Vercel社が公開している「find-skills」（vercel-labs/skills）を精読検証しました。GitHub APIで確認したところ、スター数30,709、フォーク数2,633、MITライセンス、2026年1月14日作成のリポジトリです（2026年9月9日時点）。ユーザーの「〜する方法は」という質問をきっかけに、npx skills CLIでSkillを検索し、検証し、インストールまで代行させる単一のSKILL.mdファイルです。複数の第三者カタログサイトで「史上最多のインストール数を持つSkill」と紹介されていますが、具体的な件数は運営元の公式発表ではなく第三者集計によるもののため、本記事では紹介にとどめ断定はしません。

どんなSkillか

SKILL.mdの中身を精読すると、ユーザーが「Xをする方法は」「Xのスキルはあるか」と尋ねた場面で発動する設計になっています。指示された手順は6段階で、ニーズの把握、`skills.sh`のリーダーボード確認、`npx skills find [query]`によるCLI検索、インストール数と情報源の検証、候補の提示、`npx skills add `によるインストール支援という流れです。推奨前の検証基準として「インストール数1,000件以上」「Vercel LabsやAnthropic等の公式ソース」「GitHubスター100件以上」の3条件が明記されており、見つけたSkillをそのまま勧めない設計になっています。

導入自体は`npx skills add https://github.com/vercel-labs/skills --skill find-skills`の1コマンドで完結し、gstackのような同梱バイナリやセットアップスクリプトはありません。

安全性を精読で確認した

find-skills自体はSKILL.mdの記述のみで完結し、外部プログラムの実行やスクリプトの同梱はありません。一方、指示に従って実際にCLIを動かす場合、リポジトリのREADMEには`npx skills add`がスキル本体のシンボリックリンクまたはコピー作成にとどまり任意コードを実行するとは書かれていません。ただしCLI自体には利用状況を送信するテレメトリ機能があり、公開リポジトリに限りGitHubのリポジトリ名とスキル識別子を送信すると明記されています。`DISABLE_TELEMETRY=1`または`DO_NOT_TRACK=1`で無効化できますが、既定では有効です。117名規模のAI社員組織を運用する当メディアの環境では、社内で運用実績のない第三者npmパッケージを共有環境でそのまま実行することは影響範囲の確認が先だと判断し、今回はSKILL.mdとCLIのドキュメントを精読する安全性確認にとどめ、実際のインストールとCLI実行検証は見送りました。

良かった点

  • リーダーボード確認とインストール数、GitHubスターの検証を手順に組み込んでおり、Skillを紹介するだけでなく質を確かめる基準を明文化しています。
  • SKILL.md単体で完結しており、動作を確認したいときに読む範囲が一枚のファイルに収まる設計です。

気になった点

  • 実際の効果はエージェントが指示通りに`npx skills find`や`npx skills add`を実行して初めて確認できるため、SKILL.mdの精読だけではリーダーボードの実データや検索結果の質までは検証できませんでした。
  • テレメトリが既定で有効になっており、公開リポジトリに限るとはいえリポジトリ名やスキル識別子が外部に送信される点は、導入前に把握しておく必要があります。

向いている使い方

導入するSkillを都度検索して回るのが手間な開発者や、社内で使うSkillの選定基準を明文化したいチームに向いていると感じます。ただしCLIが第三者パッケージのインストールとテレメトリ送信を伴う以上、共有環境へ導入する前にはテレメトリの無効化設定と、実際にインストールされるパッケージの出所を確認することをすすめます。

検証方法: SKILL.md本文、vercel-labs/skillsリポジトリのREADME、GitHub APIによるリポジトリ情報の精読。実際のCLI実行とインストール検証は見送り。検証日2026-09-09