一个文件夹，一个 SKILL.md，再加几段脚本和参考资料。
一年里，这样的东西被发布了 100 万次，安装了近 2.8 亿次。Anthropic 官网
10 月 22 日，Anthropic 把它捐给了 Linux 基金会下的 Agentic AI Foundation。公告写得很平静：70 多个 Agent 平台已经接入，后面还要做版本化发布、提案流程，以及给编写者和安装者的安全指南。Anthropic 官网
安全指南排在最后，但它可能是最急的。
英伟达的 SkillSpector 在 README 里写了一个数字：31,132 个被分析的技能中，26.1% 至少含有一个漏洞，5.2% 显示出明显的恶意意图。带可执行脚本的技能，出问题的概率是纯提示词技能的 2.12 倍。GitHubarXiv
原因不复杂。一个技能装进 Claude Code 或 Codex，拿到的不是某个沙箱的权限，是当前用户的权限。它读得到 ~/.ssh，读得到 .env，跑得了 shell，发得出请求，也拿得到浏览器里的登录态。安装通常只有一行命令，中间没有权限弹窗。知乎
Cloudflare 的 security-audit-skill 这两天冲上 GitHub 趋势榜，52,105 个 star、3,333 次 fork。仓库里没有界面，没有模型，只有一层 Markdown 和两个几百行的校验脚本。它只做一件事：在你把别人的技能装进 Agent 之前，先审一遍。知乎
但这只能解决一半问题。
10 月 23 日，KnotScryer 的论文给了另一组数字。研究者从 ClawHub 挑了 13,598 个单独检查都干净的技能，再把技能之间的输入输出接起来分析，找到 612 条不安全的组合链。其中 13.7% 的链，从头到尾都由被单独判定为安全的技能组成。arXiv
一个技能负责读合同，一个技能负责发邮件，各自都规矩。Agent 把它们串起来，合同里的保密条款就可能跟着邮件发出去。问题不在某个技能，在交接。
CoSA 论文做了更直接的控制实验：往技能池里加入不超过 5% 的新技能，策略违规率从 35.02% 升到 58.45%。加进去的技能没有改权限，原有技能也没动，变的只是调用关系。arXiv
SkillLifeBench 把测试拉到了完整生命周期。388 组配对场景、14 个模型，GPT-5.6-Sol 和 Sonnet 4.6 在单项运行时任务上都能拿到 82.0%，到了需要自己挑选、重配技能的生命周期任务，联合成功率分别变成 96.7% 和 56.7%。整体看，65.2% 的生命周期任务做到了完成且不触发攻击目标；另有 103 次运行，任务完成了，攻击目标也一起完成了。arXiv
扫描器能挡住单个坏技能，挡不住这种每个都合格、合起来越界的路径。它检查的是文件，违规发生在编排层。
能做的事其实很具体。装之前把 SKILL.md 从头读到尾，尤其看“自动执行”“无需确认”这类句子；看目录里有没有 scripts、.sh 或预编译二进制；数一数它要网络、要凭证、要写文件、要 shell 中的几样。SkillSpector 已经把这套检查做成了命令，71 种模式、17 个类别，扫一遍几十秒，还能输出 SARIF 接进 CI。GitHub
扫描最好放在安装前。有人用 claude_cli 通道扫 15 个技能、5 个并发，6 分钟起了 434 个会话，吃掉了 5 小时配额窗口的 98%，每次会话还带着约 34k token 的启动上下文。装完再扫，除了贵，还要回滚环境。知乎
更根本的做法是少装。Anthropic 应用 AI 团队在 10 月 22 日的工程文章里提到，单 Agent 配合 Skills 和渐进式披露，常常比按团队拆出来的多 Agent 结构质量更高、成本更低；系统 prompt 里的工具定义超过 30 到 50 个，模型选工具的准确率就会下降。技能越多，组合越复杂，审计的覆盖面越难追上。知乎
标准开放之后，复用只会更快。版本化发布、提案流程和安全指南都还在路上。Anthropic 官网
在那之前，兜底的人还是你。
技能让 Agent 变强的方式，是把一套流程塞进它的上下文。流程读起来像文档，执行起来是权限。装的单位越小，判断的责任越往你这边挪。
