过去，开发者之间交流的焦点是提示词（prompt）模板。然而，现在情况已发生变化，大家更关注的是应该安装哪些技能（skill）。

这一转变背后，标志着AI编程工具正朝着「组件化」发展。1月17日上午，Vercel创始人兼CEO Guillermo Rauch在X（原Twitter）上宣布：“我们正在推出skills——AI技能的「npm」。”

「npm」是前端工程师常用的包管理器，允许用户通过一行命令将他人编写的代码集成到自己的项目中。Rauch的此番言论暗示，这种“一行命令集成他人成果”的便捷体验，将很快应用于AI领域。

Peter Steinberger，被誉为“龙虾之父”，立即在X上回应：“酷！得跟ClawHub同步一下。”ClawHub是另一个智能体生态的技能市场，尽管与Vercel并非同一家公司，Peter的反应却表明了不同生态间需要协同的意愿。

三天后，Vercel在其更新日志中正式发布了这项功能：一个用于安装和管理智能体能力包的命令行工具。该工具的官方仓库vercel-labs/skills，在发布仅五个月后，GitHub上的星标数量已飙升至2.4万。

该工具之所以如此受欢迎，原因在于其极简的操作方式：只需一行命令即可完成安装。

npx skills add

简而言之，这相当于AI智能体（AI agent）的包管理器。它借鉴了前端工程师常用的npm模式，允许用户通过一行命令将他人创建的“能力”集成到AI项目中，而非代码库。

更强大之处在于其广泛的兼容性。该工具支持Claude Code、Cursor、Codex、Gemini CLI等超过68种智能体，这意味着一套能力包可以在多种工具中使用。Vercel还同步上线了skills.sh，一个提供技能目录和安装量排行的网站，让用户可以清晰地了解哪些技能最受欢迎，被安装了多少次。

目前，榜首的find-skills包已被安装超过230万次。这标志着AI编程能力的排行榜首次出现。

一行命令，AI学会了一门新手艺

这项技术的核心功能在于简化AI能力的获取和应用。通过执行npx skills add vercel-labs/agent-skills命令，用户可以在几秒钟内为Claude Code等工具添加React、Next.js的工程规范以及设计准则。AI在后续的代码编写中将自动遵循这些规范。

官方将这些可集成的能力称为“技能包（skill）”。其本质是一个文件夹，核心文件是带有YAML头的SKILL.md，其中详细说明了技能的用途及适用场景。技能包还可以包含参考文档、模板以及一个名为scripts/的子目录，其中存放可以直接执行的脚本。

这项技术解决了AI模型在理解项目特定“潜规则”方面的不足。模型通常掌握通用编程语言和框架，但难以理解特定项目的代码风格、命名习惯或已知的技术陷阱。过去，开发者需要反复向AI解释这些细节，而现在，这些信息可以打包成一个skill，一次安装即可长期生效。

用户还可以像管理npm包一样管理这些技能：使用list命令查看已安装的技能，update进行一键更新，remove进行删除。更重要的是，底层共享的规范意味着在Claude Code中安装的技能，同样可以在Cursor等其他工具上运行。

对于不希望直接安装的用户，还提供了一种更轻量级的“即用即走”模式。通过npx skills use命令，可以临时调用技能，并在使用完毕后自动清理，不留下本地痕迹。

以往，AI的能力边界依赖于开发者如何精准描述，而现在，这些能力已经转化为可以直接获取的模块。

AI工具层的「npm化」

尽管这项功能可能被误认为是Claude的新特性，但它实际上是Vercel推出的，并非Anthropic的原生能力。该工具支持Claude Code、Cursor、Codex、GitHub Copilot、Windsurf等多种AI工具，通过skills CLI提供了一个统一的接入点。

这标志着AI工具层正在经历「组件化」的转变。Vercel将分散的开发经验封装成可复用、可分发、可版本管理的模块。AI能力的发展正从「提示词工程」（Prompt Engineering），即如何在一时一刻有效地与AI沟通，转向「能力工程」（Capability Engineering），即如何建立一套长期有效的AI工作流程。

Vercel在此前已成功实践过类似的模式。凭借Next.js，它在前端生态部署领域占据了关键位置，使得前端开发者难以绕开。如今，Vercel试图在AI智能体层面复制这一成功。

Find Skills，AI第一次有了「能力搜索引擎」

其中最具前瞻性的功能是Find Skills，它被称作“找技能的技能”。

Find Skills技能的官方定义是：当用户询问“如何做X”、“有没有能……的技能”或者希望扩展AI能力时，它负责发现并安装最匹配的智能体技能。用户只需描述需求，它便能完成搜索、筛选和安装的整个流程。

Find Skills还内置了一道“质量检验”机制。在选择技能时，它会考虑安装量和来源，优先推荐热门且来自官方渠道的技能，并对来源不明的技能发出警告。

Find Skills技能的SKILL.md源码明确写有推荐前的三项质检规则：安装量优先1000+，警惕100以下；来源优先Vercel、Anthropic、微软等官方源；仓库星标低于100的需存疑。

这意味着，AI首次拥有了属于自己的“能力搜索引擎”。用户无需了解具体技能的名称或存在，只需说明想要完成的任务，AI即可自动寻找并安装合适的技能。

更重要的是，这项功能不仅对程序员有益。对于那些依赖AI进行代码编写的设计师、产品经理和内容创作者来说，他们往往缺乏工程化思维，更需要现成的技能包来辅助工作。Find Skills为他们提供了一个无需深入技术细节即可调用AI能力的入口。

热闹背后，是一笔没人兜底的账

尽管听起来前景光明，但用户在享受便利的同时也需警惕潜在风险。技能包中的scripts目录包含了可执行逻辑，而非简单的说明文字，这意味着它们确实会在用户的计算机上执行命令。然而，用户往往难以完全了解所安装第三方包的具体操作。

安全公司Snyk的ToxicSkills研究对ClawHub和skills.sh上的3984个技能进行了审计，发现超过三成存在安全缺陷，其中13.4%（534个）属于严重级别，包括恶意软件分发、提示词注入（prompt injection）和密钥泄露等问题。平均每7到8个技能中就有一个可能带来严重风险。

另一家机构Koi Security审计了2857个技能，发现了341个恶意技能。主要的攻击手段包括：

1. 脚本执行： 诱导AI从未知IP地址下载并执行文件，或窃取用户的SSH、AWS配置信息。
2. SKILL.md中的恶意指令： 在技能的描述文件中隐藏攻击者的指令，AI在处理这些指令时会将其误认为是正常工作要求并执行。
3. 窃取记忆文件： 针对性地窃取智能体存储隐私对话的记忆文件。

与npm包主要影响构建产物不同，skill的潜在风险更为严重，因为它将提示词、代码和权限整合在一起，一个SKILL.md文件即可改变智能体的行为，并直接访问用户的本地文件系统、网络和shell。

Vercel也提醒用户，应将技能视为代码，安装前仔细阅读，并对scripts目录保持高度警惕。一个简单的判断标准是：一个声称提供天气查询的技能，如果要求读取服务器的SSH密钥，其目的就值得怀疑。

AI能力的「npm时刻」虽然到来，但也伴随着npm生态所经历的风险，并且这些风险在生态成熟之前就已经显现。虽然一行命令安装能力非常便捷，但这条道路仍处于早期阶段。它鼓励了能力的复用，但也要求用户在采纳时保持审慎。开发者需要像以往一样，结合判断力来选择和使用这些新工具，包括检查来源和权限。

二十年，一行命令

这一切的起点，可以追溯到Vercel创始人Guillermo Rauch。这位来自阿根廷布宜诺斯艾利斯的用户，将自己大半生的事业都投入到了Web和开源领域。

Rauch少年时期就热衷于推广Linux，并很早就投身JavaScript开发。18岁时，他加入了开源项目MooTools的核心团队，并获得了第一份前端工程师的全职工作，随后搬到了旧金山。

他最为人熟知的项目之一是Socket.io，一个广泛使用的实时通信库，曾为Notion的实时同步和Coinbase的早期交易产品提供底层支持。

之后，Rauch将目光投向了工具和云基础设施领域，致力于提升Web性能和优化开发者体验，由此催生了Next.js和Vercel。如今，Vercel平台支撑着《华盛顿邮报》、保时捷、Under Armour、任天堂等众多知名公司的线上业务。

Vercel的核心竞争力在于其一站式解决方案：从代码编写、预览到上线，用户仅需通过一行命令即可完成。一旦开发者习惯了这套流程，便很难再离开。

可以说，Rauch二十年来始终专注于一件事：将复杂的技术流程简化为开发者能够直接执行的一行命令。从早期的now命令创建服务器，到Next.js框架，再到如今的npx skills add，他将同样的理念和技术应用到了AI智能体领域。