para compartir la tuya con tu equipo. Para el formato de las skills, lee nuestra guía de Claude Code skills. La extensión de VS Code y el plugin de JetBrains no son plugins en este sentido.
| Enfoque | Ideal para | Cómo se actualiza |
|---|---|---|
| Skill independiente en ~/.claude/skills/ | Una skill para ti, disponible en todos los proyectos del equipo | Editas el archivo |
| Plugin de un marketplace | Una configuración empaquetada por otra persona | Desde su marketplace, si el auto-update está activado |
| Tu propio plugin | Compartir con tu equipo o con muchos proyectos | Publicas versiones |
)
Cómo instalar un Claude Code plugin
Ejecuta /plugin install con el nombre del plugin y su marketplace, por ejemplo commit-commands@claude-plugins-official. En una sesión, el comando no instala al instante: abre los detalles del plugin para que revises lo que añade y elijas un ámbito. Claude Code añade el marketplace oficial de Anthropic la primera vez que inicias una sesión interactiva de terminal.
El flujo en terminal tiene cuatro pasos:
- Abre los detalles con /plugin install, o ejecuta /plugin para explorar la pestaña Discover.
- Lee la sección Will install, que lista los comandos, agentes, skills, hooks y servidores MCP y LSP que añade el plugin.
- Elige un ámbito: usuario, proyecto o local.
- Comprueba que funciona escribiendo / y buscando las skills del plugin, o ejecutando claude plugin list en tu shell.
Para scripts, claude plugin install nombre@marketplace funciona sin sesión y admite --scope. Para un plugin que no está en el marketplace oficial, añade antes ese marketplace con /plugin marketplace add owner/repo.
| Ámbito | Quién recibe el plugin | Dónde se registra |
|---|---|---|
| Usuario | Tú, en todos los proyectos del equipo | ~/.claude/settings.json |
| Proyecto | Todas las personas que trabajan en el repositorio | .claude/settings.json, con commit |
| Local | Solo tú, en este repositorio | .claude/settings.local.json |
El ámbito de proyecto activa el plugin para tus colaboradores, pero cada persona debe ejecutar la instalación una vez.
Marketplaces oficial, de la comunidad y de terceros
Un marketplace es un catálogo, no una tienda alojada. Es un repositorio con un archivo .claude-plugin/marketplace.json que lista plugins y de dónde descargar cada uno. Anthropic publica dos, el oficial y el de la comunidad, y cualquier otro marketplace es de terceros. El sitio web Claude Marketplace es aparte y no se añade con /plugin.
| Nivel | Nombre del marketplace | Qué contiene | Auto-update por defecto |
|---|---|---|---|
| Oficial | claude-plugins-official | Plugins que mantiene Anthropic, más plugins de socios y autores | Activado |
| Comunidad | claude-community | Plugins de terceros que sus autores enviaron a Anthropic | Desactivado |
| Terceros | Cualquier otro nombre | Lo que lista el publicador, sin revisión de Anthropic | Desactivado |
Según el catálogo oficial en GitHub (9 de noviembre de 2026), figuran 317 plugins. 54 están almacenados en el repositorio de Anthropic, y 40 de ellos nombran a Anthropic como autor. Los otros 263 apuntan a repositorios git externos o, en un caso, a un comando, y 262 de ellos fijan un commit SHA.
Qué cuesta un Claude Code plugin en contexto y procesos
Un plugin activado forma parte de todas las sesiones, no solo de aquellas en las que lo usas. Los nombres y descripciones de sus skills, agentes y comandos ocupan el contexto de Claude en cada turno. Sus servidores MCP y sus hooks se ejecutan junto a la sesión.
Según Claude Code Docs (2026), esos tokens cuentan para tu uso aunque no se ejecute nada del plugin. Los plugins del marketplace oficial muestran una estimación de Context cost en /plugin. Para cualquier otro, ejecuta claude plugin details con su nombre y lee la línea Always-on.
Con qué Claude Code plugins empezar
Empieza por los plugins que nombran a Anthropic como autor y toma la lista como una foto del 9 de noviembre de 2026. El catálogo cambia a menudo, así que confirma cada entrada en la pestaña Discover. Todo plugin añade coste de contexto y puede traer hooks, así que lee antes el panel de detalles.
| Plugin | Qué dice el catálogo que aporta | Categoría |
|---|---|---|
| commit-commands | Comandos para commit, push y creación de pull requests en git | Productividad |
| code-review | Revisión automática de pull requests con varios agentes y puntuación de confianza | Productividad |
| feature-dev | Un flujo de desarrollo de funcionalidades con agentes de exploración, arquitectura y revisión de calidad | Desarrollo |
| security-guidance | Revisión de seguridad del código generado por Claude, con avisos en las ediciones y una revisión del diff | Seguridad |
| plugin-dev | Un kit para crear Claude Code plugins, con 7 skills | Desarrollo |
Crea y prueba tu propio Claude Code plugin
Un plugin solo necesita un directorio, y el manifiesto exige únicamente un nombre. Añade un archivo .claude-plugin/plugin.json, incluye skills, hooks o un .mcp.json y cárgalo en una sesión con el flag --plugin-dir. No necesitas un marketplace mientras desarrollas, y claude plugin validate revisa los archivos.
Una skill en skills/review/SKILL.md pasa a ser /my-plugin:review, los hooks van en hooks/hooks.json, los servidores en .mcp.json y los ejecutables en bin/. Para compartir el plugin, publica un marketplace.json en un repositorio git o envíalo al directorio de Anthropic. Eso te convierte en parte de la cadena de suministro de cada usuario. Según Red Hat Developer (2026), la seguridad de un plugin es en realidad seguridad del repositorio.
Cómo revisar un Claude Code plugin antes de instalarlo
Revisa un Claude Code plugin como revisarías una dependencia que se ejecuta como tú. Comprueba de dónde viene el marketplace, lee lo que instalará el plugin y abre los archivos que se ejecutan: hooks, definiciones MCP y scripts de bin/. Anthropic avisa de que no puede verificar que el contenido funcione como se espera ni que permanezca igual.
- Ejecuta claude plugin marketplace list para ver la fuente desde la que se añadió cada marketplace.
- Abre el plugin en /plugin y lee la sección Will install.
- Abre el repositorio del plugin y lee hooks/hooks.json, .mcp.json y todos los archivos de bin/. El panel de detalles muestra que existe un hook, no lo que ejecuta.
- Lee las skills como instrucciones que actúan con tu autoridad. Pregúntate si alguna línea apunta a un archivo, una credencial o la red sin una razón declarada.
- Fija lo que puedas: /plugin marketplace add tu-org/plugins#v1.2.0 fija una etiqueta.
Según Red Hat Developer (2026), una auditoría de 5 minutos del repositorio revisa también la protección de ramas, las versiones etiquetadas, un archivo SECURITY.md y el historial de contribuidores. Un plugin con un solo contribuidor y sin revisiones deja una única cuenta entre tú y un compromiso.
Incidentes de seguridad en Claude Code plugins en 2026
Los incidentes de 2026 comparten un patrón: la confianza concedida al instalar se reutilizó después sin una comprobación nueva. Plugin4Shell rompió la fijación por hash de commit. Un fallo en un plugin del marketplace oficial convirtió archivos del proyecto en instrucciones. Una extensión de IDE troyanizada se propagó por un marketplace. Todos se ejecutaron con los permisos del desarrollador.
| Fecha | Qué ocurrió | Impacto | Estado |
|---|---|---|---|
| Descrito el 18 de agosto de 2026 | Investigadores hallaron que Hookify, un plugin del marketplace oficial, pasaba archivos de reglas del proyecto al canal de confianza del subsistema de hooks | En pruebas con Claude Opus 4.6, 5 cargas filtraron variables de entorno y secretos | Anthropic cerró el informe como funcionamiento previsto: el diálogo de confianza del directorio es el límite |
| 18 de septiembre de 2026 | Plugin4Shell: 4 agentes de programación descargaban un commit fijado sin verificar que el checkout llegara a él | Ejecución de código sin clics mediante actualizaciones de plugins en segundo plano | Corregido en Claude Code 2.1.179 y Codex 0.146.0 |
| 29 de octubre de 2026 | Extensión de IDE de Claude Code troyanizada, versiones 2.1.312 y 2.1.313, en el marketplace de extensiones de Cursor | Envío de datos del equipo, clave SSH del atacante añadida e intento de persistencia | Retirada por Cursor, servidor del atacante desconectado |
Según la Cloud Security Alliance (2026), el ataque funciona si el dueño de un repositorio nombra una rama como el hash fijado y la hace rama por defecto. Git puede entonces preferir la rama, así que el agente instala código del atacante mientras informa de la fijación esperada. Las actualizaciones en segundo plano eliminaron la necesidad de cualquier acción del usuario. Nuestra guía de seguridad de Claude Code recoge la lista completa de fallos de 2026.
El aviso de Cursor describe una extensión de IDE, que la documentación de Anthropic distingue de un plugin. Muestra el mismo problema de confianza en marketplaces, una capa más allá. Cursor recomendó buscar una clave SSH con la etiqueta svc-telemetry y rotar credenciales, porque quitar la extensión puede no eliminar los scripts de persistencia. Para comparar ambas herramientas, consulta nuestro benchmark Claude Code vs Cursor.
Seguridad y gobernanza: controla los Claude Code plugins en producción
Los managed settings deciden qué plugins pueden cargarse. No vigilan lo que hacen en ejecución las herramientas y las instrucciones de un plugin ya cargado. Cierra ambos huecos. Bloquea marketplaces y hooks con los ajustes de política de Claude Code. Luego inspecciona y gobierna el tráfico de agentes y MCP con una capa de runtime que controles.
| Objetivo | Ajuste gestionado | Qué no puede hacer |
|---|---|---|
| Permitir solo marketplaces aprobados | strictKnownMarketplaces | Restringir entradas dentro de un marketplace permitido ni bloquear --plugin-dir |
| Preinstalar o bloquear plugins | enabledPlugins, con true o false | Instalar un plugin cuyo marketplace no está registrado ni permitido |
| Impedir la carga lateral | disableSideloadFlags | Restringir .mcp.json ni claude mcp add |
| Limitar qué hooks se ejecutan | allowManagedHooksOnly | Confiar en hooks de plugins que los usuarios activan por su cuenta |
| Detener plugins sincronizados de claude.ai | syncClaudeAiPlugins en false | Desactivar un único plugin sincronizado |
Según Claude Code Docs (2026), estos ajustes se entregan mediante server-managed settings, MDM o un archivo managed-settings.json. Audita con los eventos de OpenTelemetry claude_code.plugin_installed y claude_code.plugin_loaded. Los nombres de plugins de terceros se ocultan salvo que definas OTEL_LOG_TOOL_DETAILS=1.
La política deja un hueco en runtime. Las skills son lenguaje natural, así que el análisis estático no detecta una instrucción hostil, y un servidor MCP puede cambiar lo que devuelve sin un commit nuevo. Nuestras guías sobre MCP tool poisoning y buenas prácticas de seguridad MCP cubren ambos casos.
NeuralTrust lo trata como un problema de runtime. Agent Runtime Security (TrustGuard) inspecciona las interacciones de los agentes mientras ocurren, sigue el contexto entre turnos y puede permitirlas, bloquearlas o transformarlas en vuelo. El MCP Gateway del Agent Gateway (TrustGate) te deja decidir qué herramientas puede usar cada agente, aplica permisos por rol y registra qué LLM accedió a qué herramienta. Un gateway solo ve el tráfico que pasa por él, así que mantén los ajustes gestionados anteriores para los hooks y los procesos locales.
¿Por dónde empezar?
Empieza por la visibilidad, sigue con la restricción y termina con el control en runtime. No puedes permitir lo que no has inventariado, y una lista de permitidos por sí sola no te dice qué hace un plugin aprobado al ejecutarse. La revisión va antes de la aprobación, y el control en runtime al final.
| Fase | Objetivo | Acciones clave |
|---|---|---|
| 1. Visibilidad | Saber qué plugins se ejecutan | Ejecuta claude plugin list, exporta los eventos de plugins de OpenTelemetry y define OTEL_LOG_TOOL_DETAILS=1 para ver nombres reales |
| 2. Restricción | Limitar lo que puede cargarse | Permite el marketplace oficial y el tuyo, activa disableSideloadFlags y fija etiquetas |
| 3. Revisión | Verificar lo que apruebas | Aplica la revisión de 5 pasos, lee los hooks y el .mcp.json y asigna un responsable por plugin |
| 4. Control en runtime | Gobernar lo que hacen los plugins | Pasa el tráfico MCP por un gateway, aplica permisos por herramienta e inspecciona las interacciones de los agentes |
Conclusión
Un Claude Code plugin es la forma más rápida de compartir una configuración de skills, agentes, hooks y servidores MCP, y también es código que se ejecuta como tú. Instala desde marketplaces que puedas nombrar, lee antes los hooks, las definiciones MCP y los archivos de bin/, y mantén las versiones fijadas. Los administradores deben permitir solo marketplaces aprobados y bloquear la carga lateral en los managed settings. Después añade inspección en runtime, porque la política decide qué se carga, no qué hace un plugin ya cargado.
Protege los Claude Code plugins en producción con NeuralTrust
Gobierna el tráfico de agentes y MCP de los Claude Code plugins con inspección en runtime y control de acceso a nivel de herramienta.
)
Comparativas relacionadas
- Claude Code skills: la guía completa
- Claude Code Security: guía empresarial
- Claude Code MCP y Cursor MCP: seguridad
Preguntas frecuentes sobre Claude Code plugins
1. ¿Qué es un Claude Code plugin?
Un Claude Code plugin es un directorio de skills, agentes, hooks, servidores MCP y otros componentes que Claude Code instala y carga como una sola unidad. La mayoría viene de un marketplace, que es un catálogo de plugins, y un manifiesto en .claude-plugin/plugin.json nombra el plugin. Una vez instalado, sus componentes forman parte de todas las sesiones.
2. ¿Cómo instalo un Claude Code plugin?
Ejecuta /plugin install nombre@marketplace en una sesión, por ejemplo commit-commands@claude-plugins-official, revisa el panel de detalles y elige un ámbito de usuario, proyecto o local. Desde una shell, ejecuta claude plugin install nombre@marketplace con un flag --scope opcional. Ejecuta /reload-plugins si el resumen de instalación indica que hace falta recargar.
3. ¿Qué diferencia hay entre un Claude Code plugin y una skill?
Una skill es un único archivo de instrucciones SKILL.md que funciona por sí solo, por ejemplo desde ~/.claude/skills/. Un plugin empaqueta varias skills, agentes, hooks o servidores MCP como una unidad instalable y actualizable. Las skills solo orientan el comportamiento de Claude, mientras que un plugin también puede traer hooks y servidores que ejecutan código.
4. ¿Son seguros los Claude Code plugins?
No por defecto. La documentación de Anthropic dice que un plugin instalado puede ejecutar código arbitrario con tus privilegios de usuario. Anthropic no puede verificar que el contenido funcione como se espera ni que no cambie. Revisa antes los hooks, las definiciones MCP y los archivos de bin/, prefiere fuentes fijadas y usa managed settings en las organizaciones.
5. ¿Cómo puede una organización controlar los Claude Code plugins?
Usa managed settings. La lista strictKnownMarketplaces limita las fuentes de marketplaces, enabledPlugins activa o bloquea plugins y disableSideloadFlags rechaza --plugin-dir. Entrégalos mediante server-managed settings, MDM o un archivo managed-settings.json. Audita las instalaciones con los eventos plugin_installed y plugin_loaded de OpenTelemetry, que ocultan por defecto los nombres de terceros.
6. ¿Cómo desinstalo un Claude Code plugin?
Ejecuta claude plugin uninstall con el nombre del plugin y el --scope con el que lo instalaste. Al desinstalar el último ámbito, se borra por defecto el directorio de datos persistentes del plugin, pero los archivos en caché siguen en ~/.claude/plugins/cache durante 14 días. Elimina también el marketplace si ya no confías en su propietario.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
Consultadas el 9 de noviembre de 2026.
- Anthropic, "Plugins overview", Claude Code Docs, 2026.
- Anthropic, "Install and manage plugins", Claude Code Docs, 2026.
- Anthropic, "Anthropic's marketplaces", Claude Code Docs, 2026.
- Anthropic, "Plugin security and trust", Claude Code Docs, 2026.
- Anthropic, "Manage Claude Code plugins for your organization", Claude Code Docs, 2026.
- Anthropic, "Add components to a plugin", Claude Code Docs, 2026.
- Anthropic, "claude-plugins-official marketplace.json", GitHub, consultado el 9 de noviembre de 2026.
- Cloud Security Alliance AI Safety Initiative, "Plugin4Shell: SHA-Pinning Bypass Enables AI Coding Agent RCE", 19 de septiembre de 2026.
- Cursor, "Security notice: malicious Anthropic.claude-code versions 2.1.312 and 2.1.313", 29 de octubre de 2026, actualizado el 30 de octubre de 2026.
- Red Hat Developer, "Securing Claude Code plug-ins: Best practices for repository security", 18 de agosto de 2026.