Claude Customize w firmie: skille, konektory i wtyczki to trzy różne modele ryzyka
Panel Customize w Claude wygląda jak jeden sklep z rozszerzeniami, ale kryje trzy zupełnie różne mechanizmy: Skills, Connectors i Plugins. Różnią się tym, co faktycznie dostają — instrukcje, token OAuth czy jedno i drugie naraz — a więc także tym, co może pójść nie tak. Traktowanie ich jako jednej kategorii „wtyczek" jest najczęstszym błędem przy pisaniu polityki bezpieczeństwa dla asystentów AI. Do tego dochodzi czwarty element, którego w katalogu nie widać: Scheduled tasks, czyli ten sam agent uruchamiany cyklicznie, bez człowieka przy klawiaturze.
Wszystkie liczby i nazwy w tym wpisie pochodzą z katalogu Customize oglądanego 20 września 2026. To zdjęcie stanu, nie stała — sekcja „New" ma pozycje sprzed dwóch dni.
Trzy zakładki, trzy poziomy zaufania
Katalog rozdziela rozszerzenia na trzy zakładki i to rozdzielenie ma sens techniczny, nie marketingowy.
Skills to paczki instrukcji — opisy procedur, konwencji i formatów, które model wczytuje do kontekstu, gdy uzna je za pasujące do zadania. Skill sam z siebie nie ma dostępu do żadnego systemu. Jego siła rażenia to wpływ na zachowanie modelu: może kazać mu sformatować raport, ale może też podpowiedzieć, żeby „dla wygody" wysłał wynik pod wskazany adres. Jeśli skill korzysta z narzędzi, które agent i tak ma (powłoka, sieć, konektory), to właśnie one są wektorem — skill tylko nimi steruje.
Connectors to realny dostęp: integracje z zewnętrznymi usługami, w praktyce przez OAuth albo serwer MCP. Google Drive, Gmail, Google Calendar, Microsoft 365, Notion, Slack, Figma, Canva, Atlassian MCP, HubSpot, Asana, Linear — to lista domyślnie widoczna w zakładce Discover. Tu nie ma niejasności co do ryzyka: podpięcie konektora oznacza, że model czyta i zapisuje w systemie firmowym z uprawnieniami konta, które autoryzowało połączenie. Sam protokół pod spodem ma udokumentowaną listę słabych punktów — pisałem o niej w 10 krytycznych lukach MCP.
Plugins to paczki łączone — skille, komendy i konfiguracja serwerów MCP w jednym instalatorze. To najbardziej nieprzejrzysta kategoria, bo jedna akcja „Add" może wnieść jednocześnie instrukcje dla modelu i nową ścieżkę sieciową na zewnątrz.
Praktyczna konsekwencja dla polityki dostępu: zgoda na skill to zgoda na zmianę zachowania modelu, zgoda na konektor to nadanie uprawnień, a zgoda na plugin to jedno i drugie bez rozbicia na pozycje. Trzy różne decyzje, w interfejsie wyglądające na jeden przycisk.
Warto też odnotować, jak katalog rozkłada sygnały zaufania. Każdy konektor na liście ma przy nazwie znacznik weryfikacji. Pozycje na liście wtyczek go nie mają — mają za to nazwę wydawcy („by Anthropic", „by Zapier", „by Nevo David") i licznik instalacji. Łatwo pomylić popularność z audytem.
Scheduled tasks: brakujący element układanki
Osobny ekran Scheduled tasks pozwala uruchamiać agenta cyklicznie. Gotowe szablony pokazują, jaki jest zamierzony scenariusz użycia:
| Zadanie | Opis | Harmonogram |
|---|---|---|
| Daily briefing | przegląd kalendarza, maila i wiadomości | dni robocze, 8:00 |
| Inbox triage | kategoryzacja skrzynki i draftowanie odpowiedzi na pilne wątki | dni robocze, 8:00 |
| Meeting prep | brief przed każdym spotkaniem z kalendarza | dni robocze, 8:00 |
| Weekly review | podsumowanie tygodnia | piątek, 16:00 |
| Content ideas | propozycje postów na bazie najnowszych newsów z branży | poniedziałek, 9:00 |
| Monitor a topic | śledzenie wzmianek o temacie, konkurencie lub słowie kluczowym | codziennie, 9:00 |
To jest miejsce, w którym trzy poprzednie kategorie przestają być niezależne. Zadanie cykliczne z definicji działa bez człowieka w pętli — nikt nie czyta promptu przed wykonaniem i nikt nie akceptuje wyniku przed wysłaniem. Cztery z sześciu szablonów sięgają do poczty, kalendarza lub komunikatora, a dwa (Content ideas, Monitor a topic) z założenia wciągają do kontekstu treści z otwartego internetu.
Złożenie: dostęp do danych prywatnych + treść z niezaufanego źródła + kanał wyjściowy na zewnątrz. W literaturze bezpieczeństwa LLM ten układ nazywa się lethal trifecta (simonwillison.net) i jest klasycznym warunkiem wstępnym udanego prompt injection. Katalog Customize pozwala złożyć go w trzech kliknięciach, a Scheduled tasks — uruchamiać codziennie o 9:00.
Kto to właściwie publikuje
Rozkład instalacji w katalogu układa się w wyraźny wzór: czubek listy należy do Anthropic, ogon do dostawców zewnętrznych.
| Pozycja | Kategoria | Wydawca | Instalacje |
|---|---|---|---|
| Plugin Management | Engineering | Anthropic | 8,3 mln |
| Postiz | Marketing | Nevo David | 1,7 mln |
| Sales | Sales | Anthropic | 1,4 mln |
| Enterprise Search | Operations | Anthropic | 906,9 tys. |
| Bio Research | Engineering | Anthropic | 487,3 tys. |
| Zoom | Engineering | Zoom | 243,1 tys. |
| Bright Data | Data | Bright Data | 237,9 tys. |
| Product Tracking | Product | Accoil | 211 tys. |
| Bigdata.com | Finance | RavenPack | 181,3 tys. |
| Nimble | Sales | Nimble | 169,5 tys. |
| Zapier | APIs | Zapier | 149,7 tys. |
| Carta investors | Finance | Carta | 131,2 tys. |
Poniżej 50 tysięcy instalacji lista jest już niemal wyłącznie zewnętrzna i niemal wyłącznie inżynieryjna: Grafana Cloud MCP (43,5 tys.), Pixeltable (42,5 tys.), TinyFish (41,7 tys.), Honeycomb (39,2 tys.), Qodo (38,3 tys.), GrowthBook (37,7 tys.), SigNoz (36 tys.), StackHawk HawkScan (32,7 tys.), Synthflow (32,2 tys.), a na świeżej liście — incident.io i Qodo Standards.
Trzy rzeczy, które z tej tabeli wynikają dla osoby odpowiedzialnej za governance:
- Licznik instalacji nie jest wskaźnikiem zaufania. Te same paczki z sekcji „For you" (Plugin Management 8,3 mln, Productivity 2,7 mln, Engineering 1,9 mln, Finance 1,7 mln, Product Management 1,5 mln, Legal 1,3 mln, Operations 1,3 mln, Small Business 931,4 tys.) pojawiają się z identycznymi liczbami zarówno w zakładce Skills, jak i Plugins. To jeden licznik pokazany w dwóch miejscach, a nie dwa niezależne pomiary — i mierzy dodania do konta, nie realne użycie ani jakiekolwiek przejście przez audyt.
- Najpopularniejsza pozycja spoza Anthropic to narzędzie publikujące. Postiz (1,7 mln instalacji) to CLI do automatyzacji social mediów: planowanie postów, zarządzanie integracjami, upload mediów. Wtyczka, która samodzielnie publikuje treści w imieniu marki, wymaga bramki akceptacyjnej po stronie procesu, bo w narzędziu takiej bramki nie ma.
- Jedna instalacja bywa furtką do całej reszty. Zapier (149,7 tys.) w opisie deklaruje wprost: podłącz 8000+ aplikacji, odkrywaj i wykonuj akcje Zapiera bezpośrednio z Claude. Inwentaryzacja, która odnotuje „jedna wtyczka: Zapier", nie opisuje rzeczywistej powierzchni dostępu.
Sektor finansowy wchodzi szybciej niż governance
W sekcji trending wśród konektorów widać Vanguard Advisor Tools, BlackRock Advisor Center oraz Links Connect („live financial data"). Wśród wtyczek — Bigdata.com od RavenPack (181,3 tys.) i Carta investors (131,2 tys.). To adopcja w obszarze objętym regulacjami: dane portfelowe, benchmarki wyników, rejestry inwestorów, treści o charakterze doradczym.
Tu standardowa argumentacja „to tylko asystent, który podsumowuje" przestaje być obroną. Jeśli asystent czyta dane portfelowe klienta i formułuje na ich podstawie tekst, w części jurysdykcji jest to czynność podlegająca nadzorowi niezależnie od tego, że wykonuje ją model. Pytanie do zadania przed włączeniem, nie po: czy wynik działania agenta trafia do klienta, czy do człowieka, który go zatwierdza.
Rekomendacje wdrożeniowe
Rekomendacje, które da się faktycznie wykonać w tym modelu rozszerzeń — bez udawania, że skill można zamknąć w kontenerze.
1. Rozdziel politykę na trzy listy, nie jedną. Osobna lista dozwolonych konektorów (bo nadają uprawnienia), osobna dozwolonych wtyczek (bo wnoszą kod i ścieżki sieciowe), osobna skilli (bo wpływają na zachowanie). Wtyczka spoza listy wydawców zaufanych powinna wymagać przeglądu manifestu: jakie serwery MCP konfiguruje i pod jakie domeny się łączy.
2. Konektory nadawaj na koncie technicznym o zawężonym zakresie, nie na koncie pracownika. Domyślny przepływ OAuth nadaje agentowi tyle uprawnień, ile ma osoba klikająca „Connect". W praktyce oznacza to pełny Drive i pełną skrzynkę. Tam, gdzie usługa pozwala na konto serwisowe z dostępem do wybranego zasobu, użyj go.
3. Zadania cykliczne traktuj jak proces produkcyjny, nie jak ustawienie użytkownika. Uruchamiany bez nadzoru agent z dostępem do poczty to system automatyczny i podlega tym samym wymogom: rejestr właściciela, log wykonań, możliwość wyłączenia centralnie. Szczególnie Inbox triage (draftuje odpowiedzi) i Monitor a topic (wciąga treść z sieci).
4. Rozdziel w czasie dostęp do danych i dostęp do sieci. Najprostsza skuteczna reguła przeciw lethal trifecta: zadanie, które czyta treści z otwartego internetu (Bright Data, Nimble, TinyFish, Monitor a topic), nie ma w tej samej sesji podpiętych konektorów do danych wewnętrznych. Odwrotnie też — zadanie pracujące na danych firmowych nie pobiera w tej sesji treści z zewnątrz.
5. Bramka akceptacyjna dla wszystkiego, co publikuje lub wysyła. Postiz, Adspirer, Gmail, Slack, HubSpot — każde działanie wychodzące na zewnątrz organizacji kończy się draftem do zatwierdzenia przez człowieka, nie wysyłką. To jedyny punkt kontrolny, który działa nawet wtedy, gdy prompt injection się powiedzie.
6. Inwentaryzuj tranzytywnie. Dla każdej dozwolonej wtyczki spisz nie nazwę, tylko listę systemów, do których ona realnie sięga. Pozycje typu Zapier czy Atlassian MCP rozwijają się w dziesiątki usług.
Słaby punkt tych rekomendacji: punkty 1, 3 i 6 zakładają, że organizacja ma gdzie te listy trzymać i kto ma je egzekwować. W katalogu widać przycisk „Add" przy każdej pozycji i nic, co by sugerowało etap zatwierdzania. Dopóki kontrola nie jest wymuszona po stronie narzędzia, to jest polityka na papierze — skuteczna na tyle, na ile ktoś ją audytuje.
Co sprawdzić u siebie w tym tygodniu
Katalog Customize rozwija się szybciej, niż większość organizacji aktualizuje politykę bezpieczeństwa. Minimalny zestaw pytań na start:
- Kto w organizacji może dodać konektor i czy ta operacja gdziekolwiek zostawia ślad?
- Które konta mają podpięty Gmail lub Microsoft 365 i czy któreś z nich ma włączone zadanie cykliczne?
- Czy istnieje jakakolwiek zatwierdzona lista wydawców wtyczek, czy obowiązuje domyślne „wszystko z katalogu"?
- Czy wynik działania agenta może dziś wyjść na zewnątrz firmy bez akceptacji człowieka?
Jeśli odpowiedź na ostatnie pytanie brzmi „tak", pozostałe trzy przestają mieć znaczenie — i od niej należy zacząć.