La biblioteca abierta
y fiable de skills de IA

El tamaño es fácil. La confianza es lo que cuenta.

Resumen

Una skill es un método en texto plano (un único archivo .md) que entregas a tu asistente de IA para que realice una tarea profesional con un enfoque probado. Una skill es también un conjunto de instrucciones que tu agente ejecutará con tus permisos — lo que convierte cada biblioteca de skills en una cadena de suministro. Este documento describe una biblioteca construida para esa realidad.

1.El problema

La escala está medida, no es anecdótica. Al analizar 3.984 skills en dos hubs públicos el 5 de febrero de 2026, Snyk halló que el 36,82 % tenía al menos un fallo de seguridad y el 13,4 % al menos un problema crítico — además de 76 cargas creadas para robo de credenciales, puertas traseras y exfiltración, 8 de ellas aún descargables el día de la publicación.

La causa es estructural, no accidental. El primer análisis sistemático de seguridad del formato, Towards Secure Agent Skills (Li, Wu, Ling, Cui y Luo, abril de 2026), traza siete categorías de amenaza a lo largo del ciclo de vida de una skill y señala la ausencia de una revisión de seguridad obligatoria en los marketplaces como una de las tres debilidades arquitectónicas tras las más graves.

Un archivo de skill es un conjunto de instrucciones sin firmar que tu agente ejecuta con tus permisos. Al ecosistema le sobran colecciones grandes; le falta una de la que instalar con los ojos cerrados. Esta biblioteca es la respuesta a esa frase del artículo.

2.Qué garantiza cada skill de esta biblioteca

1. Cada skill DEBE leerse línea por línea antes de incorporarse, por una persona. La automatización sola nunca incorpora nada, y la lectura ocurre a la vista, en la pull request.
2. Cada skill DEBE ser markdown legible en claro: lo que lees es exactamente lo que ejecuta tu agente.
3. Blobs codificados, instrucciones ocultas, trucos de ancho cero: RECHAZADOS en la revisión.
4. Carga remota de instrucciones y vías de exfiltración de datos: PROHIBIDAS, verificadas de forma explícita.
5. Cada skill DEBE declarar cómo se degrada cuando falta una herramienta — "marca N.D. con un motivo" vale más que un éxito adivinado.
6. Las skills llevan versión y changelog; los métodos obsoletos se marcan y los avisos se publican. Independientes del modelo por diseño.

3.Ejemplo (extracto de la biblioteca inicial)

---name: honest-status-reportdescription: Status reports that declare failures,  blockers and partial results as visibly as successes.---✓ revisión — el frontmatter coincide con el nombre del archivo; la descripción dice cuándo activarla2. Classify each item, strictly:   - Done & verified — completed AND checked.   - Failed / errored — attempted, went wrong.   - Silently skipped — planned, then untouched.✓ revisión — cero instrucciones ocultas; cero peticiones externas; degradación declaradaThe order is fixed: problems before achievements.

Las skills iniciales provienen de métodos usados a diario en una redacción de IA en producción (más de 200 artículos con fuentes, tres idiomas, una revista impresa semanal). Se revisaron igual que se revisará la tuya.

4.Usar una skill — en cualquier asistente

La biblioteca contiene 22 skills revisadas en cuatro categorías — workplace/, writing/, engineering/, agents/. La release las distribuye con la estructura que define la especificación Agent Skills, así que instalar es copiar una carpeta:

1. Asistentes que leen un directorio de skills — descarga y descomprime la release, luego copia la skill que quieras:
   cp -r skills-commons-v1.0.0/engineering/commit-message-pro ~/.claude/skills/
   Se activa cuando pides esa tarea. Copia */* para instalar las 22.
2. Instrucciones de proyecto (Claude.ai, ChatGPT, Gemini) — pega el contenido del archivo en un proyecto, GPT personalizado o Gem. Luego pide la tarea.
3. Cualquier otro asistente — pega el archivo como primer mensaje y luego haz tu petición.

Leer el archivo antes de ejecutarlo es la clave, por eso las fuentes siguen consultables con un archivo por skill en el repositorio. La release es el mismo contenido, con forma instalable.

FAQ

1. ¿Funciona con cualquier IA? Sí, por diseño: las skills son independientes del modelo — nombran capacidades ("cuando hay ejecución de código disponible") en lugar de las herramientas de un proveedor. Un asistente más capaz ejecuta más partes del método; cada skill declara cómo se degrada cuando falta una capacidad.
2. ¿Para qué sirve una skill? Convierte un asistente general en un especialista de una tarea: método, entradas, formato de salida y reglas de calidad, escritos y revisados. Un prompt improvisado se vuelve un procedimiento repetible en el que confiar dos veces.
3. ¿Cómo funciona? Tu asistente lee el archivo como instrucciones operativas: pide las entradas declaradas, ejecuta los pasos y entrega la salida declarada. Markdown en claro — lo que lees es exactamente lo que ejecuta.
4. ¿Es seguro? Cada pull request debe superar comprobaciones automáticas bloqueantes — estructura, coherencia interna, contenido codificado, caracteres invisibles, peticiones de credenciales — y después la lee línea por línea un maintainer. Ambas son públicas: las comprobaciones y la revisión constan en la pull request, así que puedes juzgar tú la profundidad en vez de creernos. Y el formato es la última red: lee el archivo antes de instalarlo.
5. ¿Quién revisa? Hoy, el equipo de AGORÀ Intelligence. La biblioteca es joven y el equipo pequeño: por eso todo lo automatizable está automatizado y cada revisión vive en una pull request pública. A medida que la biblioteca crece, la capacidad de revisión es lo que debe crecer con ella — un merge aquí nunca significará menos que una persona habiendo leído el archivo.
6. ¿Cuánto cuesta? La biblioteca es gratuita, Apache-2.0, uso comercial incluido — conserva el aviso de licencia.

5.Cómo participar

1. Explora la biblioteca, instala el archivo de la skill como se describe en la sección 4 y pide la tarea.
2. ¿Empiezas ahora? RFT 2: Write Your First Skill — anatomía, un ejemplo revisado y un editor que genera un archivo conforme. La guía está en inglés, igual que las skills.
3. Contribuye una skill por pull request — la plantilla refleja la lista de comprobación de seguridad.
4. Se ejecutan las comprobaciones automáticas, un maintainer la lee línea por línea y se incorpora. El crédito queda en la propia skill.
5. ¿Has encontrado algo peligroso en una skill incorporada? Repórtalo en privado o escribe a hello@agora-intelligence.com: retirada, aviso público, crédito.