最新资讯 - 捕鱼达人

以往开发者们交流的是提示词（prompt）模板，而如今焦点已转移至需要安装哪些技能（skill）。这一变化标志着AI编程工具正朝着“安装包”的模式演进。

1月17日，Vercel创始人兼CEO Guillermo Rauch在X平台宣布，Vercel正在推出skills，将其定位为AI技能的“npm”。“npm”是前端工程师常用的包管理器，允许用户通过一条命令引入他人开发的成熟功能。Rauch的此番言论暗示，这种“一行命令集成他人成果”的便捷体验将应用于AI领域。

Peter Steinberger，被誉为“龙虾之父”，立即回应称对此表示赞赏，并提及需要与ClawHub进行同步。ClawHub是另一个智能体生态的技能市场，与Vercel并非同一实体。然而，Peter的即时反应表明了跨平台协作的意愿。

三天后，Vercel在其更新日志中正式发布了skills，一个用于智能体安装和管理能力包的命令行工具。该工具的官方仓库vercel-labs/skills，在发布仅五个月内，就在GitHub上获得了2.4万个星标。

其火爆的原因在于其极简的操作方式：只需执行一条命令 npx skills add 。这本质上是为AI智能体（AI agent）提供了一个包管理器。与前端工程师使用npm引入代码库类似，skills允许用户安装“能力”。

更具吸引力的是，skills支持广泛的工具，包括Claude Code、Cursor、Codex、Gemini CLI等，官方已支持超过68种智能体。这意味着一个能力包可以在多种工具中通用。

Vercel还同步上线了skills.sh，一个集技能目录和安装量排行榜于一体的平台，清晰展示了各项技能的受欢迎程度。其中，名为find-skills的包安装量已超过230万次。

skills.sh上的技能目录安装量排行榜显示，find-skills以230万次安装量位居榜首，frontend-design、vercel-react-best-practices等紧随其后。AI编程能力首次拥有了公开的“热门下载”排行榜。

一行命令

AI学会了一门新手艺

具体而言，执行 npx skills add vercel-labs/agent-skills 命令后，Claude Code将获得一套React、Next.js的工程规范及设计准则，AI在后续的代码编写中将自动遵循这些规则。官方称之为“技能包（skill）”，其核心是一个带有YAML头的SKILL.md文件，说明技能的性质和适用场景。技能包内还可包含参考文档、模板以及一个scripts/目录，用于存放可执行脚本。

该工具解决了AI模型仅懂通用编程语言和框架，却不了解项目特定“土规矩”（如代码风格、命名习惯、常见问题）的痛点。过去，这些信息需要开发者在每次对话中重复输入，现在通过打包成skill，一次安装即可长期生效。用户还可以像管理npm包一样管理技能：使用list查看已安装列表，update进行更新，remove进行删除。底层共享规范使得在Claude Code中安装的技能，在Cursor中同样适用。

此外，还提供了更轻量级的“直接使用”模式。通过 npx skills use 命令，用户可以临时加载技能并将其应用于Claude，使用完毕后即可卸载，不影响本地环境。这使得AI的能力不再局限于用户的描述，而是转化为可以直接获取和使用的模块。

AI工具层的「npm化」

尽管skills可能被误认为是Claude的新功能，但它实际上是由Vercel推出的，而非Anthropic的原生能力。该工具支持Claude Code、Cursor、Codex、GitHub Copilot、Windsurf等多种智能体，通过skills CLI整合了它们，提供统一的入口。

这标志着AI工具层正经历“npm化”的过程。Vercel将零散的开发经验封装成可复用、可分发、可版本管理的模块。AI能力正从“提示词工程”（Prompt Engineering）转向“能力工程”（Capability Engineering），前者关注单次交互的表达，后者则着眼于长期、标准化的执行方式。

Vercel在此前已通过Next.js在前端生态部署入口占据重要地位。如今，它试图在AI智能体层面复制类似的成功模式。

Find Skills

AI第一次有了「能力搜索引擎」

Find Skills是一个“找技能的技能”，极具前瞻性。

find-skills技能的官方定义是：当用户询问“如何做X”、“有没有能……的技能”或希望扩展能力时，它负责发现并安装相应的智能体技能。用户只需说明需求，它便能自动完成搜索、筛选并安装最匹配的技能。

Find Skills还内置了质量检测机制，在选择技能时会优先考虑安装量和来源，偏好热门和官方发布的技能，并对来源不明的技能发出警告。

find-skills技能的SKILL.md源码明确规定了推荐前的三项质检规则：安装量优先1000+，警惕100以下；来源优先Vercel、Anthropic、微软等官方源；仓库星标低于100需存疑。

这意味着，AI首次拥有了自身的“能力搜索引擎”。用户无需了解技能名称，只需描述目标，AI即可自主寻找。

更重要的是，Find Skills的价值不仅限于程序员。设计师、产品经理、内容创作者等非技术人员，在AI辅助编程方面受“能力散装”的困扰尤甚，他们更需要现成的技能包来支持工作。Find Skills为他们提供了一个无需深入技术细节即可调用AI能力的入口。

热闹背后

是一笔没人兜底的账

尽管前景诱人，但用户仍需谨慎。技能包中的scripts目录包含执行逻辑，而非简单的说明，这意味着它们可能在用户电脑上执行命令。许多用户可能并未仔细审查第三方包的具体操作。

安全公司Snyk的研究揭示了潜在风险：对ClawHub和skills.sh上的3984个技能进行审计后发现，超过三成存在安全缺陷，其中13.4%（534个）为严重级别，涉及恶意软件分发、提示词注入（prompt injection）和密钥泄露。

另一机构Koi Security审计了2857个技能，发现了341个恶意技能。主要的攻击手法包括：通过脚本让AI从未知IP下载并执行文件，或窃取SSH、AWS配置；利用SKILL.md文件中的隐藏指令，诱导AI执行恶意操作；甚至窃取智能体存储隐私对话的记忆文件。

与npm安装纯代码不同，skills将提示词、代码和权限结合在一起，一个SKILL.md文件即可修改智能体的行为，并直接访问文件系统、网络和shell。npm的漏洞可能影响构建产物，而skills的漏洞则可能直接威胁本地凭证和代码库。

Vercel也提示用户，应将技能视为代码，安装前仔细阅读，并对scripts目录保持高度警惕。用户应关注技能的来源和所需权限，例如，一个天气查询技能若索要SSH密钥，则存在明显异常。

AI能力的“npm时刻”已经到来，但它也带来了npm发展过程中积累的风险，且这些风险在生态成熟前就已显现。一行命令安装能力固然便捷，但这一领域尚处于起步阶段，需要用户在享受便利的同时，保持审慎的判断。开发者需要像以往一样，在选择包、检查来源和验证权限方面运用自身经验。

二十年

一行命令

这一切的起点是Vercel创始人Guillermo Rauch。他来自阿根廷布宜诺斯艾利斯，其职业生涯深受Web和开源的影响。少年时期，他积极推广Linux，后投身JavaScript开发，18岁即成为前端工程师。

Guillermo Rauch的成名作之一是Socket.io，一个广泛应用的实时通信库，为Notion和Coinbase等产品提供底层支持。此后，他专注于开发工具和云基础设施，旨在提升Web性能和开发者体验，由此诞生了Next.js和Vercel。

Vercel平台支撑着《华盛顿邮报》、保时捷、Under Armour、任天堂等众多知名公司的线上业务。其核心竞争力在于提供从代码编写、预览到上线的全流程自动化，将复杂的工程流程简化为开发者能够轻松执行的一行命令。

Rauch二十年来始终致力于将复杂的工程任务压缩成开发者可信赖的一行命令。从最初的 now 命令创建服务器，到Next.js，再到如今的 npx skills add，他将同样的理念和技术应用到了AI智能体领域。

捕鱼达人围绕捕鱼达人APP不断创新，回应用户的真实需求。