agent-operated/skills

agent-operated/skillsは、agent-operatedが公開するAgent Skillを見つけ、比較し、選択して導入するための公式入口である。

各Skillの意味、実装、protocol、schema、releaseはcomponent repositoryが所有する。このrepositoryは、それらを統合した別実装ではない。固定releaseから取り込んだ配布snapshotをcatalogとして並べる。

困りごとから選ぶ

現在promoteしているSkillは3件である。すべて固定したcomponent releaseから取り込んだpreview snapshotであり、互いを必須dependencyにしない。

Skill	用途	使う場面	使わない場面	Maturity
gtp	後から変えると高くつく判断をDecision Recordへ残す	手段が仕様で決まらず、後の変更が広い修整や互換性へ影響する	仕様ですでに決まった判断、安く戻せる局所実装、一般的な文章review	preview
pre-submission-review	提出前の文章について言語、template、可読性、参照を確認する	Issue、pull request、commit、release note、Decision Recordを外部へ出す前	成果物の正しさ、承認、workflow制御、完了Evidenceの代用	preview
exit-criteria	完成claimを、事前に固定した受入条件と実行済み検査へ結び付ける	実装前に合格条件を固定するとき、変更物を完成または利用可能と説明する前	対象の修正、承認、未知のclaimを含む完全性保証	preview

正準sourceと詳細なdocumentationは各component repositoryが所有する。

• gtp source at v2.0.10
• pre-submission-review source at v2.0.10
• component release v2.0.10
• exit-criteria component
• exit-criteria release v1.0.4

Installation surface

公式経路は、既存のSkill installerによる一覧確認と、immutableなcollection archiveからのmanual copyに限定する。独自installer、registry、daemon、background updaterは提供しない。

installerから一覧だけを確認するmoving経路は次である。これはinstallには使わない。

npx skills@latest add agent-operated/skills --list

install対象のbytesを固定する場合は、collection release noteに記載したexact commitとarchive SHA-256を使う。movingなinstaller経路でcopy installしてはいけない。

COLLECTION_COMMIT=<release-noteの40桁commit>
COLLECTION_ARCHIVE_SHA256=<release-noteのSHA-256>
curl -L "https://github.com/agent-operated/skills/archive/${COLLECTION_COMMIT}.tar.gz" -o collection.tar.gz
printf '%s  %s\n' "$COLLECTION_ARCHIVE_SHA256" collection.tar.gz | shasum -a 256 -c -

archiveを展開した後、必要なskills/<name>/だけを対象Agentの公式user-level Skill scopeへcopyする。installer、version、install mode、確認結果はcollection release noteへ記録する。

同じSkillをinstaller経路とmanual経路の両方で重複導入しない。

component repositoryからのdirect installは、このcollectionの追加後も廃止しない。

Collection contract

catalog.jsonはcommunity registryではない。collectionに含めるSkillと正確なsource identityを固定する内部contractである。

npm run sync
npm run verify
npm run verify:source
npm test

syncはgit-tree sourceについてexact tag、full commit SHA、各blob identityを照合する。release-asset sourceについて固定tagに属するasset名、GitHubのdigest metadata、downloadしたbytesのSHA-256を照合し、安全なregular fileだけをSkill directoryへ正規化する。どちらも旧snapshotと新snapshotのfileをmergeしない。

verifyはcatalogとlocal skills/の一致、Skill名、実file、独立性に反する既知のpathを検査する。verify:sourceはlocal file set、mode、bytesを固定source treeまたは正規化したrelease assetと再照合する。

skills/<name>/はimport生成物であり、直接編集しない。変更はcomponent repositoryで行い、release後にcollectionへ取り込む。

Support boundary

collectionがclaimするのは、検証時点のinstallerでcatalogと同じSkillを列挙し、選択したSkillをcopy installしてclientがdiscoverできることと、importした内容が固定source releaseと一致することだけである。

installerのinstall state、update、remove、per-agent bindingはupstream installerの責任であり、collectionのpublic contractには含めない。別version、別OS、既存Skillや別clientが共存する環境まで、collection側のsmoke test結果を一般化しない。

Skillの機能、対応OS、対応client、runtime dependency、security boundaryはcomponent repositoryのsupport claimに従う。collection側のsmoke testが通っても、それだけでcomponent全体のsupport範囲は広がらない。

変更提案はCONTRIBUTING.md、脆弱性報告はSECURITY.mdに従う。