Skills 成了国际标准：方法能带走，风险也跟来

2026 年 10 月 22 日，Anthropic 把 Agent Skills 捐给了 Linux 基金会旗下的智能体 AI 基金会（AAIF），和 MCP 并排放进了同一个托管名单。一个 skill 就是一份能被 AI 读懂的说明书。你的做事方法第一次能带走了，但 skill 市场也刚经历完第一场大规模投毒。

你家里大概率有一套“只有一个人知道”的流程。

包饺子：面和水的比例、醒多久、馅里打几次水、下锅点几次凉水。给孩子讲题：先问哪里卡住、再让他自己讲一遍、最后才给答案。家里记账：分哪几类、月底谁核、差多少算合理。

这些东西几乎都存在，但几乎都没被写下来。写下来也没用——别人看不懂，AI 更看不懂。

SKILL.md 是给这件事的一个答案。

在 Anthropic 提出的 Agent Skills 里，一个 skill 就是一个文件夹加一个 SKILL.md 文件：一份用自然语言写的、AI 能读懂并照着做的操作说明。开头几行是它的名字和描述，剩下的正文就是“第一步做什么、第二步做什么、什么情况走哪条分支”。

说白了，skill 就是一份能被 AI 读的说明书。

标准捐出去，换的不是一份文件，是一个位置。

AAIF 成立于 2025 年 12 月，由 Anthropic、Block、OpenAI 共同创立，此前已经托管了 MCP（Model Context Protocol，模型上下文协议，管的是智能体怎么接外部工具和数据）、OpenAI 的 AGENTS.md，以及 Block 的 goose。10 月 22 日同一天，基金会又新增四个项目：Agent Skills、OpenAI 的 Open Responses、Hugging Face 的 OpenEnv、阿里巴巴的 OpenSandbox。至此基金会项目达十个，成员组织三百多家。

捐赠范围包括规范本身、Agent Skills 的名称、Logo、GitHub 组织和 agentskills.io 域名。代码采用 Apache 2.0 许可，文档采用 CC BY 4.0；维护者以个人身份参与，不代表雇主。首席维护者之一是 David Soria Parra，他也是 MCP 的共同作者之一，另一位首席维护者是 Mahesh Murag。

Anthropic 同时给出三个数字：自 2025 年 12 月作为开放标准发布以来，已有七十多个智能体平台集成（包括 ChatGPT、Cursor、GitHub Copilot、VS Code），公开 skill 约一百万个，累计安装近三亿次。必须说清楚：这三个数字出自 Anthropic 官方口径，属厂商自述，未经独立第三方核实。

David Soria Parra 有一句话解释得很直白：“Without the right context, even the most intelligent agents fall short.”——没有给它正确的上下文，再聪明的智能体也做不好。skill 要解决的，正是“上下文”里最缺的那一块：做事的方法。

Boris Cherny 的说法是：“Agent Skills 最初只是 Claude Code 里的一个实验。行业里很多人开始用它，所以我们觉得把它捐给 AAIF、放在 MCP 旁边更合适。”

一句落点：标准换了手，你写的那份说明书，就不再绑在某一家公司身上了。

三层分工，很多人是混着看的。

MCP 管“接什么工具和数据”——你的智能体能连上哪些系统。AGENTS.md 管“这个项目有什么规矩”——代码风格、目录约定、哪些不能碰。Agent Skills 管“某件具体的事怎么做”——报销怎么报、周报怎么写、一份合同怎么初审。

前两层是长期挂着的背景，第三层是按需取用的动作。这个区分很重要，因为它直接决定了 skill 为什么“便宜”。

顺带补一条容易被漏掉的：MCP 侧也有对应动作。2026 年 9 月，Skills 扩展提案 SEP-2640 达到 Final 状态并合并，MCP server 可以用 skills/list、skills/get 发布 skill。但它明确规定了一件事——通过协议读取 SKILL.md 本身并不激活 skill，宿主仍然走自己的审批路径。也就是说，“能拿到”不等于“会执行”，审批这道关被刻意留在了宿主手里。

为什么装几百个 skill 几乎不花钱？靠的是渐进式披露，一共三级。

第一级：启动时只加载每个 skill 的名字和描述，大约一百个 token。你装三百个 skill，也只是三百行目录条目。

第二级：当你说的一句话和某个描述对上了，才去读那份 SKILL.md 的正文，通常不到五千个 token。

第三级：脚本和参考文件只在真需要时才加载或执行。关键在这一句——脚本代码本身不进上下文，进上下文的是它跑完的输出。

所以对读者来说，“装很多”和“每次都很贵”根本不是一回事。你可以放心把细节堆进去，代价只在被用到的那一次才付。

再补一件事：在 Claude Code 里，skill 不是“上传”上去的，它就是文件。个人级放在 ~/.claude/skills/ 目录下，项目级放在项目的 .claude/skills/ 里。能复制，能进 Git，能发给同事。

写菜谱的方法，就是写 SOP 的方法。现在说回饺子。

你要把包饺子的流程写清楚，其实只做三件事：说清它什么时候被用上（“周末在家包饺子时”），说清步骤（和面、醒面、调馅、包、煮），说清验收标准（煮成什么样算熟、馅太干怎么补救）。

这套动作，和给团队写一份“客户投诉响应 SOP”，是一模一样的。

我的判断是：很多人写 skill 写不好，不是不懂 AI，是从来没认真写过一份流程。写菜谱的经验反而更管用——步骤要能照着做，不能靠意会；例外情况要写明分支；结束状态要可以检查。

把生活里那些“只有你清楚”的流程写出来，工作的部分往往也就跟着写出来了：口径是什么，例外怎么处理，做成什么样算合格。这些东西往年躺在 Wiki 里没人看，现在它们能被 AI 逐条执行。

怎么写一个真会被触发的 skill？开放标准规定的开头字段只有六个：name、description、license、compatibility、allowed-tools、metadata。硬约束是：name 不超过 64 个字符，只能小写字母、数字、连字符，不能包含“anthropic”或“claude”；description 不能为空，且少于 1024 个字符。

最容易写错的是 description。它不是标签，是触发器。必须用第三人称同时说清“做什么”和“什么时候用”，还要带具体名词。写成“帮你处理文档”，它基本永远不会被触发；写成“把会议录音整理成带待办事项的纪要，用于例会结束后输出”，命中率完全不同。

正文控制在 500 行以内，超出的细节挪进 references 目录，让 AI 按需去翻。

还有一个坑：Claude Code 支持一批额外字段（比如 when_to_use、argument-hint、context 分支之类），但这些字段在其他客户端是硬报错，不是静默忽略。所以准备对外发布的 skill，只写那六个标准字段。

标准这一面讲完了，另一面没那么体面。

Snyk 在 2026 年 2 月的《ToxicSkills》分析里，扫描了近四千个公开 skill，结果分三层，别混着读。

第一层，约 13%（五百多个）至少有一个 Critical 级问题。Critical 指这三类：提示注入、恶意代码、可疑下载。

第二层，超过三分之一（近一千五百个）至少有一个任意严重程度的安全缺陷，包括硬编码 API key、不安全的凭证处理、危险的第三方内容暴露。

第三层，人工复核确认七十多个含真正的恶意 payload——凭证窃取、后门植入、数据外传。报告发布时，其中还有几个公开挂在 clawhub.ai 上。

更值得注意的是检测分布：在那些已确认恶意的样本里，全部命中恶意代码模式，九成以上同时使用了提示注入。顺序基本是固定的——先用注入把智能体说服，再由代码干活。它还有一层含义：恶意 payload 可以完全用自然语言写出来，不需要任何编程能力。

而进这个市场的门槛低到什么程度？按 Snyk 的说法，在 ClawHub 发布一个 skill，只需要一份 SKILL.md 加一个注册满一周的 GitHub 账号。没有代码签名，没有安全审查，默认不沙箱。这比任何百分比都更能说明问题。

ClawHub 是 OpenClaw 的官方 skill 市场。按 Koi Security 对一万多个技能的审计，恶意 skill 数量从 2026 年 2 月的三百多个，增加到 3 月的八百多个。

最典型的是 ClawHavoc 行动：通常记录为三百多个恶意 skill，也有统计（OWASP 引用）把这次行动计为最多一千多个、横跨 12 个发布者账号。两个口径并列，别当成定论。它们伪装成代码格式化、写作助手、项目管理集成这类正常的生产力工具，实际分发 macOS 窃密木马 AMOS。

手法值得记住——刷星刷好评先造信任；然后延迟激活：上传和首次扫描时是干净的，几天或几周后靠一次“小更新”投毒，部分变体还要跑够若干次会话才触发；再用 Base64 或分片混淆；外传时走真实 API 而不是明显的 C2 地址；最后用几十个账号分散发布。后来 ClawHub 接入了 VirusTotal 扫描，低水平的被拦下了，精心构造的照样通过。

还有 Capability Evolver，ClawHub 上最流行的 skill 之一，安装量三万多，被发现把数据外传到飞书。

真正要紧的是这里：skill 以智能体的权限运行，能读文件、能用智能体持有的凭证；而它的指令是自然语言。当同一个标准被七十多个平台共同读取，一个坏 skill 就不再是某个市场的问题，而是跨厂商的供应链问题。

云安全联盟（CSA）在 CISO Briefing 里的一句话，是对这件事最准确的定性：“The attack surface is not a code path — it is a document that agents are designed to trust and follow.”——攻击面不是一段代码路径，而是一份智能体被设计成要信任并照做的文档。

装之前，做这几件事。不需要会编程，因为 SKILL.md 是纯文本。

第一，查发布者的 GitHub 账号。注册不到三个月、没有其他仓库、用户名像自动生成的，直接放弃。

第二，通读 SKILL.md 全文。重点看五样：指向陌生域名的 curl、wget、fetch；对 .ssh 目录、.config 目录、浏览器 profile 或钱包文件的访问；Base64 这类编码串；任意脚本执行，尤其是 curl 管道接 bash 那种；系统提示覆盖，比如“ignore previous instructions”“you are now”开头的句子。

第三，看这个 skill 的 Issues 和讨论区。安全研究者往往在官方下架之前就报过。

第四，别把下载量当安全信号。安装量三万多的那一个，就是反例。

还有一条过程规则值得抄进团队规范：skill 的作者不应该是自己的审查者。原文是“Skill authors should not be their own reviewers.”

我的判断是：标准被捐给基金会，真正的变化不是“大公司做公益”，而是你做事的方法第一次有了可移植的容器。以前它只存在于你的脑子里、某个人的聊天记录里、一份没人打开的 Wiki 里。

但也别急着兴奋。约 13% 的严重问题和近三亿次安装，是同一件事的两面：用的人越多，可被利用的入口越多。

最后提醒一句：随这次捐赠公布的路线图目前只是提案，尚未批准，包括版本化发布、正式的提案流程、面向 skill 作者与安装者的安全指引。最后这一条，才是现在最缺的东西。

（信源：Anthropic 2026 年 10 月 22 日关于捐赠 Agent Skills 至 AAIF 的官方公告；AAIF 项目与成员组织信息；MCP 规范扩展提案 SEP-2640（2026 年 9 月合并）；Snyk《ToxicSkills》报告（2026 年 2 月）及其研究博客；Koi Security 对 ClawHub 的审计（2026 年 2 月至 3 月）；云安全联盟 CISO Briefing；OWASP Agentic Skills Top 10。其中平台集成数、公开 skill 数与累计安装量出自 Anthropic 官方口径，属厂商自述，未经独立第三方核实。）