这个秋天，AI 圈突然流行起"装 skill"。 小红书上"5 个神级 Skill，装完 Codex 直接开挂"成了高赞高收藏的教程。B 站从安装到 Agent 开发的实战教程正在成套更新。官方节奏也摆在那：Anthropic 在 2025 年 10 月发布 Agent Skills，两个月后开放成标准规范。但评论区最真实：“哪四个？”“怎么装？”“Codex 和 ChatGPT 不是一回事吗？”小红书哔哩哔哩知乎
先把误会澄清：Skill 不是符咒，是你写给 AI 的入职手册——一个文件夹，里面装指令、脚本和资源，Claude 按需加载。核心不是文件格式，而是加载方式：它跟你每次对话粘一大段 prompt 的区别在于，手册平时"挂"在 AI 那但不"读"，命中任务才翻开。Claude官方知乎
这套机制叫"渐进式披露"：AI 启动时只记住每个 Skill 的名字加一句描述，一个 Skill 装进 AI，启动只花大概 100 个 token。正文被命中才加载，官方建议控制在 5000 token 以内，里面的脚本不碰就零开销。听着优雅，于是大家疯狂收藏安装。而坑，全藏在"装"这个动作里。知乎
坑一：装越多，越笨越贵。 有人算过一笔账：一次长任务总用量 1.84 亿 token，环境里装了不到 20 个 Skill、全程只用到 1 个，技能相关注入仍累计约 420 万。钱几乎全花在"目录"上：每个 Skill 的名字和描述常驻上下文，装一百个，启动就要多付一万 token 出头的元数据。知乎知乎
更要命的是，候选清单越长，模型挑错或者干脆漏掉正确 Skill 的概率越高。甚至有 Codex 重度用户公开晒"弃用 Skill"，声称删掉几个之后任务完成的速度和准确性反而更高。Skill 本意是省口水，装太多就变成每轮必缴的人头税。知乎知乎
坑二：恶意 Skill 是 OWASP 智能体技能十大风险榜的第一名，定级"严重"。根源在权限：Skill 通常没有独立身份，它直接继承加载它的 Agent 的身份、凭证和文件网络访问能力——你能读文件、能跑命令，它就能。知乎知乎
攻击手法也不复杂：读取本机的密钥、SSH 凭证、云凭证、浏览器数据、钱包文件，用近似名字冒充（google-workspace 旁挂个 gogle-workspace），借"先装个依赖"诱导你跑脚本，甚至把控制指令写进持久记忆——删了 Skill，后门还在。知乎
最像小说的是真实发生过：据公开报道，今年 7 月有攻击者仿冒热门 Agent 平台 Paperclip 的域名，同时发布木马化 Python 包和武器化 Skill，扫描器数小时抓到了包，恶意 Skill 却没被检出，安装量超过 30 万次。装前三步自检：亲自读 SKILL.md 和它引用的脚本；对"先跑这条安装命令"保持警惕；只从可信目录拿。知乎
坑三：第一个 Skill 不用做大。 Skill 全靠 description 那句话触发，它必须非空且不超过 1024 字符，要同时讲清楚"做什么"和"什么时候用"。很多人"装了没反应"，根源就在这句话没写对。最容易上手：把你重复粘过八次的周报流程写成一份 SKILL.md，跑顺再迭代，比收藏 20 个别人的 Skill 值钱。知乎
一句话收束：Skill 的价值是把你自己会的流程变成资产，而不是囤装备。 装得少、认识每一个、出手稳，就是普通人现在的版本答案。
