Cohesivity-Agent-Plugin

Cohesivity bündelt eine kanonische Agent-Skill zusammen mit einem lokalen Projekt-Bootstrap-MCP-Server und dem geschützten entfernten Cohesivity-Verwaltungs-MCP-Server. Die Repository-Wurzel ist ein reines Agent Plugins 1.0-Paket; generierte native Wrapper liegen unter packages/, sodass client-spezifische Marker nie ändern, wie die portable Wurzel erkannt wird.

Lokaler Bootstrap und entferntes OAuth sind unabhängig

Der abhängigkeitsfreie lokale cohesivity-local-Stdio-MCP-Server benötigt Node 18 oder neuer, aber kein Cohesivity-Konto. Sein primäres create_tenant-Tool akzeptiert einen absoluten Projektstamm, ruft den kanonischen Quickstart ab und führt ihn in diesem Verzeichnis mit --no-plugin aus. Es gibt nur nicht-geheime Tenant-Metadaten zurück. Derselbe Server stellt feste Claim-, Status- und Provision-Operationen gegen die Cohesivity-Management-API bereit. Sein Provision-Tool akzeptiert entweder eine Ressource oder eine Ressourcenliste, sodass Einzel- und Massenbereitstellung ein gemeinsames Tool nutzen. Diese Operationen lesen die .cohesivity-Verwaltungsanmeldedaten des Projekts intern, projekt-allowlistete Antworten und legen niemals einen der coh_*-Werte offen. Es gibt keinen generischen Shell-Befehl oder beliebigen HTTP-Proxy.

Clients ohne Node führen diese lokale Komponente nicht aus. Sie behalten den dokumentierten Quickstart-Fallback aus der Skill bei:

curl -fsSL https://cohesivity.ai/quickstart.sh | bash

Dieses Paket beansprucht keine native Binärunterstützung und generiert sie auch nicht. Mit Zustimmung des Benutzers kann jeder Bootstrap-Pfad einen kostenlosen ephemeren Tenant erstellen, der nach 72 Stunden abläuft, sofern er nicht beansprucht wird.

Die entfernte Verwaltungs-MCP-Verbindung unter https://cohesivity.ai/mcp/manage ist anders: Sie erfordert eine Cohesivity-Anmeldung, kann aber autorisiert werden, bevor das Konto einen Tenant besitzt. Die kontobezogene Berechtigung kann den ersten Tenant erstellen und aktuelle oder zukünftige eigene Tenants verwalten; ein optionaler Tenant, der während der Zustimmung gewählt wird, ist nur ein Standard, und die Eigentümerschaft wird bei jedem Tenant-Aufruf erneut überprüft. Der Endpunkt gibt eine OAuth-Herausforderung an kompatible MCP-Clients zurück. Kein Paket enthält ein Bearer-Token, einen wörtlichen Auth-Header, ein Client-Geheimnis oder andere Anmeldedaten.

Related MCP server: Synlake MCP Server

Unterstützte Paketoberflächen

Jede installierbare Plugin-Wurzel ist in sich geschlossen: Sie enthält skills/cohesivity/SKILL.md, mcp/project-bootstrap.mjs, die entsprechende duale MCP-Konfiguration und die Lizenz. packages/codex/ ist ein Marktplatz-Katalog, dessen in sich geschlossenes Plugin unter plugins/cohesivity/ liegt. Die OpenAI- und Codex-Pakete haben absichtlich keine .app.json: Dieses Repository besitzt keine registrierte plugin_asdk_app...-ID, und das Erfinden einer solchen würde keine gültige ChatGPT-App-Verbindung erzeugen.

Verwenden Sie die Repository-Wurzel mit Clients, die Agent Plugins 1.0 implementieren, einschließlich OpenClaw und Hermes. Verwenden Sie ein packages/<client>/-Verzeichnis als Quelle, wenn ein nativer Client einen eigenen Wurzelmarker benötigt. Zum Beispiel aus einem Checkout:

claude plugin marketplace add ./packages/claude
gemini extensions install ./packages/gemini
agy plugin install ./packages/antigravity

Die Installation des OpenAI-Plugins erfolgt über den Marktplatz. packages/openai/ ist die eigenständige native Plugin-Wurzel, während packages/codex/ ein vollständiger lokaler Codex-Marktplatz ist, der auf seine verschachtelte Kopie verweist. Beide liefern die Skill, lokale Node-Stdio-Tools und den entfernten MCP-Server, nicht eine registrierte App.

OAuth- und Eigentümer-Overrides

Agent Plugins 1.0 definiert bewusst kein portables OAuth-Feld. Seine mcp.json deklariert die geschützte URL mit Streamable-HTTP-Transport und den lokalen Server mit Stdio-Transport, sodass OAuth-Erkennung, Browser-Interaktion und Token-Speicherung dem Client obliegen. Clients können den entfernten Server getrennt lassen und weiterhin die Skill und den lokalen ephemeren Bootstrap-Ablauf verwenden.

OpenClaw erfordert ein Eigentümer-/Betreiber-Override, um die gebündelte Verbindung in seinen OAuth-Anmeldedatenspeicher aufzunehmen. Die Betreiber-MCP-Konfiguration gewinnt gegenüber dem Bündeleintrag mit demselben Namen:

openclaw mcp set cohesivity '{"url":"https://cohesivity.ai/mcp/manage","transport":"streamable-http","auth":"oauth"}'
openclaw mcp login cohesivity

Hermes hält OAuth ebenfalls aus portablen Paketdaten heraus. Sein portabler Adapter qualifiziert den Servernamen mithilfe der ermittelten Installationsidentität. Kopieren Sie daher zuerst den genauen Servernamen, den Hermes meldet. Die Eigentümer-Konfiguration ersetzt den gesamten Bündeleintrag, nicht einzelne Felder; wiederholen Sie die URL, den Authentifizierungsmodus und alle anderen gewünschten nativen Felder im Override. Hermes behandelt einen URL-only-Transport als Streamable HTTP; sein natives transport-Feld wird nur benötigt, um sich für das veraltete sse zu entscheiden:

mcp_servers:
  <qualified-server-name>:
    url: https://cohesivity.ai/mcp/manage
    auth: oauth

Dann führen Sie aus:

hermes mcp login <qualified-server-name>

Verwenden Sie denselben gemeldeten Namen an beiden Stellen. Eigentümer-config.yaml-Einträge haben Vorrang vor portablen Einträgen, sodass ein unvollständiges Override die URL des Bündels oder andere Einstellungen verwerfen kann, anstatt sie zu ergänzen.

Antigravity-Dateinamenskollision

Agent Plugins und Antigravity erfordern beide eine Wurzeldatei namens plugin.json, aber die Schemas sind inkompatibel. Agent Plugins erfordert sein 1.0-$schema und erlaubt portable Metadaten; Antigravitys veröffentlichtes striktes Schema erlaubt nur name und description. Das Antigravity-Manifest bleibt daher isoliert unter packages/antigravity/plugin.json, und seine entfernte MCP-Datei verwendet den von Antigravity geforderten serverUrl-Schlüssel. Kopieren Sie dieses Manifest nicht über die Repository-Wurzel.

Kanonische Skill, Wrapper und Installationsartefakte

skills/cohesivity/SKILL.md ist byte-für-byte an cohesivity-org/cohesivity-skill@f97e0d2ac8a653b7d54d1bb6e70aee78a8887e60 gebunden:

• Skill-Metadatenversion: 84fbece3c00b

• SHA-256: 3b0d9cda6167263cb35a4e3b54ed455113318a1b24cb5e341f26843456b0b589

Die Wurzel-Skill ist die Quelle für jede generierte Wrapper-Kopie. Erstellen und validieren Sie mit abhängigkeitsfreien Node-Befehlen neu:

npm run build
npm run check
npm test

npm run build entfernt veraltete Wurzel-Client-Marker, regeneriert jeden Wrapper in einer festen Reihenfolge, kopiert die kanonische Skill und lokale MCP-Bytes unverändert und baut die eingecheckten Archive mithilfe des vorhandenen Quellstempels des Manifests neu auf. npm run check validiert Wrapper, Archive, Hashes, Größen, Dateiinventare und Baum-Digests ohne Schreiben und schlägt bei jedem veralteten oder unerwarteten generierten Artefakt fehl.

Versionierte Installer-Eingaben liegen unter artifacts/v3.0.0/. Jedes Client-Archiv verwendet sortierte portable Tar-Einträge, feste Modi/Eigentümer/Zeitstempel und einen deterministischen Gzip-Stream. install-manifest.v1.json zeichnet die Bytegröße und SHA-256 jedes Archivs sowie die Größe/SHA-256 jeder enthaltenen Datei und einen kanonischen Baum-Digest auf. Installer rufen das Manifest und das Archiv über unveränderliche raw.githubusercontent.com-Commit-URLs ab und überprüfen Größe und SHA-256 vor dem Extrahieren; kein GitHub-Release ist erforderlich.

Der Quell-Commit kann nicht der Commit sein, der zuerst ein Manifest einführt, das sich selbst benennt. Die Veröffentlichung verwendet daher einen zweistufigen Stempel:

1. Erstellen Sie Wrapper und Archive neu, committen Sie dann die Quelle und die deterministischen *.tar.gz-Dateien. Veröffentlichen Sie das vorläufige Manifest aus diesem Schritt nicht.

2. Führen Sie SOURCE_COMMIT=<the-full-archive-commit> npm run artifacts aus. Überprüfen Sie, dass nur install-manifest.v1.json geändert wurde, und committen Sie dann dieses gestempelte Manifest.

Der erste Commit ist nun die unveränderliche Rohquelle für jede Archiv-URL im Manifest des zweiten Commits. SOURCE_COMMIT muss ein vollständiger Kleinbuchstaben-40-Zeichen-Git-Commit sein; die Generierung hat keinen Zeitstempel oder impliziten HEAD-Fallback, sodass der Stempel bewusst und reproduzierbar ist.

Sicherheit

Projektanmeldedaten liegen in .cohesivity, das gitignored bleiben muss. Weder coh_management_key noch coh_application_key gehören in Browser-Code, Protokolle, Screenshots, Chat, Plugin-Manifeste oder MCP-Konfiguration. Das Beanspruchen eines Tenants, das Bereitstellen kostenpflichtiger Ressourcen, das Upgrade eines Plans und das Bereitstellen eines verwalteten Agents bleiben explizite Zustimmungsgates. Der lokale MCP parst Anmeldedaten als Daten, führt die Datei niemals aus, lehnt symbolisch verknüpfte Anmeldedatendateien ab und verwendet nur feste benannte Management-API-Routen.

Dokumentation

• Angebote und aktuelle API-Verträge: https://cohesivity.ai/offerings/

• Index: https://cohesivity.ai/llms.txt

• Preise: https://cohesivity.ai/pricing

Lizenz

MIT. Siehe LICENSE.