01cloudflare/security-audit-skill

★ 18,513　·　今日 +2,428 stars

是什么Cloudflare 官方开源的一个编码 agent skill，把你的 AI agent 变成安全审计员。

有什么用跑一套六阶段结构化审计：侦察（画架构、信任边界、输入面）→ 覆盖驱动式漏洞挖掘（隔离 hunter 分工，coverage critic 找盲区）→ 候选验证（每个疑点交给全新 verifier 尝试证伪）→ 结构化输出（confirmed / needs_validation / rejected 三类，对 schema 校验）→ 独立复核 → 出报告。它就是 Cloudflare 内部那套漏洞发现流水线的起点，后来长成了舰队级系统。每个发现都要被独立 agent 试图驳倒才算数，这是压误报的关键。

适用场景想在上线前给自己代码库做一轮系统性安全审计的后端 / 安全团队；也可以挂到 CI 里当安全门禁。

安全审计Cloudflare 官方证伪机制

02affaan-m/ECC

★ 264,255　·　今日 +826 stars

是什么Agent harness 性能优化系统，给 agent 装一整套工程纪律。

有什么用让 agent 不再一上来就写代码，而是走固定循环：plan → test → implement → review → verify → remember → improve。先计划、用测试验证改动、换一个干净上下文自审、记住关键信息，最后把重复成功过的做法沉淀成可复用的 skill 和 workflow。装一次，之后就是 agent 的工作方式，不用每条 prompt 里重新指挥一遍。

适用场景团队已经在用 coding agent 写真实业务代码，但产出质量忽高忽低、每次都要人工兜底的；想给 agent 定工作流程而不是堆一堆提示词的。

工程纪律Agent Harness

03addyosmani/agent-skills

★ 97,951　·　今日 +736 stars

是什么Addy Osmani（Google Chrome 团队）出品的生产级工程技能包。

有什么用把资深工程师的工作流、质量门禁和最佳实践打包成 skills，配 9 个 slash 命令直接对应开发生命周期：/spec（先写规格再写代码）、/plan（拆成小原子任务）、/build（一次一个切片）、/test（测试即证据）、/constraints（定一次标准处处执行）、/review（合并前审查）、/webperf（先测量再优化）、/code-simplify 等。

适用场景想让 AI 编码 agent 按高级工程师的规矩干活的个人或团队；也适合当团队开发规范的可执行版本——规范不再是文档，而是 agent 每次都会执行的 skill。

技能包开发全流程slash 命令

04DietrichGebert/ponytail

★ 143,406　·　活跃于 09-14

是什么一个反过度工程的 agent skill。名字取自那个扎马尾、戴椭圆眼镜、在公司待得比版本控制还久的老员工——你看五十行代码，他看两眼，一句话不说，换成一行。

有什么用专治 AI 写代码写太多。典型对比：你要个日期选择器，agent 装上 flatpickr、写包装组件、加样式表、顺便开始讨论时区；装了 ponytail 之后就是一行 input type=date——浏览器自带的。真实数据（headless Claude Code 改真实开源库，12 个功能任务均值）：代码量少约 54%（最高 94%）、成本降约 20%、速度快约 27%。

适用场景受够了 AI 一口气生成三百行用不上的代码、想拿回可维护性的开发者；也适合让 agent 在成熟代码库里顺着既有风格改，而不是另起一套。

反过度工程代码精简

05Graphify-Labs/graphify

★ 120,031　·　活跃于 09-20

是什么在 AI 编码助手里敲 /graphify，把整个项目——代码、文档、PDF、图片、视频——映射成一张可查询的知识图谱。

有什么用用查图代替满仓库 grep。代码部分用 tree-sitter AST 本地解析，确定性、零 LLM、数据不出本机（文档/图片/视频才走语义 pass）。每条边都标了 EXTRACTED（源码里显式存在）还是 INFERRED（推断的），读到的和猜到的分得清清楚楚。官方强调它不是向量索引——没有 embedding，是一张真图，靠遍历。

适用场景接手陌生的大型代码库、想快速搞懂跨文件调用关系；或者给 agent 建一份长期项目地图，问「这个改动会波及哪些地方」时不用靠猜。

知识图谱代码库理解本地解析

06nexu-io/open-design

★ 97,388　·　活跃于 09-21

是什么开源版 Claude Design 替代品，一个设计向的 agent 工具。

有什么用把设计纳入 agent 工作流：做原型、做演示稿、搭设计系统。已支持接入 DeepSeek 官方 dsh agent harness 作为原生运行时，带结构化思考、工具调用、模型发现、取消和会话恢复；生成的文件留在工作流里实时预览、直接交付。

适用场景产品 / 设计师想用 agent 快速出原型和 deck，而不是在对话里来回贴截图；也适合把设计资产的生产过程做成可复用流水线的团队。

设计工具原型DeepSeek Harness

07thedotmack/claude-mem

★ 94,372　·　活跃于 09-20

是什么为 Claude Code 打造的持久化记忆压缩系统。

有什么用会话之间保留上下文：自动捕获工具使用过程中的观察、压缩成摘要，下次开新会话自动带回来。解决那个老问题——每次开新会话都要重新把项目背景讲一遍，agent 还是第一次见你。

适用场景长期维护同一个项目、跨天跨周连续开发的人；也适合把 agent 当长期同事而不是一次性工具用的工作方式。

记忆持久化Claude Code

08bytedance/deer-flow

★ 82,793　·　活跃于 09-20

是什么字节跳动开源的 DeerFlow 2.0，一个 super agent harness。

有什么用编排 sub-agents、memory 和沙箱去做几乎任何事，靠可扩展 skills 驱动。定位是长周期任务的编排层：把一个大研究 / 自动化任务拆给多个子 agent 并行推进，带记忆和沙箱隔离。2.0 是推倒重写，跟 v1 不共享代码；发布后曾拿下 GitHub Trending 第一。

适用场景深度研究类任务、需要多子 agent 协作的长链条自动化；想自建 agent 编排平台而不是用黑盒产品的团队。

字节开源Super Agent Harness多子 agent

09ComposioHQ/awesome-claude-skills

★ 75,420　·　活跃于 09-18

是什么1000+ 生产可用 Claude Skills / Plugins 的精选清单。

有什么用两个作用：一是当索引，找现成 skill 直接用，覆盖面跨 Claude.ai、Claude Code、Codex、Cursor、Gemini CLI、Antigravity；二是配套 connect-apps 插件让 skill 能真的动手——发邮件、建 issue、发 Slack，底层走 Composio 的 MCP Gateway 接 1000+ 应用，带鉴权、团队权限、审计日志。一句话：skill 告诉 agent 怎么做，MCP Gateway 给它能碰什么。

适用场景想快速找到某个场景的现成 skill 而不用自己写；或者给自己的 agent 打通真实世界动作——这点是多数纯 skill 包的短板。

精选清单1000+ skillsMCP Gateway

10code-yeongyu/oh-my-openagent

★ 69,243　·　活跃于 09-21

是什么OmO，一个开源的 agent 增强运行时（多模型 + 记忆 + CodeMode）。

有什么用主打三件事：多模型并用、更顺滑的记忆系统、CodeMode。最有意思的是图工程——prompt 里带上 mass ulw 关键词，任务就被组织成 DAG 工作流并行跑，还能在侧栏实时看 DAG 可视化。安装就一条 bun add -g omo-ai@beta。

适用场景想让 agent 跑复杂多步任务、并且把执行结构可视化的；或者想在同一工作流里混用多家模型来降本提效的。

多模型DAG 工作流可视化

今日观察

今天 GitHub Trending 当天榜上，纯 skill 类项目只占了 3 个席位，其余 7 个是从「近期活跃 + 高星」池里补的。

值得注意的是三条主线：工程纪律化（ECC / agent-skills / ponytail 都在给 agent 立规矩）、代码库理解（graphify 的图查询）、记忆持久化（claude-mem）。其中 ponytail 的「少写代码」思路，和 security-audit-skill 的「强制证伪」机制，是今天最值得抄的两个设计——前者治产出膨胀，后者治误报泛滥。