自助技能锻造器

要解决的问题

Agent 执行复杂任务时经常卡在缺少某类专有技能上：比如某个数据格式处理、某个工具链集成、某个多步骤流程没有现成可复用能力。如果每次都由人工找包、审包、安装、改 prompt，循环会断掉。这个技能把“缺什么就补什么”变成 Agent 可执行的流程，而不是口头承诺。

如何工作

它围绕搜索、审计、安装、生成、迭代五个动作展开：

• 需求识别：判断当前缺口是否适合封装为技能，避免把一次性操作拆成噪声。
• 双路搜索：优先查推荐市场，同时用外部社区作为候选池；外部来源必须进入安全审计。
• 风险分级：按 P0 高危、P1 警告、P2 可安装处理，覆盖破坏性命令、代码注入、外发请求、硬编码凭据等。
• 安装与落地：市场来源通过既有宿主能力完成真实安装，禁止伪造 skillId；找不到合适技能时，再生成带 SKILL.md 的目录。
• 迭代更新：技能报错、用户反馈不足、发现更优工具或市场有新版时，读取现有实现、修改、递增版本、追加 CHANGELOG.md，并复检安全。

适用边界

它适合需要持续演化的任务型 Agent，不适合一次性简单问答。市场安装后不自动启用；用户修改后的市场技能需要标记本地改动，避免后续更新覆盖。任何生成或迭代后都必须做安全自检，涉及敏感信息的操作仍交由用户决策。