狂揽2.4万星标：一行命令，AI会自己找技能了 - 蜘蛛直播首页

蜘蛛直播：五大联赛高清直播，精彩赛事不错过

2026-07-05

过去，开发者们交流的焦点是提示词（prompt）模板。如今，趋势已然转变，大家更关心的是需要安装哪些技能（skill）。这一变化背后，预示着AI编程工具正迈入「包管理」时代。

今年1月17日，Vercel的创始人兼CEO Guillermo Rauch在X平台上宣布，Vercel正在推出skills，一个AI技能的「npm」。正如前端工程师们熟知的npm包管理器，能够通过一行命令将他人开发的功能集成到自己的项目中，Rauch的意图是，这种便捷的集成体验即将扩展到AI领域。

Peter Steinberger，被誉为「龙虾之父」，立即在评论区表示赞赏，并提议与ClawHub进行同步。ClawHub是另一个独立的智能体生态技能市场，尽管与Vercel并非同一阵营，Peter的反应却凸显了跨平台协作的潜力。

三天后，Vercel在更新日志中正式发布了这项功能：一个用于为智能体安装和管理能力包的命令行工具。其官方仓库vercel-labs/skills，在短短五个月内便获得了2.4万个GitHub星标。

这项功能的爆火，得益于其极致的简洁性——仅需一行命令：npx skills add 。这实际上是为AI智能体（AI agent）设计的包管理器。与npm安装代码库不同，它安装的是AI的「能力」。

更强大之处在于其广泛的兼容性。Claude Code、Cursor、Codex、Gemini CLI等超过68种官方支持的智能体均可使用。这意味着一个能力包可以跨不同工具运行。Vercel还推出了skills.sh，一个技能目录和安装量排行榜，清晰展示了各技能的热门程度。其中，名为find-skills的包安装量已突破230万次，标志着AI编程能力首次拥有了「热门下载」的排行榜。

一行命令，AI学会了一门新手艺

具体而言，当开发者执行 npx skills add vercel-labs/agent-skills 命令后，Claude Code便能获得一套React、Next.js的工程规范及设计准则，并在后续的代码编写中自动遵循。这些官方称之为「技能包（skill）」的组件，本质上是一个包含SKILL.md文件的文件夹，该文件阐述了技能的定义和适用场景。技能包还可包含参考文档、模板以及可执行脚本。

这项功能解决了AI模型在理解项目特定「土规矩」方面的不足，例如代码风格、命名习惯等。以往需要反复向AI解释的细节，现在可以打包成一个skill，一次安装，长期生效。用户还可以像管理npm包一样，使用list查看已安装技能，update进行更新，remove进行卸载。底层共享规范的特性，使得在Claude Code中安装的技能，同样能在Cursor中运行。

对于不想本地安装的用户，还可以选择临时使用。通过 npx skills use 命令，可以临时加载技能并与AI模型结合使用，用完即弃，不占用本地资源。这标志着AI能力从依赖于用户口头描述，转变为可以直接获取和使用的模块化组件。

AI工具层的「npm化」

虽然这项功能可能被误认为是Claude的内置能力，但它实际上源自Vercel。Claude Code、Cursor、Codex、GitHub Copilot、Windsurf等多种AI工具均被支持，skills CLI提供了一个统一的接入入口。这反映出AI工具层正经历「npm化」的转变，Vercel将零散的AI应用经验封装成可复用、可分发、可版本管理的模块。AI能力的发展正从「提示词工程」转向「能力工程」，后者旨在解决「这件事以后都这么干」的问题。

Vercel在此前的Next.js产品中，已成功确立了其在前端生态部署领域的领导地位。如今，它试图在AI智能体层面复制同样的成功模式。

Find Skills，AI第一次有了「能力搜索引擎」

其中最具前瞻性的功能是Find Skills，它被定义为「找技能的技能」。当用户提出具体需求或希望扩展AI能力时，Find Skills能够搜索并安装最匹配的智能体技能。它会自动完成搜索、筛选和安装流程，并内置了基于安装量和来源的质检机制，优先推荐热门和官方来源的技能，并对可疑技能发出警告。

这为AI提供了首个「能力搜索引擎」。用户无需了解具体的技能名称，只需描述需求，AI便能自主寻找并安装所需的技能。更重要的是，这项功能不仅对程序员有益，也为设计师、产品经理、内容创作者等非技术用户提供了便捷的AI能力获取途径，使他们能够轻松调用现成的技能包。

热闹背后，是一笔没人兜底的账

尽管前景光明，但使用技能包也存在潜在风险。技能包中的脚本可能执行任意命令，用户在安装第三方包时，往往难以全面了解其具体操作。安全公司Snyk的研究显示，在ClawHub和skills.sh上的大量技能包存在安全缺陷，包括恶意软件分发、提示词注入和密钥泄露。

主要的攻击手法包括：通过脚本让AI下载并执行未知来源的文件，或窃取敏感配置信息；以及通过在SKILL.md文件中嵌入恶意指令，诱导AI执行非预期操作，甚至窃取智能体存储的隐私对话记忆文件。

与npm不同，skills将提示词、代码和权限整合在一起，一个SKILL.md文件就能改变智能体的行为，并直接访问本地文件系统、网络和Shell，风险等级更高。Vercel也提醒用户，应将技能包视为代码，安装前仔细阅读，并对scripts目录保持警惕。

尽管下载量大不代表安全，但关注来源和权限至关重要。例如，一个天气查询技能若要求访问服务器的SSH密钥，则存在明显异常。AI能力的「npm时刻」虽然带来了便利，但也伴随着npm早期经历的各种安全隐患，且这些风险在生态系统尚未成熟时便已显现。

一行命令安装能力固然便捷，但这条道路才刚刚开始。它既能让用户复用他人的经验，也要求用户具备审慎判断的能力。在选择和安装技能包时，开发者仍需运用老练的经验，关注来源、权限和潜在风险。

二十年，一行命令

这一切的起点，是Vercel创始人Guillermo Rauch。他自少年时期便投身于Web和开源技术，从推广Linux到加入MooTools核心团队，再到18岁成为前端工程师。

Rauch的早期贡献包括广受欢迎的实时通信库Socket.io。随后，他专注于构建工具和云基础设施，以提升Web性能和开发者体验，由此诞生了Next.js和Vercel。如今，Vercel平台支撑着众多知名公司的线上业务。

Vercel的核心优势在于其将复杂的开发流程简化为一行命令即可完成的操作，极大地提升了开发者体验，使用户难以离开其生态系统。Rauch二十年来始终致力于将复杂的工程流程压缩为开发者能够信任执行的一行命令。从最初的 now 命令创建服务器，到Next.js，再到如今的 npx skills add，他将同样的理念和技术应用到了AI智能体领域。

蜘蛛直播专注蜘蛛体育，为用户提供专业可靠的体验。

蜘蛛直播深耕高清流畅的赛事直播体验领域，用心服务每一位用户。

总结

在同步全球热门赛事的实时比分与新闻方面，蜘蛛直播提供贴心周到的支持。