狂揽2.4万星标：一行命令，AI会自己找技能了
过去，AI开发者交换的是提示词模板；如今，风向转变为互相推荐可安装的“技能”（skill）。Vercel推出的Skills项目，正致力于成为AI智能体的“npm”包管理器。通过一行命令（如 `npx skills add <package>`），开发者可以为Claude Code、Cursor等多种AI工具快速安装能力包，涵盖代码规范、设计准则等，实现能力的即装即用和跨工具共享。
该项目上线五个月便在GitHub获得2.4万星标，并配套上线了技能目录网站skills.sh，设有安装量排行榜。其中，“find-skills”技能尤为突出，安装量超230万次，它能让AI根据用户需求自动搜索、筛选并安装合适的技能，相当于为AI提供了“能力搜索引擎”。
这标志着AI编程正从“提示词工程”迈向“能力工程”，将零散经验封装为可复用、可版本管理的模块。Vercel此举意在复制其通过Next.js卡位前端生态的成功经验，在AI智能体工具层建立新入口。
然而，热潮背后存在安全隐患。安全审计发现，技能包中约有13.4%存在严重安全缺陷，可能携带恶意脚本、进行提示词注入或窃取密钥。与传统的npm包不同，技能包融合了提示词、代码和执行权限，风险直接触及本地系统和敏感数据。因此，用户需要像对待代码一样谨慎选择技能，仔细审查来源和所需权限。
Vercel创始人Guillermo Rauch的长期目标，正是将复杂工程简化为“一行命令”的极致体验。从Now、Next.js到如今的Skills，这一理念正被应用于AI领域，在带来便利的同时，也要求开发者带着判断力进场，共同迎接AI能力“npm化”的机遇与挑战。
marsbit07/06 00:19
