开发者们过去分享的是提示词（prompt）的模板，但现在交流的重心已转向需要安装哪些技能（skill）。这一变化标志着AI编程工具领域正经历一场重大演进：AI开始具备“安装包”的能力。
Vercel创始人兼CEO Guillermo Rauch于1月17日发推文宣布，他们推出了skills，意在成为AI技能的“npm”。npm是前端工程师常用的包管理器，允许用户通过一条命令引入他人开发的组件。Rauch的此举表明，这种便捷的“一行命令集成他人成果”的模式，正被引入AI领域。
Peter Steinberger，被称为“龙虾之父”，对此表示赞赏，并提议与ClawHub同步。ClawHub是另一生态系统中的技能市场，与Vercel并非同一公司，但Steinberger的反应显示了跨平台协作的潜力。
三天后，Vercel在其更新日志中正式发布了skills，这是一个用于安装和管理AI智能体能力包的命令行工具。其官方仓库vercel-labs/skills在短短五个月内，已在GitHub上获得了2.4万个星标。
该工具的流行得益于其极简的操作方式，只需一条命令：npx skills add 。这实质上是为AI智能体提供了一个包管理器。与npm为开发者安装代码库不同，skills安装的是AI的“能力”。
更强大的是，skills支持广泛的AI工具，包括Claude Code、Cursor、Codex、Gemini CLI等，已支持超过68种智能体。这意味着一个能力包可以在多个工具上运行。Vercel还推出了skills.sh，一个展示技能目录和安装量排行榜的平台，让用户可以直观了解哪些技能最受欢迎。其中，名为find-skills的包的安装量已达到230万次。
AI编程能力首次拥有了公开的“热门下载”排行榜。
一行命令：AI掌握新技能
通过执行npx skills add vercel-labs/agent-skills，用户可以在Claude Code中集成React、Next.js的工程规范和设计准则，使AI在后续的代码编写中遵循这些规则。官方称之为“技能包（skill）”，其核心是一个包含YAML头部信息的SKILL.md文件，用于定义技能内容和使用场景。技能包还可包含参考文档、模板及可执行脚本。
此功能解决了AI模型虽然理解通用编程语言和框架，但缺乏对特定项目“土规矩”（如代码风格、命名习惯、常见问题）的认知问题。过去，开发者需要反复向AI解释这些细节，而现在，这些信息可以打包成一个skill，一次安装即可长期生效。用户还可以像管理npm包一样，使用list、update、remove命令来管理已安装的技能。
更便捷的是，用户还可以选择不安装，而是通过npx skills use命令临时调用技能，用完即弃，不会在本地留下痕迹。这使得AI的能力边界不再局限于开发者的描述，而是转化为可直接获取的模块。
AI工具层的“npm化”
尽管skills看似是Claude的新功能，但它实际上源自Vercel，而非Anthropic的原生开发。该工具支持Claude Code、Cursor、Codex、GitHub Copilot、Windsurf等多种AI工具，统一了AI能力的入口。
Vercel此举标志着AI工具层开始走向“npm化”，将零散的开发经验封装成可复用、可分发、可版本管理的模块。AI能力的发展正从“提示词工程”转向“能力工程”，后者关注的是如何实现长期、标准化的工作流程。
Vercel曾通过Next.js在前端生态部署领域占据重要地位，如今，它试图在AI智能体层面复制这一策略。
Find Skills：AI的首个“能力搜索引擎”
Find Skills是一个极具前瞻性的“找技能的技能”。其官方定义为：当用户询问“如何做X”或“有没有能……的技能”时，它负责发现并安装相应的智能体技能。
用户只需提出需求，Find Skills便能自动完成搜索、筛选和安装最匹配技能的流程。它还内置了质量检查机制，优先推荐安装量大、来自官方（如Vercel、Anthropic、微软）的技能，并对来源不明或星标数低的技能发出警示。
这意味着AI首次拥有了自己的“能力搜索引擎”。用户无需了解具体技能的名称，只需表达需求，AI即可自动寻找并应用。
此功能不仅对程序员有益，对于依赖AI进行代码编写的设计师、产品经理、内容创作者等非技术用户而言，更具价值。他们通常缺乏工程化思维，更需要现成的技能包来辅助工作。Find Skills为他们提供了一个无需深入了解技术细节即可调动AI能力的入口。
热闹背后的风险
尽管skills带来了诸多便利，但潜在的安全风险不容忽视。技能包中的scripts目录包含可执行逻辑，而非简单的说明文字，可能在用户电脑上执行命令。用户在安装第三方包时，往往难以全面了解其具体操作。
安全公司Snyk的研究显示，对ClawHub和skills.sh上的3984个技能进行审计后，发现超过三成存在安全缺陷，其中13.4%（534个）为严重级别，涉及恶意软件分发、提示词注入和密钥泄露。这意味着平均每7到8个技能中，就有一个可能带来风险。
另一家机构Koi Security审计了2857个技能，发现了341个恶意技能。主要的攻击手法包括：通过脚本让AI从未知IP下载并执行文件，或窃取SSH、AWS配置；以及在SKILL.md文本中植入恶意指令，诱导AI执行。更严重的攻击甚至会窃取AI的记忆文件。
与npm安装纯代码不同，skills将提示词、代码和权限整合在一起，一个SKILL.md文件即可改写AI行为，并直接访问用户的本地文件系统、网络和shell。npm的风险主要影响构建产物，而skills的风险则可能直接威胁用户的本地凭证和整个代码库。
Vercel也提醒用户，应像对待代码一样对待技能包，安装前仔细阅读，并对scripts目录保持警惕。一个简单的判断标准是，下载量大的技能不一定安全，关键在于其来源和申请的权限。例如，一个天气查询技能若要求读取服务器的SSH密钥，则存在明显异常。
AI能力的“npm时刻”已经到来，但它也带来了npm生态系统多年来积累的风险，并且是在生态系统尚未完全成熟的阶段。一行命令安装能力固然便捷，但这条道路才刚刚开始。它允许开发者复用他人的经验，但也要求用户具备辨别能力。
在选择和安装技能时，开发者仍需运用老练的经验，关注来源、权限和潜在风险。
二十年：一行命令的演进
这一切的起点可以追溯到Vercel创始人Guillermo Rauch。Rauch来自阿根廷布宜诺斯艾利斯，他认为自己大半生的事业都受益于Web和开源。少年时期，他积极推广Linux，后来投身JavaScript领域。加入MooTools核心团队后，18岁便获得了第一份前端工程师全职工作，并移居旧金山。
他最为人熟知的作品之一是Socket.io，一个广泛应用的实时通信库，曾被Notion和Coinbase等公司使用。此后，他专注于开发工具和云基础设施，旨在提升Web性能和开发者体验，Next.js和Vercel由此诞生。Vercel平台目前支撑着《华盛顿邮报》、保时捷、Under Armour、任天堂等众多知名公司的线上业务。
Vercel的核心竞争力在于其高效的开发流程：写代码、预览、上线，全部通过一行命令完成。一旦开发者体验到这种便捷，便很难离开Vercel的生态系统。
本质上，Rauch二十年来一直在做同一件事：将复杂的技术流程简化为开发者可以轻松执行的一行命令。从最初的now命令创建服务器，到Next.js，再到如今的npx skills add，他将同样的理念应用到了AI智能体领域。
熊猫体育以连接体育教育资源与行业专家为核心，带来高效便捷的体验。