社区 Agent Skills 生态梳理：装机必备 / 分场景推荐 / 安全审计流程
基于 skills.sh 官方实时榜单（Vercel 出品，按安装量排名）与三个独立中文评测信源交叉验证，
梳理 Claude Code / Qoder / Codex / Cursor 通用的社区 Agent Skills 生态：装机必备四件、前端设计赛道、
mattpocock 开发工作流全家桶、浏览器自动化、Agent 记忆增强与国内飞书生态；
并附装任何 Skill 前必须执行的安全审计固定流程（Snyk：约 36% 第三方 Skills 存在提示注入风险）。
生成日期 2026-07-31 · 4 个独立信源交叉验证 · 数据以 skills.sh 实时榜为准 · 来源 8 处（文末列出）
◆核心结论 TL;DR
结论 1 · 入口
find-skills（vercel-labs）以 280 万安装居 skills.sh 榜首，是搜索并安装其他 Skills 的入口，公认「第一个装它」。
结论 2 · 工作流
obra/superpowers（GitHub 4 万+ Stars）与 mattpocock/skills（霸榜前十的一半）构成开发工作流两大流派：前者全流程管控，后者按需单件组装。
结论 3 · 卷王赛道
前端/UI 设计是最卷赛道：官方 frontend-design（72.5 万）、vercel web-design-guidelines（50 万）、社区 ui-ux-pro-max（2.9 万 Stars）三件叠加接近人工设计水准。
结论 4 · 国内断层
飞书/Lark 全家桶（open.feishu.cn + larksuite/cli）合计 1900 万+ 安装，是国内办公自动化断层第一；腾讯 SkillHub 提供国内高速镜像。
结论 5 · 安全红线
Snyk 研究称
约 36% 第三方 Skills 存在提示注入风险。装任何 Skill 前必须走安全审计流程（见
第 10 节），审计通过才装。
②skills.sh 头部安装量对比
skills.sh 榜单头部 Skills 安装量（万次，2026-07-31 实时快照）
数据来源：skills.sh 实时榜单（All Time）。find-skills 断层第一；mattpocock 系（grill-me / grill-with-docs / tdd 等）占据前十的一半。
各赛道生态体量对比（仓库累计安装量，万次）
飞书两源（open.feishu.cn 11.2M + larksuite/cli 7.8M）合计约 1900 万，断层领先；microsoft/azure-skills 6.9M 紧随其后。
③前端 / UI 设计类（最卷赛道）
社区验证搭配：frontend-design + web-design-guidelines + ui-ux-pro-max 三件叠加，覆盖设计规范、风格多样性和可访问性审查，接近人工设计水准。
④代码质量 / 工作流类（mattpocock 系全面爆发）
mattpocock/skills：霸榜 skills.sh 前十的一半
TypeScript 名师 Matt Pocock 的技能仓库，特点是「一件事一个 skill」，可按需单装，一键装全套：npx skills add mattpocock/skills
- grill-me（71 万）/ grill-with-docs（60 万）：让 AI「拷问」你的代码和方案，逼出漏洞
- tdd（56 万）：测试驱动开发流程；improve-codebase-architecture（58 万）：架构改进
- handoff / triage / to-prd / to-issues / to-spec：需求转 PRD、转 issue、任务分诊、上下文交接
- diagnosing-bugs / code-review / resolving-merge-conflicts：调试、审查、解冲突刚需件
其他刚需件
- create-pr（热度 17 万）：自动创建 GitHub PR、格式化标题、过 CI 校验
- github：Issues / PR / CI 全 CLI 交互；coding：编码风格记忆，自动适应个人惯例
- webapp-testing（anthropics，12.5 万）：Web 应用自动测试
⑤浏览器自动化类
browser-use（强推）
- 替代直接 MCP 调 Playwright，实测省 80%+ token
- 内置重试机制，错误率显著降低
- 自然语言交互，无需写 XPath
agent-browser（vercel-labs）
- 60 万安装，榜单第 5
- Rust 实现的高性能无头浏览器 CLI
- 速度快、资源占用低，支持 Node.js 回退
细分场景件
- browser-automation-stealth：指纹随机化 / 代理轮换（注意合规边界）
- browser-ladder：fetch → Playwright → Browserless 分级策略
- just-scrape（scrapegraphai，24.5 万）：网页抓取
⑦内容创作 / 营销类
- humanizer：基于维基百科「AI 写作特征」清单去 AI 味（破折号滥用、促销腔、模糊归因等）
- coreyhaines31/marketingskills：seo-audit（17.5 万）、copywriting、content-strategy、marketing-psychology 全家桶
- hyperframes（HeyGen）：文字 / 网页 / PR 转视频与动效，视频生成赛道最热（单件最高 31 万）
- image-generation 系列：GPT Image / Gemini / FLUX 多模型出图；qwen-image 支持中文提示词
⑧国内生态
飞书 / Lark 全家桶
- open.feishu.cn（11.2M）+ larksuite/cli（7.8M）合计 1900 万+ 安装
- lark-approval 审批（50.8 万，总榜第 10）、lark-okr、lark-doc、lark-attendance 考勤、lark-vc-agent 妙记
- 国内办公自动化断层第一
中文原创 Skills
- laolaoshiren/claude-code-skills-zh：18 个中文原创
- zh-code-reviewer 中文代码审查、zh-readme 中文 README、api-tester
国内市场入口
- SkillHub（skillhub.tencent.com）：腾讯出品，国内高速访问
- skillsmp：自动抓取 GitHub 上的 Skills 镜像
⑨社区验证的推荐组合
全栈开发组合
- superpowers + frontend-design + web-design-guidelines + skill-creator + browser-use
- 覆盖需求分析 → 计划 → TDD → 前端设计 → 浏览器测试闭环
办公自动化组合
- 办公四件套 + planning-with-files + self-improving-agent + browser-use
- 适合批量文档处理与重复操作自动化的非开发用户
UI 设计提升组合
- frontend-design + ui-ux-pro-max + web-design-guidelines
- 设计规范 + 风格多样性 + 可访问性审查三层叠加
内容创作组合
- humanizer + writing-polish + copywriting + image-generation
- 去 AI 味 → 润色 → 营销文案 → 配图一条龙
⑩装 Skill 前的安全审计固定流程（红线）
为什么必须审计：Snyk 研究称约 36% 第三方 Skills 存在提示注入风险。Skill 本质是「让 AI 照着执行的说明书 + 可执行脚本」，恶意 Skill 可以诱导 AI 外传凭证、执行危险命令。固定纪律：装任何 Skill 前必须走完以下四步，审计通过才装。
- 完整阅读：SKILL.md 全文 + 附带的所有脚本 / 资源文件（scripts、assets、引用的外部文档），不能只看描述就装。
- 危险信号逐项检查：① 可疑外部请求（curl / wget / fetch 到不明域名、数据外传）② 读取凭证 / 密钥 / Cookie / 环境变量等敏感信息 ③ 危险命令（rm、sudo、chmod 777、下载执行远程脚本、改系统配置）④ 提示注入痕迹（诱导忽略指令、隐藏指令、越权操作）⑤ 混淆或编码过的代码。
- 来源信誉核查：优先官方（anthropics、vercel-labs、microsoft 等）与知名作者仓库（mattpocock、obra）；小众第三方仓库需额外谨慎，可配合
skill-vetter 做自动化预检。
- 先汇报审计结论再安装：给出「通过 / 风险点清单」；发现风险必须先告知用户并获同意，禁止未审计直接安装。装完定期用
npx skills list 清点，不用的及时卸载减少攻击面。
⑪安装方式与主要市场
统一安装命令（Claude Code / Codex / Cursor / Gemini CLI 通用）
- 装单个仓库：
npx skills add obra/superpowers
- 管理：
npx skills list / npx skills update / npx skills remove <name>
- 手动安装：把 SKILL.md 放入
~/.claude/skills/技能名/（全局）或 项目/.claude/skills/（项目级）
Skills vs MCP：MCP 是「插头」（定义 Agent 如何连接外部系统），Skills 是「操作手册」（定义连上之后按什么流程做）。两者协同不冲突。Skills 采用渐进式加载（启动仅扫描名称描述约 100 tokens/个），装 50 个和装 5 个启动开销差别不大。