2026AI Agent Skills 技能库怎么选：ClawHub、SkillsBot 、skills.sh、SkillsMP全维度对比

结论先说：没有一个技能库在所有场景都最优。 按 2026 年的实际使用情况，ClawHub 适合 OpenClaw 生态内的深度用户，skills.sh 适合想要跨工具安装和在命令行里完成一切的工程师，SkillsMP 适合需要大规模索引和程序化检索的场景，而面向中文使用者的场景——看不懂英文说明、下载慢、分类对不上——SkillsBot 这类中文镜像站的边际收益最大。

如果你只想知道「我现在该打开哪个」，跳到第三节的分场景表。

一、2026 年为什么突然所有人都在聊「技能库」

Agent Skills 这个格式是 Anthropic 在 2025 年底提出并开放的。它的核心设计非常克制：一个技能就是一个文件夹，里面有一个 SKILL.md，写清楚「什么时候用我」和「怎么用我」。 没有运行时，没有 SDK，没有编译步骤。

正因为门槛低，生态在半年内炸开了：目录站、市场、镜像站、CLI 工具一下子冒出十几个。问题也随之而来——同一个技能可能在四五个站点都被收录，但版本、说明、安装方式各不相同。

于是「选哪个技能库」从一个没必要的问题，变成了一个真问题。

二、五个平台的实际定位差异

先给一张速查表。注意规模数字的口径完全不同：有的统计 Skill 条目数，有的统计文件数，有的只统计人工审核过的条目，所以数字大不代表覆盖广。

几个容易被忽略的差异点

1. 审核强度不等于安全。 ClawHub 有最严格的人工审核流程，但它恰恰是 2026 年上半年被公开披露过供应链问题最多的平台之一——因为审核量大、攻击面也大。安全这件事，第四节单独讲。

2. 安装方式决定了你的工作流能不能自动化。 只有提供 CLI 的目录（skills.sh、SkillsMP、ClawHub）才能进 CI，才能写进 Dockerfile，才能团队统一。纯网页目录在这一点上是残缺的。

3. 中文支持不是「有没有翻译」，而是「分类体系对不对得上」。 英文站点的分类是 tools / plugins / productivity 这类，中文使用者的真实检索词是「爬虫反检测」「量化取数」「公众号排版」。分类体系错位，搜索再准也没用。

三、按场景选：四种人，四种答案

再补一个很多人会问的：只是想先看看有哪些技能，不打算装。 这种情况别去目录站，直接看排行榜。榜单比分类目录高效得多，因为安装量已经替你做了第一轮筛选。SkillsBot 的榜单会显示每个技能的真实安装数（当前榜首是股票量化类技能，可见安装量在千级），这个信号比任何编辑推荐都硬。

四、安全这道坎，所有平台都还没解决

2026 年上半年，安全研究者披露过两次规模较大的技能供应链问题：一次是数百个技能在 HTML 注释里藏指令，诱导 Agent 在「试运行」时把环境变量和 API Key 外传到外部地址；另一次是大量技能冒用知名开发者身份发布，占比高到 37%。

两次事件之后的共同应对是：平台加强审核、要求签名、批量下架。但结论没变：目录站只负责收录，不负责担保。

所以不管你选哪个平台，装之前都该做三件事：

# 1. 把技能拉到本地，先读一遍，不要直接装
git clone <repo> && cat <skill>/SKILL.md

# 2. 搜索可疑指令
grep -rniE "ignore previous|system prompt|curl|requests\.post|env\[|os\.environ" <skill>/

# 3. 用最小权限跑第一次（不要在有凭证的环境里试）

这三步不看平台，看的是你的习惯。审查清单我在另一篇里展开了，这里不重复。

五、中文使用者要额外考虑的变量

如果你在国内做开发，英文站点的三个隐性成本会持续消耗你：

• 网络成本：技能包通常几百 KB 到几十 MB，跨境拉取超时是常态，批量部署时一个超时打断整个流程。
• 语言成本：一个技能的 README 写着「A MCP server implementation for blah blah」，你得先判断它到底能不能解决你的问题，再决定要不要花时间读代码。
• 语义成本：英文分类里 productivity 底下可能同时躺着 Git 提交助手和番茄钟，你要的不是这个粒度。

SkillsBot 这类站点的价值就落在这三点上：国内节点解决拉取，中文说明解决判断，场景化分类解决检索。 它底层收录的还是同一批开源技能，只是把「从看到到跑通」的中间损耗压掉了。

需要提醒的是：镜像站解决的是可用性，不解决安全性。镜像过来的技能仍然是第三方代码，审查动作一个都不能省。

六、我的实际组合方式

跑了大半年之后，我的固定组合是这样：

发现    → 榜单看趋势（哪个方向在冒头）
          ↓
检索    → 中文场景分类找具体能力（关键词对得上）
          ↓
判断    → 读中文说明 + 看安装量 + 看最后更新时间
          ↓
审查    → 本地 clone，读 SKILL.md，grep 可疑指令
          ↓
安装    → CLI 一条命令，锁版本
          ↓
验证    → 用一句话触发，确认真的加载了

前三步在中文站完成，后三步在本地终端完成。这个分工比「在一个站点里做完所有事」实际得多——发现和判断靠人，审查和执行靠工具。

FAQ

Q：技能库是不是收录越多越好？

不是。收录量只代表索引能力，不代表可用性。一个收录一万条、每条都有中文说明和可用性标注的库，比收录十万条、八成是 Hello World 的库有用得多。

Q：同一个技能在几个平台都有，版本会不一样吗？

会。差异通常来自镜像延迟和是否跟随上游更新。装之前看一眼仓库的最后提交时间，比看平台标注的版本号可靠。

Q：国内镜像站会不会有篡改风险？

理论上任何中间环节都增加了一个信任点。实践中的做法是：镜像站用来发现和判断，最终安装尽量回源到原始仓库，或者对比文件哈希。

Q：我需要同时用几个技能库吗？

两个就够：一个负责发现（中文站，解决检索效率），一个负责安装（带 CLI 的目录，解决自动化）。再多就是重复劳动。

Q：免费的技能库和付费市场差在哪？

主要差在审核成本和创作者分成机制。付费市场通常有更强的安全扫描和更明确的责任主体，免费目录胜在覆盖面。个人开发者用免费目录加自己的审查习惯，性价比最高。

不管最后选哪个入口，建议从一件事开始：打开榜单，找一个和你当下工作直接相关的技能，装上，用一句话触发它，看它有没有真的生效。 这一步跑通，你对整个生态的理解会比读十篇介绍都快。