截至 2026 年 10 月 22 日，智能体技术栈的每一层都有了一份厂商中立的规范——API 形状、能力包、工具连接、智能体之间的调用、路由、沙箱、训练环境。Agentic AI Foundation 如今握着十个项目，把这些全覆盖了。而其中没有一个回答了那个真正决定「这一切跑起来是否安全」的问题：谁被允许发布这样一件制品，以及当某个东西加载了它之后，它被允许做什么。
速览
AAIF 于 2025 年 12 月作为 Linux Foundation 下的一个定向基金启动，由 Anthropic、Block 与 OpenAI 共同创立，起手三个项目。2026 年 10 月 22 日在圣何塞的 AGNTCon + MCPCon North America 上宣布新增的四个，让它在第一年就凑到了十个。
| 项目 | 来处 | 它标准化的那一层 |
|---|---|---|
| Open Responses | OpenAI | LLM API 本身——消息、工具调用、函数调用 |
| Agent Skills | Anthropic | 智能体按需加载的、打包好的做法 |
| MCP | Anthropic | 智能体到工具、智能体到数据的连接 |
| A2A | 智能体之间的通信 | |
| AGENTS.md | OpenAI | 给编码智能体的仓库级指令 |
| goose | Block | 一个开源智能体客户端 |
| Agent Router | 既有 AAIF 项目 | 跨模型与跨供应方的请求路由 |
| agentgateway | 既有 AAIF 项目 | 智能体与工具之前的网关与代理层 |
| OpenSandbox | Alibaba | 智能体生成代码的隔离执行 |
| OpenEnv | Hugging Face | 用于训练智能体的强化学习环境 |
真正交出去的是什么
就 Agent Skills 而言，Anthropic 捐出了名称与标识、那个 GitHub 组织，以及 agentskills.io 域名。来自 Anthropic、Google、OpenAI 及其他公司的工程师将以个人身份维护它；David Soria Parra 与 Mahesh Murag 被列为首席维护者。Anthropic 提出了一份路线图：带版本的发布、一套正式的提案流程，以及给编写和安装技能的人的安全指引。使用或贡献这个标准并不需要加入 AAIF。
这是一次真实的控制权转移，不是一份新闻稿。域名与 GitHub 组织正是那两样东西——有它们，一家公司就能单方面重新定义格式、或者把社区 fork 出去——而放手，才是真正有代价的那部分。同一招在 MCP 上奏效过：Anthropic 在 AAIF 成立之时就把它捐了出去，此后它发布的规范修订是由维护者推动的，而不是由某一家的产品日历推动的。
Anthropic 在捐赠公告里一并公布的数字，是下文一切的背景。Agent Skills 于 2025 年 10 月面世，并在当年 12 月作为标准发布。此后：70 多个智能体平台集成了它，其中包括 ChatGPT、Cursor、GitHub Copilot 与 VS Code；大约一百万个技能被发布；而安装次数接近 2.8 亿。
格式不是信任边界
一份规范能说三类话。它能描述一种线上格式或文件布局——一个技能文件夹长什么样，一次工具调用长什么样。它能强制一种协议行为——你必须发这个头，你必须拒绝这类请求。它还能给实现者加上一条带安全后果的要求，而这正是 MCP 最终走到的那一类：它的规范开始逐一点名禁止某些反模式。
一份规范做不到的，是替你做准入决策。准入问的是：这一件特定的制品、来自这一个特定的发布者、处在这一个特定的修订版上，是否被允许加载进一个握着你凭据的上下文里。这个决策由宿主在安装时做出，它依赖的事实是格式并不携带的，而任何标准都接不过去——因为标准的全部职责就是让这件制品在哪儿都一模一样地跑起来，而这恰恰与「按来源区别对待」相反。
所以可移植性与准入是以一种很具体的方式彼此拉扯的。格式越成功，加载为它而写的制品的宿主就越多，而任何单一恶意制品的触达面也就越宽。标准化是一种杠杆，而杠杆没有方向。一个因为双方都正确实现了规范而能在一个客户端里跑起来的技能，也会因为七十家都正确实现了而在七十家里跑起来。
这不是一个反对标准化的论证。这是一个关于次序的论证。在任何类似「发布者身份」或「修订版钉定」的约定出现之前，这个格式已经触达七十个平台、2.8 亿次安装——而现在才采纳的约定，得在一个早已出货的安装基数上做翻新。
安装基数先到，指引后到
两份已发表的审计能让人对已在流通的东西有个概念，而读它们时值得把方法一起读进去，而不是只读标题里的百分比。
那份规模研究。《Agent Skills in the Wild》（arXiv 2601.10338）在 2025 年 12 月从两个市场收集了 42,447 个技能，去重后分析了 31,132 个，外加 3,574 个随包的可执行脚本。它的工具 SkillScan 把静态分析与 LLM 分类结合起来，并以 500 个人工标注的技能做校准。结论是：26.1%——8,126 个技能——至少带有十四种危险模式中的一种，其中 12.8% 为低严重度（做法糟糕）、8.1% 为中（意图含混）、5.2% 为高严重度（提示存在恶意意图）。一份后续研究报告称，随包带可执行脚本的技能，含有漏洞的可能性是纯指令型技能的 2.12 倍（比值比 2.12，p<0.001）。
那场战役。2026 年 1 月下旬，Koi Security 审计了 ClawHub 注册中心上的 2,857 个技能，查出 341 个恶意技能，其中 335 个属于同一场战役——ClawHavoc——投递的是 Atomic Stealer 这个 macOS 窃密程序。真正要紧的细节是投递方式：那条恶意指令待在 SKILL.md 一个伪造的「前置依赖」小节里，指挥智能体去运行一个安装程序。不是随包脚本里混淆过的代码。是散文，写在那个全部存在意义就是「被读到并被照办」的文件里。
把这两份放到一起，问题的形状就清楚了。危险面不是某一个文件。一个技能的指令，会被一个专为遵循指令而造的模型执行；而一个技能的脚本，会被一个 shell 执行。两者都是活的。这意味着「审一下这个技能」并不是一个定义清楚的动作——除非你同时说出你审的是哪个修订版，而一个技能文件夹根本没有版本字段。我们在审查一个第三方技能里把「一次可用的审查到底长什么样」走了一遍。
反方论证，而且是个好论证
MCP 正是该乐观的理由，而它值得被妥当陈述，而不是挥挥手带过。MCP 在 2025 年 12 月带着一个可比的问题进入 AAIF：一个高速增长的第三方服务器生态、没有信任模型，以及一批规范并未处理的攻击。它后来的修订版处理了——规范开始逐一点名禁止 confused deputy 式的委派、令牌透传、会话劫持以及另外几种模式，而这恰好就是上文第三类规范陈述；而且这是在基金会托管之下发生的，不是尽管有基金会才发生的。本站关于 MCP 安全反模式与OAuth 2.1 配置的两篇，就是一份「标准长出牙齿」的记录。
所以诚实的说法不是「基金会交付不了安全要求」。而是：MCP 大约花了一年的修订才走到那一步；那些要求落在服务器实现者身上，而不是落在分发它们的注册中心身上；而从「我们有了一个中立的家」到「规范对某件事说不」，这段距离是按季度量的。Agent Skills 现在有的是一份提议中的路线图，和一个收集反馈的 Discord 频道。那是个对的开头，而它不是一道控制。
还有一处结构性差异，让技能比 MCP 更难办。一台 MCP 服务器是你指向的一个服务：有 URL、有身份、有一个你可以撤权的运营方。而一个技能是你复制的一个文件夹。没有端点可以取消授权、没有令牌可以吊销、另一端也没有运营方——只有一些早已躺在某个仓库里的文件，等着下一个任务描述对得上的智能体来加载。
在这期间，边界必须落在哪里
有三个地方能承载这个决策，而它们的失效方式各不相同。发布者身份能拒掉一个你不认识的作者，却说不出一个你认识的作者最新那次推送是否安全。制品内容——也就是扫描——能拒掉它有特征的那些模式，并且在文件夹一变就过期，而文件夹变起来可以不带任何版本号变更。运行时能力拒的是动作而不是制品：如果一个被加载的技能既摸不到网络、也起不了 shell，那它说什么就变得没那么要紧了。只有第三种对「制品在你脚下悄悄变了」是稳健的，而它恰恰是那十个项目里没有任何一份规范提供的，因为能力是宿主的性质。
这就指向了实务上的结论。标准化在每一层都给了你可移植性；在准入这一层它什么也没给，而安装基数已经大到让任何事后补上的约定都要花上好几年才能覆盖。在某份规范另有说法之前，你运营的那个智能体运行时，就是这个技术栈里唯一的信任边界——而它的配置应当当作「每一件被加载的制品都是第三方内容」来做，因为它们越来越就是。
到底该做什么
- 把技能钉到一个提交上，而不是一个名字上。一个没有版本字段的文件夹，没法靠比对来重新审查。把你依赖的那些 vendor 进你自己的仓库，把更新当成可审阅的 diff 来接——就像你对别的一切做钉版本与校验那样。
- 把指令当成可执行的东西。审
SKILL.md里的散文，要和审一个随包脚本一样认真。迄今规模最大的那场战役，就是靠一个「前置依赖」小节投递载荷的，因为模型就是那个解释器。 - 给被加载的技能一份能力预算，而不是一个信任等级。网络出口、shell 访问与凭据触达，是把一条指令变成一场事故的那三样。出口控制是投入产出比最好的那一道。
- 把「什么装在了哪里」列成清单。接近 2.8 亿次安装是一个生态级的数字；你自己那个数字是你能知道的。如果你现在拿不出来，那就是第一处缺口。
- 把路线图当成前瞻性陈述来读。带版本的发布与安全指引是提议中的，不是已交付的。请按现在真实存在的那个版本的格式来规划。
这次捐赠本身是好消息，也该这么读。智能体技术栈又有四层有了中立的所有者，这严格优于「又有四层归最先把它做出来的人所有」，而维护它们的人是以个人身份而不是以代表身份在做。缺口比「这不安全」更窄，也比一个新闻周期更耐久：一份可移植的格式会把你经由它加载的任何东西放大，而「加载什么」这个决定，仍然完完全全在你手里。
常见问题
Agentic AI Foundation 是什么？
Linux Foundation 下的一个定向基金，2025 年 12 月启动，由 Anthropic、Block 与 OpenAI 共同创立。它的治理董事会负责成员、预算与新项目的批准，而每个项目各自保留对自身技术方向与维护者的控制。
2026 年 10 月 22 日 Agent Skills 发生了什么变化？
Anthropic 把该标准的名称与标识、它的 GitHub 组织以及 agentskills.io 域名捐给了 AAIF。来自 Anthropic、Google、OpenAI 及其他公司的维护者现在以个人身份托管它，David Soria Parra 与 Mahesh Murag 任首席维护者。
这次捐赠在今天改变了技能安全的任何事吗？
没有。带版本的发布、正式的提案流程，以及给技能作者与安装者的安全指引，都是提议中的路线图条目。这个格式就其现状而言，不携带发布者身份、没有版本字段、也没有能力声明。
到底有多少智能体技能是恶意的？
没人有一个经确认的数字。规模最大的那份已发表研究分析了 31,132 个技能，把其中 5.2% 归入「提示存在恶意意图」的高严重度一档，而那是一个严重度判断，不是经确认的恶意软件。一场有记录的战役 ClawHavoc，在 2026 年 1 月单个注册中心上就占了 335 个恶意技能。
随包脚本才是危险的那部分吗？
它们的实测可能性更高——含有漏洞的可能性是纯指令型技能的 2.12 倍——但现实中规模最大的那场战役用的却是 SKILL.md 里的散文。两者都是可执行面：一个由 shell 执行，一个由模型执行。
另外三个新项目是什么？
来自 OpenAI 的 Open Responses 把消息、工具调用这类 LLM API 原语在各供应方之间标准化；来自 Hugging Face 的 OpenEnv 是一个用于训练智能体的强化学习环境框架；来自 Alibaba 的 OpenSandbox 是一个通用沙箱平台，用于隔离运行智能体代码。
延伸阅读
本站：
- 审查一个第三方技能——一次可用的安装时审查长什么样。
- 智能体技能——这个格式是什么，以及那句描述为何决定一切。
- 技能、子智能体、MCP 还是钩子——在这些规范覆盖的机制之间做选择。
- MCP 安全反模式——一份规范最终说「不」的先例。
- 智能体供应链安全——这一切所处的那一类问题。
- 用户自撰技能——你自己产品内部的同一种危害。
- 智能体互操作性——这场标准化推动究竟为何存在。
来源：
- Anthropic — Donating Agent Skills to the Agentic AI Foundation（2026 年 10 月 22 日）
- Linux Foundation — Agentic AI Foundation announces four new projects（2026 年 10 月 22 日）
- Model Context Protocol blog — MCP joins the Agentic AI Foundation（2025 年 12 月 9 日）
- arXiv 2601.10338 — Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale
- The Hacker News — Researchers find 341 malicious ClawHub skills（Koi Security 审计）
- Agentic AI Foundation — Projects