SkillMD CLI
CLI и MCP для поиска и установки скиллов: проверяет SKILL.md линтером и отмечает обращения к сети, скриптам и секретам
- 189 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Установка создает файлы в общем каталоге скиллов и связывает их с выбранными агентами
- Поиск и подробности скиллов идут на внешний реестр skillmd.com
- Скилл из реестра попадает в контекст агента, а сканер только описывает его возможности
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/skillmdОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Установка создает файлы в общем каталоге скиллов и связывает их с выбранными агентами
- Поиск и подробности скиллов идут на внешний реестр skillmd.com
- Скилл из реестра попадает в контекст агента, а сканер только описывает его возможности
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
SkillMD — открытый инструментарий вокруг реестра skillmd.com. Один пакет `skillmds` на npm дает два исполняемых файла: консольную программу `skillmd` и MCP-сервер `skillmds`. Команда `skillmd lint` проверяет файлы `SKILL.md`, выставляет оценку качества от 0 до 100 и по ключу `--fix` исправляет механические ошибки. Команда `skillmd scan` отмечает описанные в скилле действия: запускать скрипты, ходить в сеть или читать секреты. Команда `skillmd add` ставит скилл из реестра, из репозитория GitHub или из локальной папки. Перед установкой она запускает линтер и сама скрипты не выполняет. Программа поддерживает каталоги Claude Code, Cursor, Codex и других агентов. Скилл сохраняется в общий каталог `.agents/skills` и связывается с выбранными клиентами. Есть команды `search`, `list`, `update`, `remove`, `init` для шаблона нового скилла и `publish` для публикации на skillmd.com. MCP-сервер дает агенту инструменты `skillmd_search`, `skillmd_get`, `skillmd_install`, `skillmd_trending`, `skillmd_recommend`, `skillmd_list_saved` и `skillmd_lint`. Сервер работает локально через `npx` или удаленно по адресу `https://api.skillmd.com/mcp`. В репозитории также лежат движок `@skillmds/core`, GitHub Action для проверки скиллов в CI и подборки плагинов.
Для кого. Для авторов скиллов, которым нужна проверка перед публикацией, и для тех, кто ставит чужие скиллы и хочет заранее знать, что они делают.
Подходит, если
- Нужны оценка, список замечаний и автоматические исправления для своего `SKILL.md` до публикации
- Перед установкой чужого скилла нужно увидеть, запускает ли он скрипты, обращается ли к сети или читает токены
- Нужно поставить один скилл сразу во все установленные агенты на машине командой `skillmd add`
- Нужно проверять скиллы в репозитории при каждом запросе на слияние и видеть результат в GitHub Code Scanning
- Нужно искать и ставить скиллы из чата с агентом через MCP
Не подходит, если
- Нужен самохостящийся корпоративный реестр: SkillMD работает вокруг публичного skillmd.com
- Нужен полноценный аудит безопасности: сканер классифицирует возможности скилла, но не заменяет ручную проверку кода
- Запросы поиска не должны уходить на внешний сервер: поиск и подробности идут через реестр
Пример запроса к агенту
Проверь папку ./my-skill командой `skillmd lint` и покажи, что скилл делает по результату `skillmd scan`Ограничения
Нужны Node.js 18 или новее и npm. Линтер и сканер анализируют локальные файлы, но поиск и загрузка обращаются к реестру skillmd.com. Публикация отправляет туда исходники скилла и требует авторизации. Для сохраненных подборок MCP использует `SKILLMD_TOKEN`; секрет не следует передавать аргументом командной строки.
Флаги сканера отражают найденные признаки действий. Намерения автора они не определяют. Установленный скилл затем влияет на поведение агента и может потребовать запуска команд. Лицензия MIT относится к локальному инструменту; доступность и условия реестра определяет его оператор.
Как отключить. Скиллы, поставленные через `skillmd add`, снимает `skillmd remove`. Саму программу удаляет `npm uninstall -g skillmds`. MCP-сервер убирают командой `claude mcp remove skillmd` или удалением записи из конфигурации клиента.
Частые вопросы
Как подключить MCP-сервер SkillMD к Claude Code?
Выполните `claude mcp add skillmd -- npx -y skillmds`. Для Claude Desktop, Cursor, VS Code и Windsurf в конфигурацию добавляют запись `mcpServers` с командой `npx` и аргументами `-y` и `skillmds`. Есть и размещенный вариант по адресу `https://api.skillmd.com/mcp` без установки.
Выполняет ли `skillmd add` скрипты скилла?
Нет: по описанию установщик только копирует файлы с предварительным линтингом и сверкой контрольной суммы, скрипты сам не запускает. Безопасность последующего выполнения инструкций агентом это не гарантирует. Флаг `--deny executes_scripts` позволяет отфильтровать скиллы с обнаруженными признаками запуска скриптов.
Что такое плагин в терминах SkillMD?
Набор скиллов, который ставится одной командой, например `npx skillmds add plugin:skillmd/design`. В Claude Code он становится настоящим плагином с общим включением и удалением, в остальных агентах скиллы ставятся по отдельности.
Как проверять скиллы в CI?
Подключите GitHub Action `skillmds/skillmd/action@v1` или запустите `skillmd lint . --format sarif` и загрузите файл в GitHub Code Scanning. Ключ `--strict` превращает предупреждения в ошибки.
Что показывают флаги сканера?
Пять классов: `docs_only` для скиллов без исполняемого кода; `network_calls` для обращений к сети; `executes_scripts` для запуска команд и скриптов; `reads_secrets` для доступа к переменным окружения, токенам и файлам учетных данных; `untrusted_install` для загрузки и запуска из нестандартного источника.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыСвыше 1100 готовых скиллов для Claude Code, Codex, Gemini CLI и Cursor и MCP-сервер, который подбирает скилл под задачу
skill-creator — скиллы из OpenAPI, GraphQL и MCP
@asnd/skill-creator
Команда /skill-creator превращает ссылку на OpenAPI, GraphQL или MCP-сервер в готовый скилл с обертками и справочными файлами.
Agent Skills от Tech Leads Club
Agent Skills
Проверяемый реестр скиллов с CLI для установки в два десятка агентов и MCP-сервером для поиска скиллов на лету
Десятки скиллов инженера mizchi: аудит фронтенда, AWS, Cloudflare, SQL, Playwright и OpenTelemetry, ставятся по одному
skills-npm подключает скиллы агентов из зависимостей проекта в node_modules и из поля skills в package.json
dotnet-skills — установщик скиллов для .NET
dotnet-skills
Установщик каталога скиллов для .NET: сам подбирает их по файлам проекта и ставит в Claude Code, Codex, Copilot и Gemini CLI
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| SkillMD (эта карточка) | нет | 189 | |
| SkillSpector | нет | 24 472 | сканер безопасности скиллов и MCP от NVIDIA, ищет промпт-инъекции и утечки данных |
| SkillHub (iFlytek) | нет | 5 389 | самохостящийся корпоративный реестр скиллов с публикацией и версиями |
Коротко о README
Движок анализа доступен отдельным пакетом для интеграции в другие инструменты. Для командной проверки есть GitHub Action и вывод SARIF, который можно загрузить в GitHub Code Scanning.