AI 寫程工具的『應用商店』，每個上架商品都先過安全審查——agent-skills 5.7 千星

反轉來了：我一直以為「給 AI 裝技能」就是從網路上隨便找個教學貼一貼——直到我認識 agent-skills，才知道技能市場的亂象有多嚴重：一份資安報告顯示，某主流技能市集有 13% 的技能存在嚴重漏洞——裝下去等於讓 AI 幫你開後門。而 agent-skills 的存在，就是為了讓「裝技能」這件事變得安全。

一、它是「有保全的 AI 技能商店」

我第一次看到這個專案的想法是：這才是技能市場該有的樣子。

agent-skills 是什麼？大白話：一個「每個技能都先通過安全審查」的 AI Agent 技能註冊表——88 個專業技能、15 大分類、支援 19 種 AI 寫程工具。技能是什麼？大白話：把「專業工作流程」打包成一份說明文件＋腳本，AI 遇到對應任務就照著執行。它的核心賣點不是技能多，而是『安全』——每個上架技能都經過靜態分析、內容指紋鎖定、人工 review，不是來路不明的腳本。

二、8 個重點，最安心的是第 1 個

最安心的是「安全審查」本身：Snyk Agent Scan 掃描、內容 hash 鎖定、lockfile 鎖版本、人工 code review——四道關卡。這在「裝了惡意技能＝讓 AI 執行惡意程式碼」的時代，是生死攸關的設計。

三、作者為什麼做它？反擊技能市場亂象

作者是巴西技術社群 TechLeads.club——宗旨是「提升巴西社群技術品質」。動機來自一份資安報告：主流技能市集 13% 有嚴重漏洞。他們決定做一個「中立、有審查、可稽核」的第三方技能庫——「讓 agent 遵循審查過的工作流，而不是每次即興發揮」，是他們對抗亂象的答案。

四、跟官方商店怎麼選？一張表看懂

先別問哪個技能多，先問你在不在乎安全：在乎 → agent-skills 是目前唯一把「安全審查」當核心賣點的第三方庫；不在乎 → 官方商店方便；想研究 → awesome 清單當目錄。我個人強烈建議：裝任何技能前，先確認來源可信。

我實際瀏覽它的技能清單時，最大的感受是「專業度」：架構設計、雲端基礎設施、GTM 行銷、安全、品質——不是零散的提示詞，而是有結構的專業工作流。其中『規格驅動開發』（tlc-spec-driven）是旗艦技能：Specify（定義規格）→ Design（設計）→ Tasks（拆任務）→ Execute（執行），四階段把開發流程變成有紀律的節奏。

還有一個對團隊很實用的功能：一條指令同步安裝到多套工具——agent-skills install -s 技能 -a cursor claude-code windsurf，團隊裡不管誰用哪個 AI 寫程工具，拿到的技能都一致。這對「統一團隊工作流」來說，是省下大量溝通的設計。

五、作者你敢信嗎？社群背景＋審查透明度

TechLeads.club 是巴西的技術社群組織，辦 Meetup、做內容策展——不是個人隨手做的專案。主要維護者 felipfr 定期發版（npm 已 49 個版本）。最關鍵的是「透明度」：審查流程、鎖檔機制全部公開可稽核——「你可以檢查我們怎麼檢查」，這是信任的核心。

它支援的技能類型橫跨「程式開發」到「商業行銷」：除了技術技能，還有 SEO、內容策略、部署流程——對獨立開發者來說，這等於把『一人公司需要的專業流程』都裝進 AI 助手。以前要請顧問才能建立的流程，現在一個技能就搞定。

它的「Tier 分層」設計也很貼心：Tier 1 是最熱門被社群大量驗證的技能，Tier 2 是成長中，Tier 3 是企業級——新手先從 Tier 1 開始裝，踩雷機率最低。這比「全部裝滿」聰明多了，也體現了它「為使用者把關」的態度。

六、下一步：成為「安全、經驗證」的權威技能庫

它要走去哪裡？ 官方目標：成為「安全、經驗證、專業」的權威技能註冊表——持續擴充 19+ agent 支援與企業級技能。這對你的意義：以後裝技能不用再賭運氣，先來這裡找找有沒有通過審查的版本。

七、先看先贏：一條指令開始

npx @tech-leads-club/agent-skills
# 互動式精靈：選技能 → 選 agent → 安裝

第一次跑就會覺得「這體驗像裝 App」——選你要的、選你的工具、一鍵裝好。

如果你是開發者，還有個好處：它提供 Nx generator 讓你快速建立自己的技能——nx g @tech-leads-club/skill-plugin:skill——寫好技能就能上架給全世界用。這讓「技能生態」不再是單向消費，而是人人都能貢獻的雙向市場。

最後提醒一句：技能市場正在爆炸成長，但品質參差不齊——我見過有人裝了來路不明的技能，AI 開始執行奇怪的操作。「來源可信」永遠是裝任何技能的第一原則，而 agent-skills 把這條原則做成了產品。

八、動手安裝：跟著做就好，重點都幫你標好了

我在 macOS 15 實測：

# 第 1 步：確認 Node.js
# 【重點】node -v 有版本即可
node -v

# 第 2 步：安裝 CLI＋啟動精靈
npm install -g @tech-leads-club/agent-skills
agent-skills
# 【重點】跟著選：技能 → agent（如 claude-code）→ copy/symlink

# 第 3 步：裝單一技能
agent-skills install -s tlc-spec-driven

實測結果：精靈引導清楚，裝完立刻能用。三個雷：① 你的 agent 不在 19 個名單內→ 開 issue 請求支援；② copy 與 symlink 有差——symlink 適合用 git 管理版本的人；③ 裝完發現 AI「沒反應」→ 重開 AI 助手，技能需要重載。

它的官方網站（agent-skills.techleads.club）有完整的技能目錄與說明——裝之前先逛逛，找到最適合你工作流的技能再裝，比亂裝一堆有效率得多。

一句話總結：它是『AI 寫程工具的技能保險』——先審查再上架，讓裝技能不再是一場賭博。

它的安裝器還有個貼心設計：非互動模式可以指定工具——agent-skills install -s 技能 -a cursor——在 CI 或腳本裡也能自動安裝，團隊可以把它寫進 onboarding 流程，新人第一天就有一致的技能環境。

還沒裝的人，先把這篇收藏起來——下次花 5 分鐘，讓你的 AI 助手從『會聊天的工具』升級成『帶專業手冊的員工』。

而且它完全開源（MIT）——審查管線、技能內容、安裝器全部可查可改，信任不是靠宣傳，是靠透明。

它支援的 19 種工具涵蓋主流全部：Claude Code、Cursor、Codex、Copilot、Windsurf、Cline、Aider、OpenCode——不管你用哪個，都能享受到同一套受審查的技能。

小心駛得萬年船——裝技能前先確認來源，是這個專案教會我的最重要一課。

九、動手前最該知道的 3 件事

• Q：跟之前介紹的技能包有什麼不同？ A：這是有審查的第三方庫——前面那些是「個人技能包」，這裡是「經過驗證的市集」。
• Q：免費嗎？ A：MIT 開源免費。
• Q：怎麼判斷技能好壞？ A：看 tier 分級＋審查紀錄——Tier 1 是最熱門被驗證最多的。

你是『先看安全再裝』派，還是『先裝再說』派？留言說你是哪一派——順便告訴我你常用的 AI 寫程工具，說不定下一篇就是它的技能特輯。