skill-federation

<div align="center"> # 技能联邦 ### 免费、私有的 AI 代理技能搜索 <!-- 第一行 - 吸引力和证明（强调：for-the-badge） --> [](https://pypistats.org/packages/skillfed) [](https://github.com/skill-federation/skill-federation) [](https://github.com/skill-federation/skill-federation/stargazers) [](#-benchmark) <!-- 第二行 - 安装和运行（紧凑：flat-square） --> [](https://www.npmjs.com/package/skillfed) [](https://pypi.org/project/skillfed/)  -2E9E6B?style=flat-square) <!-- 第三行 - 信任和条款（紧凑：flat-square） --> [](LICENSE)  [](https://agentskills.io) <a href="https://skill-federation.github.io/"><img src="assets/demo.svg" alt="运行 /skillfed 计划开源开发工具的启动返回四个验证的技能匹配 - 多平台启动、github-presence、社区建设、产品分析 - 安装" width="720"></a> **您的代理询问。技能联邦回答。您批准。** *一个裸代理解决 17.5% 的 SkillsBench 任务。使用技能联邦，22.8% - 而且您的工作永远不会离开您的机器。* </div> --- 您的编码代理不断重建已经有成熟 **技能** 的东西 - PDF 提取、市场规模估算、数据清理、PR 审查、Slack 通知、SQL 报告。技能存在，散布于开源生态系统中。问题在于 *找到合适的一个* - 而且每个“搜索目录”方法都意味着将您的计划、简介或数据发送到他人的服务器。 **技能联邦以保护隐私的方式查找技能。** 在您批准计划后，您的代理编写一个抽象的 **愿望清单** - “如果每个技能都存在，我会选择什么？” - 然后联邦将这些愿望与已验证的技能目录进行匹配。您的计划、文件和输出永远不会离开您的机器。只有抽象的愿望。 > [!IMPORTANT] > **只有抽象愿望跨越边界** - 一个简短的能力描述、〜4 个词汇不同的改述、1-5 个关键词和一个能力级别的 *草图*，理想的技能。每个字段都是“应该存在的技能”，而不是您的任务。您的计划、简介、文件内容和推理轨迹保留在本地 - **始终**。 **以下是单个愿望的全部有效载荷** - 发送的 literally 字符串用于 `launch-strategy`。 它命名 *能力域*，而非您的任务、计划或产品： ```text 描述: 计划开源开发工具的多渠道启动 改述: 在 Hacker News、Reddit 和 Product Hunt 上协调发布 · 为开发工具计划发布策略 · 为开源项目协调多平台发布公告 · 设计开源项目的启动日计划 草图: 发布 产品猎人 黑客新闻 等待名单 进入市场 活动 渠道规划 时间安排 资产准备 发布 关键词: 启动 gtm 产品猎人 策略 发布 ``` 就是这样 - 描述、四个改述、能力草图和关键词。您的产品名称、未发布的路线图和实际启动计划从未出现。 <details> <summary>更喜欢纯文本？以下是相同的运行</summary> ``` 您：/skillfed 为我的开源开发工具计划启动 -> 代理编写 4 个抽象愿望（改述 + 能力草图）。 只有这些离开您的机器 - 永远不会是您的计划、文件或数据。 愿望：launch-strategy -> multi-platform-launch 审查 - 验证 <- 选择 愿望：repo-discoverability -> github-presence 审查 - 验证 <- 选择 愿望：community-building -> community-building 审查 - 验证 <- 选择 愿望：growth-analytics -> product-analytics 许可 - 验证 - 221* <- 选择 （每个从 5 个排名候选中选择，在验证目录中） ``` </details> ## 🔒 为什么它与众不同 - **设计中的隐私底线。** 只有抽象的愿望跨越边界 - “应该存在的技能”，而非您的任务。您的计划、简介、文件内容和推理轨迹保留在本地，始终。（**隐私和信任**下的字段分解。） - **安装前的信任。** 候选来自 **预扫描内部注册表**（思科技能扫描器 + 英伟达 SkillSpector），而非野生仓库 - 每个显示其许可证类、来源、星星和源代码。*您*批准每个安装；不会有沉默的拉取。（参见[安全](#-security)。） - **原生，零安装。** 默认层只需要 `curl` - 已经在 Windows 10+ 和 macOS 上。无需 Python，无需 Node，无需包管理器。（可选层添加类型化的 MCP 工具，如果您有 Node。） ## ⚙️ 工作原理 <div align="center"> <img src="assets/howitworks.svg" alt="在您的机器上，代理批准计划并编写抽象愿望；只有抽象愿望跨越边界到联邦，联邦返回排名的候选；您批准，技能安装到 .claude/skills/，代理立即使用 - 您的计划、文件和输出永远不会离开" width="760"> </div> 1. **计划。** 您批准计划中的代理。 2. **愿望清单。** 代理描绘理想的技能并编写最多 10 个抽象愿望 - 每个都有词汇不同的改述和结构化的能力草图以实现高召回率。没有任务细节。 3. **匹配。** 联邦对每个愿望（描述 + 改述 + 压缩草图）运行快速的词汇搜索，并在 **验证、预扫描目录** 中返回最佳候选。 4. **审查。** 代理选择最佳匹配（或拒绝所有）并向您显示信任表。 5. **安装。** 在您批准后，选择的技能从 **内部扫描副本** （而非原始仓库）安装到 `.claude/skills/`，并具有完整的许可证 + 源代码归属。 6. **使用。** 您的代理立即使用该技能 - 不需要重新发明。 ## 📊 基准测试 <div align="center"> <img src="assets/benchmark.svg" alt="SkillsBench 任务成功率：无技能 17.5%，技能联邦 22.8%，预言 36.8%" width="660"> </div> 我们在 **SkillsBench** （具有确定性验证器的编码代理任务）上测试了技能联邦，使用代理 **Claude Code（Opus 4.6）**。测试的关键是使这个真正的测试：技能 Skillfed 检索的技能来自 **26,629 个技能快照** （其中包含 87k+ 个技能），**删除了基准测试自己的答案技能** - 因此，这衡量的是**独立编写的技能是否转移到任务中，而不是我们是否可以重新找到基准测试的手写技能。 | 条件 | 代理获得什么 | 成功率 | |---|---|---| | 无技能 | 裸 Claude Code（Opus 4.6） | 17.5% | | **Skillfed** | 从 26,629 个技能快照中检索的顶级技能 | **22.8%** | | 预言 | 任务自己的手写技能 - 一个无法达到的上限 | 36.8% | Skillfed 将成功率从 17.5% 提升到 22.8% - **相对增益约 30%**，并恢复了 **约 27% 的差距** 到一个预言技能（它从未见过）。大多数技能检索结果测试 **预言恢复**（基准测试自己的技能位于池中）；这项测试 **转移** - 从大型公开目录中提取有用的技能。 ## 📦 安装 **一行命令 - 无需克隆。** 您已经有 Node 或 Python： ```bash # Node - npm npx skillfed ``` ```bash # Python - uv （或：pipx 运行 skillfed） uvx skillfed ``` **更喜欢 Claude Code 的插件系统？** 添加市场并安装插件： ```text /plugin marketplace add skill-federation/skill-federation /plugin install skill-federation@skill-federation ``` **没有 Node 或 Python？** 请 Claude Code 为您安装 curl 版本： ```text 从 github.com/skill-federation/skill-federation 安装 Skill Federation /skillfed 查找器 - 运行其 curl 安装程序（Windows 上为 install.ps1，macOS/Linux 上为 install.sh），然后告诉我重启 Claude Code。 ``` > [!TIP] > 然后 **重启 Claude Code** 并运行 `/skillfed <您要执行的操作>` - 或者只需批准计划，查找器会自动提供。 零运行时 - 查找器只需要 `curl`（无需 Node 或 Python）。对于可选层（自动触发钩子 · 类型 MCP 工具 · Python/CI 助手）、标志、范围、从检出安装和配置安全详细信息，请参见 [`install.md`](install.md)。 <details> <summary>更喜欢自己粘贴吗？（原始 curl 一行命令）</summary> ```powershell # Windows (PowerShell) - irm|iex 也跳过了执行策略块 irm https://raw.githubusercontent.com/skill-federation/skill-federation/main/install.ps1 | iex ``` ```bash # macOS / Linux curl -fsSL https://raw.githubusercontent.com/skill-federation/skill-federation/main/install.sh | bash ``` </details> ## 🛡️ 隐私和信任 > [!NOTE] > **什么不会跨越：** 您的计划、简介、文件内容、输出或推理轨迹。 > **什么会：** 只有抽象的愿望（描述 + 改述 + 关键词 + 能力草图）。 <details> <summary>完整的字段分解</summary> - **跨越边界的内容：** 抽象愿望 - 其一行 `描述`、〜4 个改述的 `公式`、1-5 个 `关键词` 和结构化的 **能力 `草图`** （`目的 / 输入 / 输出 / 操作 / 领域词汇 / 部分草图 / 标签`）。草图的扁平术语在每次搜索中都会进入搜索查询（它们提供区分性词汇来驱动召回）；当没有找到技能时，相同的草图成为需求指针 - 足够抽象以保护您，足够详细以自动构建缺少的技能。每个字段都是“应该存在的技能”，而不是您的任务。愿望的 `名称` 仅用于显示，不会发送。 - **永远不会跨越的内容：** 您的计划、简介、文件内容、输出或推理轨迹。 - **两个互补的信号，不 conflated：** `report_selection` 标记检索质量（显示的候选项是否正确或错误）；`report_demand` 捕获能力差距（实际需要什么）。它们提供不同的循环 - 选择提高搜索，需求驱动下一次构建的内容。 - **本地优先：** 如果您已经安装了技能，则直接使用本地副本 - 您的编辑是个人化设置，永远不会被静默覆盖。 </details> ## 🔒 安全 技能联邦将每个第三方技能视为不受信任的输入。**技能从我们的内部预扫描注册表提供 - 永远不会从野生仓库中直接拉取。** 在摄入时，我们复制每个候选，重复它，并扫描它；只有通过的技能才会被推广和提供。您看到的 `源` 链接是出处，而不是技能的实际获取位置。 每个候选都使用两个独立的工具进行尽力扫描： - **[Cisco AI Defense 技能扫描器](https://github.com/cisco-ai-defense/skill-scanner)** - YARA/模式、字节码、命令污染、行为数据流、LLM 作为裁判和 VirusTotal 检查，以防止提示注入、数据泄露和恶意代码。 - **[NVIDIA SkillSpector](https://github.com/NVIDIA/SkillSpector)** - 漏洞模式 + LLM 分析，具有实时 OSV.dev CVE 查找和 0-100 风险评分。 高/关键发现 **拒绝或路由到手动审查** - 野生目录永远不会在未经过滤的情况下到达您。 **为什么这很重要。** NVIDIA 的 SkillSpector 背后研究了 **42,447 个公共技能**，发现 **26.1% 带有至少一个漏洞** 和 **5.2% 显示出可能恶意的意图** - 而一个安装的技能具有与您的代理的完全权限。直接从公共仓库提供服务将使大约四分之一的漏洞和五分之一的恶意技能交给您的代理；摄入门户就是为了防止这种情况的发生。 > [!NOTE] > 扫描是 **尽力而为**，不是保证。正如 Cisco 的扫描器所说，*“没有发现 ≠ 没有风险”* - 清洁扫描不能证明技能是安全的。技能联邦仍然显示每个技能的许可证、来源和出处，**如果没有您的批准，任何内容都不会安装**。 ## 🔧 配置 查找器通过 HTTPS 与联邦端点通信。默认是无密钥演示；覆盖它： ```bash export SKILLFED_ENDPOINT="https://your-federation.example.com" # 或在 .mcp.json 中为 npx 层设置 ``` ## 📁 这个仓库中有什么 ``` install.ps1 / install.sh / install.md 自动检测安装程序；适用于克隆或管道（irm|iex，curl|bash） installer/ npm 包 `skillfed` - `npx skillfed` 无克隆路径 python-installer/ PyPI 包 `skillfed` - `uvx skillfed` / `pipx run skillfed` 路径 scripts/vendor-payload.mjs 将 3 个有效载荷文件合并到两个软件包中（单一真实来源） integrations/claude-code/ Claude Code 插件（技能 + /skillfed + 钩子） - 规范有效载荷 integrations/*.py 可选 Python 层（高级 / CI） mcp-server/ 可选 Node MCP 层（通过 npx skillfed-mcp 类型工具） ``` ## 📄 许可证 [MIT](LICENSE) © 技能联邦。