Ein Blick auf das, was heute auf GitHub trendet, und die Liste liest sich seltsam. Ganz oben stehen keine Compiler, keine Datenbanken, keine Frameworks. Es stehen Repositories dort, deren Inhalt im Wesentlichen Prosa ist: Ordner voller Markdown mit etwas YAML davor, gelegentlich ein Skript dahinter.
Stern-Geschwindigkeit ist eine schlechte Metrik und ein gutes Signal. Schlecht, weil sie Aufmerksamkeit misst statt Nutzung und sich leicht manipulieren lässt. Gut, weil sie zeigt, womit sich viele Entwickler an einem Tag beschäftigen – und die Zusammensetzung dieser Liste hat sich verschoben.
Markdown ist ausführbar geworden
Das Format ist ungefähr so: ein Ordner, eine `SKILL.md`, die beschreibt, was die Fähigkeit tut und wann ein Agent danach greifen sollte, ein bisschen Frontmatter für Name und Beschreibung, optionale Skripte oder Referenzdateien, die der Agent liest, wenn er sie braucht. Der Agent überfliegt die Beschreibung, entscheidet, dass sie relevant ist, und lädt den Text. Das ist das ganze Protokoll.
Es lohnt einen Moment, wie seltsam das ist. Dreißig Jahre lang war die Einheit der Softwareverteilung ein kompiliertes Artefakt oder ein Paket mit Abhängigkeitsgraph. Jetzt wird ein erheblicher Teil der Fähigkeiten als Prosa ausgeliefert – und die Prosa ist keine Dokumentation über das Verhalten, sie ist das Verhalten. Schreib in eine Skill-Datei "prüfe vor dem Parsen immer, ob die CSV eine Kopfzeile hat", und du hast einen Bugfix ausgeliefert. Schreib das Falsche, und du hast einen Bug ausgeliefert.
Warum es so schnell um sich greift
Vier Gründe, und alle handeln von Reibung:
Kein Build-System. Keine Versionskompatibilitätsmatrix. Keine transitiven Abhängigkeiten aufzulösen. Eine Skill lässt sich im Browser forken und in einem Diff prüfen – mehr, als man über das meiste sagen kann, das in einem `node_modules`-Ordner landet.
Die Zielgruppe liest den Quelltext. Ein Agent braucht kein SDK, keinen Type-Stub, kein Changelog. Er liest die Datei.
Und die Ökonomie ist ungewöhnlich flach. Wer eine Aufgabe einmal gut erledigt hat, kann aufschreiben, wie er es getan hat, und dieses Artefakt ist sofort für einen Agenten nützlich – ohne Verpackungsschritt dazwischen. Die Strecke zwischen "ich weiß, wie das geht" und "das ist verteilbar" ist auf die Länge einer Textdatei geschrumpft.
Der Teil, den niemand prüft
Damit zum Problem, und es ist ein ernstes.
Eine fremde Skill zu installieren bedeutet, einem Agenten Anweisungen zu geben, die du nicht geschrieben hast. Das ist Prompt-Injection mit Paketnamen und Sternchen. Eine Skill kann einen Agenten anweisen, Dateien zu lesen, die er nicht lesen sollte, Zugangsdaten in eine Ausgabe zusammenzufassen, eine Bibliothek aus kommerziellen statt technischen Gründen zu bevorzugen – oder schlicht in eine bestimmte Richtung selbstsicher falsch zu liegen. Nichts davon ist Malware nach der Definition irgendeines Scanners. Es ist ein Satz in einer Markdown-Datei.
Das Ökosystem hat kein Gegenstück zu `npm audit`. Es gibt keine Advisory-Datenbank für "diese Skill weist den Agenten an, Umgebungsvariablen zu exfiltrieren". Es gibt keine Lockfile-Semantik für Prosa, und einen Commit zu pinnen hilft nur, wenn man diszipliniert genug war, ihn zu pinnen.
Die seltsame gute Nachricht
Hier ist die Wendung, die das vom üblichen Lieferketten-Jammer unterscheidet: Die Prüffläche ist klein genug geworden, um tatsächlich geprüft zu werden.
Ein typisches JavaScript-Paket zieht Hunderte Dateien herein, die du nie öffnest. Eine Skill ist meist eine Datei, und sie zu lesen dauert zwei Minuten. Das Artefakt, das deinen Agenten kompromittieren kann, ist für einen Menschen in einer Sitzung lesbar – das Gegenteil der Lage, über die wir ein Jahrzehnt lang geklagt haben.
Die Prüflast ist nicht der Engpass. Die Gewohnheit ist es. Die meisten installieren ein trendendes Repository so, wie sie ein Paket installieren: weil es trendet.
Was zu tun ist
Behandle Skills in Sachen Berechtigungen wie Code, denn das sind sie: pro Commit gepinnt, auf die Verzeichnisse beschränkt, die sie wirklich brauchen, und vor der Installation gelesen – die ganze Datei, nicht das README. Sei misstrauisch gegenüber einer Skill, deren Anweisungen vage bleiben, warum sie etwas will, und gegenüber jeder Skill, die breiten Dateisystem- oder Netzzugriff verlangt, den sie nicht in einem Satz rechtfertigen kann.
Und bemerke die Verschiebung, während sie passiert. Die Einheit offener Zusammenarbeit ändert ihre Form – von einer Bibliothek, die du aufrufst, zu einer Anweisung, der ein Agent folgt. Das ist eine wirklich neue Art von Softwareartefakt, und das Ökosystem darum – Prüfnormen, Herkunft, Widerruf – ist noch nicht gebaut. Die Repositories oben auf der Trending-Seite argumentieren dafür, ob sie es wollten oder nicht.
