过去，开发者们见面时交换的是提示词（prompt）模板。如今，情况发生了变化，大家更关心的是应该安装哪些技能（skill）。这标志着一个重要的转变：AI编程工具开始具备“安装包”的功能。

1月17日，Vercel的创始人兼CEO Guillermo Rauch在X（原Twitter）上宣布，Vercel推出了skills，将其定位为AI技能的“npm”。“npm”是前端工程师常用的包管理器，允许用户通过一条命令将他人编写好的代码集成到自己的项目中。Rauch的意思是，这种“一行命令集成他人成果”的便捷体验，现在也被引入到AI领域。

Peter Steinberger，一位在AI领域有影响力的开发者，立即回应称“酷！得跟ClawHub同步一下。”ClawHub是另一个智能体生态系统的技能市场，与Vercel并非同一家公司，但Peter的反应表明了行业内对这种新模式的关注和合作意愿。

三天后，Vercel在其更新日志中正式发布了skills，一个用于为智能体安装和管理能力包的命令行工具。其官方仓库vercel-labs/skills，在发布仅五个月后，就在GitHub上获得了2.4万的星标。

该工具的火爆归因于其极简的操作方式，仅需一条命令：“npx skills add 。”本质上，它充当了AI智能体的包管理器。与npm安装代码库不同，skills安装的是AI的“能力”。更令人瞩目的是，它支持广泛的AI工具，包括Claude Code、Cursor、Codex、Gemini CLI等，官方已支持超过68种智能体。这意味着一份能力包可以跨不同工具运行。

Vercel还同步上线了skills.sh，一个技能目录和安装量排行榜，清晰展示了各项技能的热度和使用情况。其中，名为find-skills的包的安装量已达到230万次。skills.sh上的排行榜显示，find-skills以230万次安装量位居榜首，紧随其后的是frontend-design、vercel-react-best-practices等。AI编程能力首次拥有了“热门下载”的排行榜。

一行命令：AI学会了一门新手艺

具体而言，用户可以通过执行“npx skills add vercel-labs/agent-skills”命令，为Claude Code等AI工具添加一套React、Next.js的工程规范和设计准则。这些被官方称为“技能包（skill）”的集合，本质上是一个包含YAML头部SKILL.md文件的文件夹，用于说明技能的性质和适用场景。文件夹内还可以包含参考文档、模板以及可执行的脚本。

该工具解决了AI模型在理解项目特定“土规矩”，如代码风格、命名习惯和常见陷阱等方面的不足。过去，这些只能通过反复在对话中向AI解释，现在则可以通过打包成skill，一次性安装并长期生效。用户还可以像管理npm包一样管理这些技能：使用list查看已安装的技能，update进行更新，remove进行卸载。底层共享规范的优势在于，用户在Claude Code中安装的技能，同样可以在Cursor等其他工具中使用。

此外，对于不想进行本地安装的用户，还提供了“直接使用”的轻量级模式。通过“npx skills use”，用户可以临时调用技能，通过管道将其输入给AI运行，用完即走，不会在本地留下痕迹。这标志着AI的能力边界不再局限于用户的描述，而是变成了可以直接获取和使用的模块化组件。

AI工具层的“npm化”

尽管skills看起来像是Claude的新功能，但它实际上是Vercel推出的，并非Anthropic的原生能力。该工具支持Claude Code、Cursor、Codex、GitHub Copilot、Windsurf等多种AI工具，通过skills CLI整合到一个统一的入口。

这背后反映了AI工具层正在经历“npm化”的过程。Vercel将零散的开发经验封装成可复用、可分发、可版本管理的模块。AI能力正从“提示词工程”（prompt engineering），即关注如何一次性地向AI提出指令，转向“能力工程”（capability engineering），即关注如何使AI能够长期、规范地执行某项任务。

Vercel此前通过Next.js在前端生态部署领域占据了重要地位。如今，它试图在AI智能体层面复制类似的策略，将开发者生态系统整合到其平台中。

Find Skills：AI第一次有了“能力搜索引擎”

Find Skills是该项目中最具前瞻性的部分，它本身就是一个“寻找技能的技能”。其官方定义是，当用户询问“如何做X”或“有没有能……的技能”时，它负责发现并安装相应的智能体技能。

用户只需提出需求，find-skills就能自动完成搜索、筛选并安装最匹配的技能。它还内置了质量检验机制，在选择技能时会优先考虑安装量和来源，偏好热门或官方发布的技能，并对来源不明的技能发出警告。

find-skills技能的SKILL.md源码明确了推荐前的三项质检规则：安装量优先1000+，警惕100以下；来源优先Vercel、Anthropic、微软等官方源；仓库星标低于100的需存疑。

这使得AI第一次拥有了“能力搜索引擎”。用户无需了解具体技能的名称或存在，只需描述需求，AI即可自行查找。更重要的是，这不仅对程序员有益，对于设计师、产品经理、内容创作者等非技术人员也极具价值。他们往往缺乏工程化思维，更需要现成的技能包来辅助工作。Find Skills为他们提供了一个无需深入技术细节即可调用AI能力的入口。

热闹背后：是一笔没人兜底的账

尽管skills带来了诸多便利，但用户在安装和使用第三方技能时仍需谨慎。技能包中的scripts目录包含可执行逻辑，而非简单的说明，这意味着它们可能在用户计算机上执行命令。用户在安装时往往难以完全了解其具体操作。

安全公司Snyk的研究对ClawHub和skills.sh上的3984个技能进行了审计，发现超过三成存在安全缺陷，其中13.4%（534个）为严重级别，包括恶意软件分发、提示词注入和密钥泄露等。另一机构Koi Security审计了2857个技能，发现341个存在恶意行为。

主要的攻击手段包括：通过脚本让AI从未知IP下载并执行文件，或窃取SSH、AWS配置；以及在SKILL.md的文本中植入恶意指令，诱导AI执行。部分攻击甚至会针对智能体存储隐私对话的记忆文件。

与npm安装纯代码不同，skills模糊了数据和指令的界限，将提示词、代码和权限整合在一起。一个SKILL.md文件即可改变智能体的行为，并直接访问用户的文件系统、网络和shell。npm的漏洞可能影响构建产物，而skills的漏洞则可能危及用户的本地凭证和整个代码库。

Vercel也提醒用户，应将技能视为代码，安装前仔细阅读，并对scripts目录保持警惕。最基本的操作是，下载量大不等于安全，应关注技能的来源和请求的权限。例如，一个天气查询技能若要求读取服务器的SSH密钥，则存在明显风险。

AI能力的“npm时刻”已经到来，但同时也带来了npm生态系统多年来积累的安全隐患。虽然一行命令安装能力非常便捷，但这个领域仍处于早期阶段。它鼓励了能力的复用，但也要求用户具备辨别和判断的能力。如同开发者在处理npm包时需要检查来源和权限一样，在AI技能领域，这些老练的开发习惯依然至关重要。

二十年：一行命令

这一切的开端可以追溯到Vercel创始人Guillermo Rauch。他来自阿根廷布宜诺斯艾利斯，将自己的事业很大程度上归功于Web和开源。少年时期，他热衷于推广Linux，随后投身JavaScript开发。18岁时，他加入了开源项目MooTools的核心团队，并获得了第一份前端工程师的全职工作，移居旧金山。

Guillermo Rauch的知名作品之一是Socket.io，一个广泛使用的实时通信库，被Notion和Coinbase等公司采用。之后，他专注于开发工具和云基础设施，以提升Web性能和开发者体验，由此诞生了Next.js和Vercel。目前，Vercel平台支撑着《华盛顿邮报》、保时捷、Under Armour、任天堂等众多知名公司的线上业务。

Vercel的核心竞争力在于其将复杂的工程流程简化为开发者能够轻松执行的“一行命令”。从最初的“now”命令创建服务器，到Next.js，再到如今的npx skills add，Rauch一直致力于将复杂的操作压缩成简单、可靠的命令，而现在，这项技能被应用到了AI智能体领域。