以往，开发者们交流的焦点是提示词（prompt）模板，但现在，焦点已经转移到AI的“技能”（skill）安装上。这一变化标志着AI编程工具领域正在经历一场“组件化”的重大升级。

1月17日，Vercel创始人兼CEO Guillermo Rauch在X平台宣布，Vercel推出了名为skills的AI技能“npm”。“npm”是前端工程师常用的包管理器，允许用户通过一行命令集成他人编写好的代码。Rauch的意图是，将这种便捷的“一行命令安装他人成果”的体验带入AI领域。

Peter Steinberger，也被称为“龙虾之父”，迅速回应表示对ClawHub进行同步的兴趣。ClawHub是另一个智能体生态的技能市场，与Vercel并非同一家公司，但Steinberger的反应显示了行业对这种跨平台整合的期待。

几天后，Vercel在更新日志中正式发布了skills：一个用于安装和管理智能体能力的命令行工具。该工具的官方仓库vercel-labs/skills，在短短五个月内就在GitHub上获得了2.4万颗星标，显示了其受欢迎程度。

skills之所以如此受欢迎，在于其极简的操作方式：只需执行一行命令 npx skills add 。这实际上是为AI智能体（AI agent）打造的包管理器。与npm用于安装代码库不同，skills安装的是AI的“能力”。

更重要的是，skills支持广泛的AI工具，包括Claude Code、Cursor、Codex、Gemini CLI等，官方已支持超过68种智能体。这意味着一个能力包可以在多个工具中使用。Vercel还推出了skills.sh，一个技能目录和安装量排行榜网站，清晰展示了哪些技能最受欢迎。其中，名为find-skills的包安装量已达230万次。

AI编程能力首次拥有了“热门下载”排行榜。

一行命令：AI学会新技能

执行 npx skills add vercel-labs/agent-skills 命令，几秒钟后，用户的Claude Code即可获得一套React、Next.js的工程规范和设计准则，AI在后续的代码编写中将自动遵循这些规则。

官方将这些打包的能力称为“技能包（skill）”。其核心是一个带有YAML头部的SKILL.md文件，用于描述技能内容和使用场景。技能包还可以包含参考文档、模板以及一个scripts/目录，用于存放可执行脚本。

这一功能解决了AI在理解项目特定“土规矩”方面的不足，如代码风格、命名习惯和已知的潜在问题。过去，这些都需要开发者在每次对话中反复向AI说明，现在则通过一个skill打包，实现一次安装，长期生效。用户还可以像管理npm包一样管理技能：使用list查看已安装列表，update进行更新，remove进行卸载。

底层共享规范使得在Claude Code中安装的技能，也能在Cursor等其他工具中运行。对于不想本地安装的用户，还可以通过 npx skills use 命令临时调用技能，用完即走，不留痕迹。这标志着AI的能力边界从依赖开发者口述描述，转变为可以直接获取和使用的模块化组件。

AI工具层的“npm化”

尽管skills看起来像是Claude的新功能，但它由Vercel推出，并非Anthropic的原生能力。skills CLI能够整合Claude Code、Cursor、Codex、GitHub Copilot、Windsurf等多种AI工具，提供统一的入口。

这一举措意味着AI工具层正走向“npm化”，Vercel将零散的AI应用经验封装成可复用、可分发、可版本管理的模块。AI能力的发展正从“提示词工程”转向“能力工程（capability engineering）”，从解决“这一次如何表达”转向“以后如何标准化执行”。Vercel曾通过Next.js在前端生态中建立部署入口，现在其目标是在AI智能体层面复制这一成功。

Find Skills：AI的首个“能力搜索引擎”

Find Skills是skills项目中最具前瞻性的部分，它被定义为“找技能的技能”。当用户询问“如何做X”或“有没有能……的技能”时，find-skills会负责发现并安装相应的智能体技能。

用户只需描述需求，find-skills便能完成搜索、筛选和安装最匹配技能的全过程。它还内置了质量检查机制，优先选择安装量高、来自官方（如Vercel、Anthropic、微软）的技能，并对来源不明或低星标的技能发出提醒。

find-skills技能的SKILL.md源码中明确了推荐前的质检规则：安装量优先1000+，警惕100以下；来源优先官方源；仓库星标低于100需存疑。这使得AI第一次拥有了自己的“能力搜索引擎”。用户无需了解具体技能名称，只需表达需求，AI即可自动寻找。

更重要的是，find-skills的应用范围不限于程序员。设计师、产品经理、内容创作者等非技术用户，可以通过find-skills轻松获取所需的AI能力，而无需深入了解技术细节。

热闹背后的安全隐忧

尽管skills带来了便利，但其脚本执行能力也引发了安全担忧。用户安装的第三方技能包可能包含恶意代码，执行未知的命令。Snyk的“ToxicSkills”研究审计了ClawHub和skills.sh上的3984个技能，发现超过三成存在安全缺陷，其中13.4%为严重级别，涉及恶意软件分发、提示词注入和密钥泄露。

Koi Security的审计也发现了类似问题。主要的攻击手法包括：通过脚本执行命令，让AI下载并执行未知代码，或窃取SSH、AWS配置；以及在SKILL.md的文本中植入恶意指令，诱导AI执行。

与npm主要影响构建产物不同，skills将提示词、代码和权限整合，可以直接访问本地凭证和代码库，潜在风险更大。Vercel也提醒用户，应像对待代码一样审查技能包，尤其注意scripts目录的内容。

用户应关注技能的来源和所需权限，例如，一个天气查询技能不应要求访问SSH密钥。AI能力的“npm时刻”已经到来，但伴随而来的还有npm曾面临的安全挑战，且这些挑战在AI生态成熟之前就已显现。开发者在享受便利的同时，需要具备辨别能力，关注来源和权限，像处理老式开发任务一样谨慎。

二十年，一行命令

Vercel创始人Guillermo Rauch，来自阿根廷布宜诺斯艾利斯，他的职业生涯深受Web和开源的影响。他曾是Linux的推广者，也是JavaScript的早期实践者。18岁时，他加入MooTools核心团队，并获得了首份前端工程师工作。

Rauch的知名项目包括Socket.io，一个广泛用于实时通信的库，被Notion和Coinbase等公司使用。他专注于开发工具和云基础设施，旨在提升Web性能和开发者体验，由此催生了Next.js和Vercel。Vercel平台支撑着《华盛顿邮报》、保时捷等众多知名公司的线上业务。

Vercel的核心竞争力在于其“一站式”解决方案：从代码编写、预览到上线，开发者只需一行命令即可完成。这种模式使用户一旦进入Vercel生态，就很难离开。Rauch二十年来一直致力于将复杂的工程流程简化为开发者可信赖的“一行命令”。从最初的 now 命令启动服务器，到Next.js，再到如今的 npx skills add，他将这种将复杂性转化为简洁操作的理念，成功应用于AI智能体领域。