论文页面 - 技能星座：追踪 GitHub 上 Agent 技能的供应链

来源：https://huggingface.co/papers/2610.11169

摘要

Agent 技能（Agent skills）是 SKILL.md 指令和脚本，由 Claude Code 和 Codex 等 AI 编程 agent 以用户权限运行。开发者通过在仓库之间复制来共享技能，这使得技能成为一种没有注册中心、没有版本管理、也没有来源追溯的软件供应链。因此，被复制技能的源头、安全修复的影响范围，以及哪些仓库需要审查，都是未知的。那些仅记录某个时间点哪些仓库持有某项技能的研究，无法揭示谁从谁那里复制了该技能。我们贡献了首个带日期的 agent 技能复制网络，该网络基于 GitSkills 中每个 SKILL.md 的 git 历史构建，覆盖了 GitHub 上 2,193,119 次技能采用，并附带一个交互式查看器。少数仓库是几乎所有复制的源头，而 GitHub stars 无法识别这些仓库。技能的副本几乎不会随源头变化，因此源头的修复很少能传递到副本上。我们拟合了一个模型来预测哪些仓库会被其他仓库复制，并用它对仓库进行审计排名。审查其排名最高的 100 个仓库可以防止 14.9% 的高风险技能的后续采用，而审查 star 数最多的 100 个仓库仅能防止 0.5%，这为安全工程师提供了一份在技能扩散之前需要检查的简短清单。因此，平台应该分发带版本的引用，而不是副本。项目网站：https://fahdseddik.github.io/Skill-Constellations/

查看 arXiv 页面 (https://arxiv.org/abs/2610.11169) 查看 PDF (https://arxiv.org/pdf/2610.11169) 项目页面 (https://fahdseddik.github.io/Skill-Constellations/) GitHub0 (https://github.com/FahdSeddik/Skill-Constellations) 添加到收藏 (https://huggingface.co/login?next=%2Fpapers%2F2610.11169)

在你的 agent 中获取这篇论文：

hf papers read 2610.11169

还没有最新版 CLI？curl -LsSf https://hf.co/cli/install.sh | bash

引用本文的模型 0

没有模型关联到这篇论文

在模型 README.md 中引用 arxiv.org/abs/2610.11169 以从此页面链接。

引用本文的数据集 1

FahdSeddik/skill-constellations Viewer • 约 4 小时前更新 • 20.5M • 1 (https://huggingface.co/datasets/FahdSeddik/skill-constellations)

引用本文的 Spaces 0

没有 Space 关联到这篇论文

在 Space README.md 中引用 arxiv.org/abs/2610.11169 以从此页面链接。

收录本文的合集 0

没有合集收录本文

将本文添加到合集 (https://huggingface.co/new-collection) 以从此页面链接。