diffox
Blog

Le agent skill più installate e a cosa servono

Claude Code, Codex, Gemini CLI, OpenCode e Cursor leggono SKILL.md. A cosa servono le skill più installate e come si installano.

CondividiXLinkedIn

In sintesi. Il 21 ottobre 2026 abbiamo letto la documentazione su skill e plugin dei 10 agenti di programmazione che leggono SKILL.md, i contatori che mostrano i pacchetti più installati (skills.sh, la directory dei plugin di Claude, GitHub) e gli studi su come le skill vengono copiate su GitHub. Non facciamo una classifica dei pacchetti; accanto a ogni numero diciamo chi l’ha contato.

  • La stessa skill può funzionare in 10 agenti, ma ognuno la installa a modo suo. La skill di qualcun altro arriva in Claude Code dentro un plugin; Codex la installa con $skill-installer o con un plugin, Gemini CLI con gemini skills install, Copilot con gh skill install. OpenCode e Goose leggono la skill che metti in una cartella.
  • Le liste delle «più installate» non contano la stessa cosa. skills.sh conta le installazioni fatte con la sua CLI, skill per skill; la directory di Claude conta le installazioni di plugin; una stella su GitHub è un segnalibro. Non sommare i numeri di due contatori e non confrontarli tra loro.
  • La maggior parte dei pacchetti è scritta per un solo compito. Alcuni per i test, altri per il debug, altri per l’interfaccia. obra/superpowers invece guida tutto il flusso, dall’idea al merge, e si carica da solo all’inizio di ogni sessione.
  • Un plugin installa più di una skill. Può portare hook e server MCP e aggiornarsi da solo; una skill copiata, invece, può non ricevere mai una correzione fatta alla fonte. Leggi prima di installare e fissa la versione.

Quali agenti di programmazione leggono le skill e come se ne installa una?

10agenti di programmazione la cui documentazione dice che leggono SKILL.md
3.797.117file SKILL.md in 282.200 repository GitHub (GitSkills, preprint)
972repository contengono una copia di una sola skill, web-design-guidelines (Skill Constellations, preprint)
15skill in obra/superpowers 7.0.0

Nell’articolo su cos’è una skill abbiamo spiegato cos’è una skill, in quale cartella va in Claude Code, Codex, Cursor, Gemini CLI e Copilot e come si scrive uno SKILL.md. Questo articolo risponde alla domanda successiva: dove e come installare le skill scritte da altri, quali sono le più installate e che cosa misurano quei numeri.

Quei cinque non sono più gli unici agenti che leggono le skill. Il 21 ottobre 2026 abbiamo guardato 10 agenti di programmazione la cui documentazione dice che leggono SKILL.md. Leggono tutti lo stesso formato; come installi una skill, dove la trovi e quando è arrivato il supporto cambia da uno strumento all’altro:

Come installare una skill in 10 agenti di programmazione, il marketplace o la directory ufficiale e la data di arrivo delle skill
AgenteCome si installa una skillMarketplace o directorySupporto alle skill
Claude Code/plugin install <plugin>@<marketplace>; le skill arrivano dentro il pluginclaude-plugins-official; aggiunto da solo nella prima sessione interattiva16 ottobre 2025
Codex$skill-installer <nome>; i plugin con /pluginsLa directory dei plugin di OpenAI (openai/plugins)19 dicembre 2025
Gemini CLIgemini skills install <url git>Estensioni; una skill può arrivare anche dentro un’estensioneIn anteprima il 7 gennaio 2026, attive per impostazione predefinita dal 27 gennaio 2026
Antigravity CLIagy plugin install <nome o url GitHub>@antigravity-plugins-officialNell’app Antigravity il 13 gennaio 2026; la CLI è uscita con il supporto alle skill il 19 maggio 2026
OpenCodeNessun comando di installazione nella documentazione; la skill si mette in una cartellaLa documentazione non lo dice22 dicembre 2025
CursorCon un plugin: «From GitHub Repository» in Customize, o un marketplace del teamcursor.com/marketplace; ogni plugin viene esaminato a mano prima di essere pubblicato22 gennaio 2026
GitHub Copilotgh skill install <repository> <skill>; --pin fissa la versioneLa documentazione rimanda ad anthropics/skills e github/awesome-copilot; in VS Code, il Customization Marketplace (sperimentale)18 dicembre 2025; gh skill il 16 aprile 2026
Ampamp skill add <sorgente>Repository di skill personali e del workspace, skill ufficiali di AmpLa documentazione non lo dice
GooseNessun comando di installazione nella documentazione; la skill si mette in una cartellaLa documentazione non lo diceLa documentazione non lo dice
PiCon un pacchetto Pi: pi install npm:… o git:…La documentazione non lo diceLa documentazione non lo dice

Fonte: la documentazione su skill e plugin di ogni agente e le note di rilascio, 21 ottobre 2026. Versioni: Claude Code 2.0.20, Gemini CLI 0.23.0 e 0.26.0, Antigravity 1.14.2, OpenCode 1.0.190 (la nota di rilascio su GitHub), Cursor 2.4; gh skill richiede GitHub CLI 2.90.0 o successiva. I plugin di Claude Code sono entrati in beta pubblica il 9 ottobre 2025, e Codex ha ricevuto i plugin il 25 marzo 2026. Il 18 giugno 2026 Google ha chiuso Gemini CLI agli utenti gratuiti e agli abbonati Google AI Pro e Ultra e l’ha sostituito con Antigravity CLI; Gemini CLI continua per chi lo usa con una licenza aziendale o una chiave API a pagamento. «La documentazione non lo dice»: nelle pagine che abbiamo letto quel giorno non abbiamo trovato una frase che lo dica.

Le cartelle di quei cinque strumenti le abbiamo descritte nell’articolo su cos’è una skill; gli agenti che lì mancavano cercano le skill qui:

  • OpenCode legge .opencode/skills nel progetto e, per compatibilità, .claude/skills e .agents/skills, dalla cartella in cui ti trovi fino alla radice del worktree git. Per le skill personali guarda in ~/.config/opencode/skills, ~/.claude/skills e ~/.agents/skills.
  • Antigravity legge .agents/skills nel progetto; la vecchia .agent/skills funziona ancora. La CLI legge le skill personali da ~/.gemini/antigravity-cli/skills e quelle dei plugin da ~/.gemini/antigravity-cli/plugins/<plugin>/skills.
  • Amp legge .agents/skills e .claude/skills nel progetto. Per le skill personali guarda in ~/.config/agents/skills, ~/.agents/skills, ~/.config/amp/skills e ~/.claude/skills, e anche nella cache dei plugin di Claude Code (~/.claude/plugins/cache). Se due skill hanno lo stesso nome, usa la prima che trova.
  • Goose legge .agents/skills nel progetto e ~/.agents/skills per le skill personali; trova anche le vecchie .goose/skills e .claude/skills.
  • Pi legge .agents/skills nel progetto, dalla cartella in cui ti trovi fino alla radice del repository, e ~/.agents/skills per le skill personali.

Due strumenti di installazione non sono legati a un solo agente. Il comando gh skill install di GitHub CLI, con --agent, installa una skill anche in Claude Code, Cursor, Codex, Gemini CLI o Antigravity. Il comando npx skills add di Vercel, secondo il suo README, installa in OpenCode, Claude Code, Codex, Cursor e in altri 75 agenti. Non dare comunque per scontato che una skill faccia lo stesso lavoro in un altro agente. Secondo lo studio Skill Constellations, le skill copiate nelle cartelle di altri agenti portano spesso i nomi di strumenti che esistono solo in Claude Code. Controlla quali strumenti chiama una skill.

C’è poi la differenza tra skill e plugin. La documentazione di Claude Code, Codex, Cursor e Antigravity descrive come distribuire le skill di altri dentro i plugin: Cursor non importa una singola skill da un repository, e Codex consiglia un plugin per distribuirle. Un plugin però può portare più delle skill. Secondo la documentazione di Claude Code, un plugin può eseguire hook e server MCP. In Codex un plugin porta, accanto alle skill, collegamenti ad app e impostazioni di server MCP; in Cursor, regole, agenti, comandi, server MCP e hook. Una skill da sola, invece, è fatta di testo, script e file di riferimento. obra/superpowers, mattpocock/skills e anthropics/skills vengono distribuiti anche come plugin.

Come si misurano le skill «più installate»?

Le liste che trovi cercando «skill più installate» contano cose diverse. Questi sono i 4 contatori che abbiamo guardato il 21 ottobre 2026:

4 contatori, e ognuno conta un’altra cosa. Non sommare il numero di un contatore a quello di un altro. 1. skills.sh. Installazioni con npx skills, per skill. 2. Directory dei plugin di Claude. Installazioni di plugin; il numero lo dà Anthropic. 3. Stelle su GitHub. Un repository nei segnalibri, non l’uso. 4. Copie su GitHub. File SKILL.md, contati dai ricercatori.
Che cosa conta ogni contatore, secondo la sua documentazione o lo studio che lo ha pubblicato, 21 ottobre 2026.
  • skills.sh è la directory di skill di Vercel. Secondo la sua documentazione, la classifica si basa su telemetria anonima raccolta dalla CLI skills e registra solo quali skill vengono installate. Un’installazione da un marketplace di plugin, con git clone o con gh skill non entra in questo contatore. I numeri sono tenuti per skill; il «total installs» di un repository è la somma delle sue skill e non dice quante persone l’hanno installato. DISABLE_TELEMETRY=1 o DO_NOT_TRACK=1 disattiva la telemetria.
  • La directory dei plugin di Claude (claude.com/marketplace) mostra un numero di installazioni accanto a ogni plugin. Il numero lo fornisce Anthropic; la pagina non dice come viene contato. Sono installazioni di plugin: oltre alle skill, un plugin può portare anche hook, agenti e server MCP.
  • Una stella su GitHub conta chi salva il repository nei segnalibri, non chi lo usa. Secondo Skill Constellations, le stelle non dicono quasi nulla su quanto le skill di un repository vengano copiate in altri repository («nearly uninformative»); lo studio segnala anche campagne di stelle false.
  • Le copie su GitHub le contano i ricercatori. GitSkills ha raccolto 3.797.117 file SKILL.md da 282.200 repository pubblici su GitHub a luglio 2026; unendo i contenuti identici ne sono rimasti 1.877.981 diversi. Secondo Skill Constellations, metà dei file SKILL.md su GitHub sono copie letterali di un altro file; una sola skill, web-design-guidelines, si è diffusa in 12 generazioni di copie fino a 972 repository. Entrambi gli studi sono preprint su arXiv, non sottoposti a revisione paritaria.

I contatori possono dare per lo stesso pacchetto numeri che non si somigliano per niente, e a volte un solo contatore mostra, da solo, numeri che non si possono spiegare. Ecco cosa abbiamo visto il 21 ottobre 2026; non sappiamo perché:

  • Su skills.sh ci sono 6 repository chiamati superpowers che non sono obra/superpowers. Nessuno ha più di 8 stelle su GitHub; su skills.sh, la skill più installata di ciascuno mostra tra 341,9 mila e 825,8 mila installazioni. Uno di loro ha 86 skill: 60 mostrano 132 installazioni o meno, mentre 4 sono tra 824,3 mila e 825,8 mila.
  • garrytan/gstack ha 137,1 mila stelle su GitHub; il suo totale su skills.sh è 44,2 mila. Il suo README fa installare il pacchetto con git clone, e skills.sh conta solo le installazioni fatte con la sua CLI.
  • Il plugin mattpocock/skills ha 1.745 installazioni nella directory di Claude; su skills.sh, la skill grill-me del pacchetto mostra da sola 1,4 mln installazioni. Il suo README consiglia il plugin per Claude Code e npx skills per molti altri agenti; i due contatori contano due canali separati.

La regola che ne viene è semplice: leggi un numero insieme al contatore che l’ha contato. Non sommare i numeri di due contatori e non confrontarli tra loro. Anche nella tabella qui sotto ogni contatore ha la sua colonna.

Quali pacchetti di skill sono i più installati e a cosa servono?

La tabella qui sotto non è una classifica. È una selezione di pacchetti generali per scrivere codice che abbiamo incontrato spesso sui contatori; le righe sono in ordine alfabetico per nome del repository. Le skill che un’azienda ha scritto per il proprio prodotto (come quelle di Supabase o Prisma) e i pacchetti che non riguardano il codice non sono in tabella; alcune skill aziendali le citiamo in una sezione successiva.

Pacchetti di skill per scrivere codice: cosa fanno, gli strumenti di cui descrivono l’installazione, stelle su GitHub, la loro skill più installata su skills.sh e la licenza
PacchettoCosa faDove si installaStelle su GitHubskills.shLicenza
anthropics/skillsLe skill di esempio di Anthropic: frontend-design, skill-creator, webapp-testing e le skill per i documenti (docx, pdf, pptx, xlsx)Plugin di Claude Code; claude.ai e l’API182,6 milafrontend-design: 1,0 mlnPer lo più Apache-2.0; le skill per i documenti non sono open source
garrytan/gstack23 strumenti che assumono ruoli come CEO, designer, engineering manager e QAClaude Code; sperimentale in Codex, OpenCode, Cursor, Factory Droid e Kiro137,1 milagstack: 23,9 milaMIT
juliusbrussee/cavemanSkill e un proxy che fanno parlare l’agente in modo stringato per consumare meno tokennpx skills; plugin di Claude Code, estensione di Gemini CLI114,0 milacaveman: 584,7 milaApache-2.0
leonxlnx/taste-skillDesign frontend: direzione artistica, immagini di riferimento, verifica nel browsernpx skills; plugin di Claude Code e Codex100,2 miladesign-taste-frontend: 650,4 milaMIT
mattpocock/skillsSkill di ingegneria: grill-me, tdd, diagnosing-bugs, code-review, to-specPlugin di Claude Code, Codex e Copilot; Gemini CLI; gli altri con npx skills299,3 milagrill-me: 1,4 mlnMIT
nextlevelbuilder/ui-ux-pro-max-skillConoscenze di design UI/UX per molte piattaformePlugin di Claude Code; la sua CLI per Cursor, Codex, Copilot, Antigravity138,2 milaui-ux-pro-max: 407,2 milaMIT
obra/superpowersUn flusso di lavoro dal brainstorming al merge: piano, worktree, TDD, subagenti, review16 sezioni di installazione nel README302,9 milabrainstorming: 400,2 milaMIT
pbakaus/impeccableLinguaggio di design: comandi come polish, critique, auditIl suo installer; Claude Code, Cursor, Codex, Gemini CLI, Copilot e altri84,2 milaimpeccable: 349,3 milaApache-2.0
vercel-labs/agent-browserUna CLI e una skill per far usare il browser all’agentenpx skills; il README elenca Claude Code, Codex, Cursor, Gemini CLI, Copilot, Goose, OpenCode44,4 milaagent-browser: 1,2 mlnApache-2.0
vercel-labs/agent-skillsRegole di performance per React e Next.js, verifica dell’interfaccia (web-design-guidelines)npx skills32,8 milavercel-react-best-practices: 824,7 milaMIT (secondo il README)
vercel-labs/skillsLa CLI npx skills e find-skills, che trova e installa altre skillnpx skills35,9 milafind-skills: 4,0 mlnMIT

Fonte: le stelle su GitHub sono il numero arrotondato che GitHub mostra nella pagina del repository; la colonna skills.sh riporta la skill più installata del pacchetto e il numero arrotondato di installazioni che skills.sh mostra nella sua pagina del repository; entrambi al 21 ottobre 2026. Le due colonne sono contatori separati e non si confrontano tra loro. La colonna «Dove si installa» viene dal README di ogni pacchetto: gli strumenti di cui descrive l’installazione. Il README di anthropics/skills descrive le skill docx, pdf, pptx e xlsx come «source-available, not open source»; vercel-labs/agent-skills non ha un file di licenza nella radice, e il suo README indica la licenza MIT.

La directory dei plugin di Claude è un contatore a parte e conta solo alcuni di questi pacchetti. I numeri di installazioni forniti da Anthropic il 21 ottobre 2026: il plugin frontend-design di Anthropic 1.134.112, superpowers 1.009.371, mattpocock-skills 1.745. Nella directory i plugin di Anthropic hanno l’etichetta «Anthropic verified»; il numero lo fornisce sempre Anthropic. Il marketplace di Cursor e la directory dei plugin di OpenAI non mostrano numeri di installazioni.

Cosa fa Superpowers e in quali strumenti funziona?

obra/superpowers imposta più un modo di lavorare che un insieme di skill separate. Il suo README lo descrive come «a complete software development methodology» per agenti di programmazione. L’ultima versione è la 7.0.0 (9 ottobre 2026), la licenza è MIT e contiene 15 skill. Quando l’agente capisce che vuoi costruire qualcosa, non si butta sul codice: prima ti chiede cosa vuoi, aspetta che approvi il design, poi scrive il piano e porta avanti il lavoro passo dopo passo:

Ogni passo è gestito da una skill. Il flusso di base del README di obra/superpowers. using-superpowers Caricata all’avvio della sessione: Fa chiamare la skill giusta prima di ogni compito. brainstorming Chiede cosa vuoi: Niente codice prima che il design sia approvato. using-git-worktrees Apre un worktree separato: Controlla che i test passino puliti sul nuovo branch. writing-plans Divide il piano in piccoli compiti: Ogni compito: percorsi, codice, verifica. subagent-driven-development Affida i compiti ai subagenti: Una review dopo ogni compito. test-driven-development Prima un test che fallisce: Fa cancellare il codice scritto prima del test. requesting-code-review Review tra i compiti: Un problema critico ferma l’avanzamento. finishing-a-development-branch Chiude il branch: Merge, pull request, tenerlo o eliminarlo.
Il flusso di base del README e la skill che gestisce ogni passo. Fonte: il README di obra/superpowers e i file delle skill, 21 ottobre 2026.

A tenere in piedi il flusso è using-superpowers, la prima scheda. Secondo il README, in Claude Code, Codex, Cursor e Gemini la carica l’hook SessionStart del plugin. In Claude Code l’hook gira all’apertura di una sessione, dopo /clear e quando il contesto viene compattato; cosa fa perdere la compattazione lo abbiamo spiegato nell’articolo sull’auto-compact. Anche il testo della skill parla chiaro all’agente: «If you think there is even a 1% chance a skill might apply to what you are doing, you ABSOLUTELY MUST invoke the skill.» Con le parole del README, sono «Mandatory workflows, not suggestions.»

La maggior parte dei passi sono abitudini che, nell’articolo sul vibe coding, abbiamo trovato in comune nelle guide degli strumenti: prima un piano per i lavori grandi, test che l’agente può eseguire, un worktree separato per ogni compito, leggere la modifica. Superpowers non le lascia come consigli: le trasforma in skill e le fa applicare all’agente. Anche noi usiamo obra/superpowers nelle nostre sessioni mentre sviluppiamo diffox, il nostro strumento di code review con l’IA. In un progetto, la skill brainstorming non fa scrivere codice finché un documento di design non è approvato; scrive il documento in docs/superpowers/specs/, e la skill writing-plans scrive il piano in docs/superpowers/plans/. Anche nel nostro repository i documenti di design e i piani fatti scrivere da superpowers stanno in queste due cartelle.

Il README spiega l’installazione in 16 sezioni; l’app e la CLI di Codex ne hanno una ciascuna. Degli agenti di questo articolo, Amp e Goose non sono nell’elenco; Devin CLI, Factory Droid, Grok Build CLI, Kimi Code, Qwen Code, Hermes Agent e Muse sì. Il README ti dice di installarlo separatamente in ogni strumento: «If you use more than one, install Superpowers separately for each one.» I comandi per gli agenti di questo articolo:

Comandi di installazione dal README di obra/superpowers, per gli agenti di questo articolo
AgenteInstallazione nel README
Claude Code/plugin install superpowers@claude-plugins-official
CodexNella CLI, /plugins, cerca superpowers e scegli Install Plugin; nell’app, il + accanto a Superpowers in Plugins
Gemini CLIgemini extensions install https://github.com/obra/superpowers
Antigravity CLIagy plugin install https://github.com/obra/superpowers
OpenCodeChiedi all’agente di leggere e seguire .opencode/INSTALL.md del repository
Cursor/add-plugin superpowers oppure cercalo nel marketplace
GitHub Copilot CLIcopilot plugin marketplace add obra/superpowers-marketplace, poi copilot plugin install superpowers@superpowers-marketplace
Pipi install git:github.com/obra/superpowers

Fonte: il README di obra/superpowers, 21 ottobre 2026. Superpowers è nel marketplace di Cursor con l’etichetta «Verified by Cursor», e anche nella directory dei plugin di OpenAI (openai/plugins).

Il caricamento all’inizio di ogni sessione non arriva per la stessa strada in tutti gli strumenti. Secondo le note di rilascio di Superpowers, Antigravity non ha un hook che giri all’avvio della sessione; secondo il README, è la descrizione di using-superpowers a far sì che il modello la carichi all’inizio della conversazione. Le note di rilascio dicono di averlo verificato in 12 esecuzioni su agy 1.3.1; è una misura del progetto stesso. In Pi una piccola estensione aggiunge lo stesso testo all’avvio della sessione e dopo la compattazione. Hermes Agent non ha un hook che giri dopo la compattazione, quindi una sessione molto lunga può perdere questo caricamento. using-superpowers contiene file di riferimento separati per Claude Code, Codex, Pi, Antigravity, Hermes Agent e Muse.

Fai attenzione a due cose. La prima è il nome: come abbiamo detto sopra, su skills.sh ci sono repository chiamati superpowers che non hanno niente a che fare con obra/superpowers; scrivi il nome completo del repository. La seconda è un po’ di telemetria: l’assistente visivo opzionale di brainstorming carica il logo di Prime Radiant dal sito del progetto, e con quella richiesta parte la versione di Superpowers. Il README dice che non viene inviato nulla sul tuo progetto, sul tuo prompt o sul tuo agente. Per disattivarla c’è la variabile d’ambiente SUPERPOWERS_DISABLE_TELEMETRY; Superpowers rispetta anche le impostazioni DISABLE_TELEMETRY e CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC di Claude Code.

Quali skill aiutano mentre scrivi codice?

La maggior parte dei pacchetti si concentra su un solo compito. Abbiamo messo vicine le skill che fanno lo stesso lavoro; i numeri tra parentesi sono le installazioni che skills.sh mostra per ogni skill (21 ottobre 2026). A decidere quale fa per te non è il numero ma ciò che la skill fa fare all’agente; leggi il suo SKILL.md prima di installarla.

Test. La skill test-driven-development di obra/superpowers (256,4 mila) mette la sua regola in una riga, «NO PRODUCTION CODE WITHOUT A FAILING TEST FIRST», e fa cancellare il codice scritto prima del test. La skill tdd di mattpocock/skills (1,1 mln) applica lo stesso ciclo rosso-verde-refactor dividendo il lavoro in fette verticali. Per provare l’interfaccia, webapp-testing di anthropics/skills (183,6 mila) testa un’applicazione web locale con Playwright, mentre vercel-labs/agent-browser (1,2 mln) è una CLI che fa usare il browser all’agente. Quando l’agente deve provare l’interfaccia da solo e quando deve scrivere un test duraturo lo abbiamo spiegato nell’articolo su computer use e Playwright.

Debug. systematic-debugging di superpowers (302,3 mila) vieta di proporre una correzione prima di aver trovato la causa principale e divide il lavoro in quattro fasi. diagnosing-bugs di mattpocock (819,4 mila) fa costruire prima un ciclo di feedback che riproduce il bug e diventa rosso; poi vengono riduzione, ipotesi, misura, correzione e test di regressione. verification-before-completion di superpowers (247,9 mila) chiede all’agente di eseguire il comando di verifica e mostrarne l’output prima di dire «sistemato» o «passa».

Interfaccia. frontend-design di anthropics/skills (1,0 mln) guida la direzione visiva, la tipografia e le scelte di design perché l’interfaccia non sembri un modello. vercel-react-best-practices di Vercel (824,7 mila) dà regole di performance per React e Next.js ordinate per impatto; web-design-guidelines (766,1 mila) verifica il codice dell’interfaccia secondo regole di accessibilità, performance ed esperienza utente. Per un linguaggio di design ci sono taste-skill (650,4 mila), ui-ux-pro-max (407,2 mila) e impeccable (349,3 mila).

Librerie. Alcune aziende pubblicano skill per i propri prodotti. supabase-postgres-best-practices di Supabase (454,1 mila) è scritta per essere caricata prima di scrivere o modificare qualcosa in un database Postgres; prisma-client-api di Prisma (378,2 mila) spiega l’API di Prisma Client per scrivere query e filtri. Se chi produce una libreria che usi pubblica una skill, guarda prima quella.

Documenti. Le skill pptx (239,8 mila), pdf (214,4 mila), docx (204,7 mila) e xlsx (185,7 mila) di anthropics/skills sono quelle dietro la funzione di creazione dei documenti di Claude. Il README le descrive come «source-available, not open source»: il sorgente si può leggere, ma non c’è una licenza open source, e il file di licenza dice «All rights reserved». Leggile come esempi e controlla la licenza prima di copiarne una nel tuo pacchetto.

Skill che trovano e scrivono skill. find-skills di vercel-labs/skills (4,0 mln) trova e installa altre skill quando chiedi «c’è una skill che fa questo?». skill-creator di anthropics/skills (411,5 mila) fa scrivere una nuova skill, migliora quelle esistenti e misura con quanta precisione si attivano; writing-skills di superpowers (215,2 mila) fa lo stesso lavoro con un suo metodo di test. Codex ha Skill Creator integrato, e Gemini CLI ha aggiunto una skill-creator nella versione 0.26.0. Come scrivere la tua skill lo abbiamo spiegato nell’articolo su cos’è una skill.

Quanto è sicuro installare la skill di qualcun altro?

Cosa controllare prima di installare lo abbiamo elencato nell’articolo su cos’è una skill, il rischio dei server MCP nell’articolo sulla sicurezza MCP e i file di un repository che possono girare da soli nell’articolo sul workspace trust. Qui c’è quello che abbiamo letto dopo.

Un plugin esegue codice. La pagina sulla sicurezza dei plugin di Claude Code lo dice chiaramente: «A Claude Code plugin you install can execute arbitrary code on your machine with your user privileges.» Gli hook e i server MCP di un plugin girano con i tuoi permessi. Le regole dei permessi e la sandbox di Claude Code coprono le chiamate agli strumenti che fa Claude, non il codice che il plugin esegue da solo. Anche Superpowers entra in Claude Code come plugin ed esegue un hook all’inizio di ogni sessione. La documentazione di Codex ti chiede di esaminare e approvare gli hook di un plugin prima che girino.

La versione che hai letto può cambiare. Se l’aggiornamento automatico è attivo per il marketplace da cui arriva un plugin, Claude Code aggiorna il plugin in background; la documentazione ne scrive la conseguenza: «the files you reviewed can change on disk.» L’aggiornamento automatico è attivo per impostazione predefinita in claude-plugins-official e nella maggior parte dei marketplace ufficiali, e disattivato in quelli della community e di terze parti. Il catalogo della community, dal canto suo, fissa quasi ogni plugin a un commit; Claude Code non installa un commit diverso da quello. Il README di mattpocock/skills racconta la differenza in una frase: «A plugin updates itself.» npx skills, invece, copia i file nel tuo progetto, e li aggiorni tu.

Una copia non si corregge da sola. Skill Constellations misura il rischio nella direzione opposta: «Skill copies almost never change with their source, and a fix at the source therefore rarely reaches them.» Per questo lo studio consiglia di distribuire riferimenti con versione invece di copie. Quando scegli come installare, la vera domanda è come cambia la skill dopo:

Una skill si aggiorna come è stata installata. Copiare: git clone, npx skills add. Aggiornamento: A mano. Resta vecchia se non la aggiorni. Fissare la versione: gh skill --pin. Aggiornamento: Quando scegli tu. La versione che hai letto resta com’è. Plugin: hook, MCP. Aggiornamento: Di solito da solo. I file che hai letto possono cambiare. Tre modi di installare una skill.
Tre modi di installare una skill e cosa succede dopo. Fonte: documentazione di GitHub CLI e di Claude Code, README di mattpocock/skills, Skill Constellations, 21 ottobre 2026.

Lo strumento di installazione la cui documentazione spiega chiaramente come fissare la versione è GitHub CLI: gh skill install … --pin fissa la skill a un tag o a un commit, e una skill fissata viene saltata negli aggiornamenti. Ma fissarla rende anche l’aggiornamento compito tuo. Le note di Superpowers 7.0.0 dicono che è stata chiusa una falla per cui, su Windows, un repository poteva lasciare un file da eseguire all’avvio della sessione; un’installazione rimasta su una versione vecchia non riceve questa correzione. Fissa la versione, leggi le note di rilascio e aggiorna tu.

Le scansioni di sicurezza non concordano. skills.sh, secondo il suo annuncio del 17 febbraio 2026, analizza le skill con Gen, Socket e Snyk e toglie dall’elenco e dalla ricerca quelle ritenute dannose; la sua documentazione scrive anche che non può garantire la qualità e la sicurezza di ogni skill. Ci sono motivi per non fidarsi del solo verdetto di uno scanner. Nello studio After the Party sul marketplace di skill di OpenClaw, tre scanner hanno esaminato le stesse 61.990 skill e hanno dato verdetti diversi su 23.702. Dal lato opposto, Context Matters ha trovato che i report di scansione dei marketplace segnalavano come dannose fino al 46,8% delle skill, mentre solo lo 0,52% restava sospetto una volta esaminata ogni skill insieme al proprio repository. Quindi né un badge «superato» né un avviso «dannoso» bastano da soli.

Skill pulite una per una possono essere rischiose insieme. CompoSkill e Runaway Reaction mostrano che skill che superano una scansione una per una possono produrre un comportamento dannoso quando vengono usate insieme. SkillBloat guarda a un altro attacco agli agenti di programmazione: una skill malevola può far spendere all’agente molti più token di quanti ne servano al compito; il danno si vede in fattura. Tutti gli studi di questa sezione sono preprint su arXiv, non sottoposti a revisione paritaria.

Anche la documentazione sulle skill degli agenti avverte in misura diversa:

  • OpenCode ti permette di impostare ogni skill, o un pattern, su allow, ask o deny con permission.skill in opencode.json; con ask, ti chiede conferma prima di caricare la skill.
  • Pi ti chiede di leggere le skill che non conosci e i file che le accompagnano prima di fidarti di un progetto.
  • La documentazione di VS Code per Copilot dice di esaminare sempre le skill condivise prima di usarle.
  • Il marketplace di Cursor esamina a mano ogni plugin prima di pubblicarlo.
  • Le pagine sulle skill di Antigravity e Goose non danno nessuna regola di sicurezza: la documentazione non lo dice.

Da quale skill cominciare?

Parti dal tuo lavoro, non da una lista. Il nostro consiglio:

  • Prima trova il bisogno. Se l’agente fa sempre lo stesso errore (codice senza test, una pezza che non arriva alla causa principale, un’interfaccia che sembra un modello), cerca una skill per quel compito. Per cambiare tutto il flusso, un pacchetto come obra/superpowers; per sistemare un solo compito, basta una skill.
  • Scegli un pacchetto mantenuto e con una licenza chiara. Il README dice quali agenti supporta e qual è la licenza, e quando è cambiato l’ultima volta? Se chi produce una libreria che usi pubblica una skill, guarda quella.
  • Leggi prima di installare. Leggi lo SKILL.md e gli script che lo accompagnano; se è un plugin, guarda anche i suoi hook e server MCP. In Claude Code, /plugin install non installa subito il plugin: prima apre il pannello dei dettagli, che mostra i comandi, le skill, gli hook e i server MCP che il plugin aggiungerà.
  • Fissa la versione e aggiorna tu. gh skill install … --pin o un commit; se è un plugin, sappi se l’aggiornamento automatico è attivo o no.
  • Non installare lo stesso pacchetto in due modi. Il README di mattpocock/skills avverte: se lo installi sia come plugin sia con npx skills, ogni skill arriva due volte.
  • Se guardi un numero, leggi anche il suo contatore. Quale contatore, cosa conta, quando è stato letto? Non mettere fianco a fianco i numeri di contatori diversi per confrontarli.

Domande frequenti

Cosa sono le agent skill?

Una skill è una cartella che contiene un file SKILL.md: in cima ci sono il nome e la descrizione della skill, sotto le istruzioni che spiegano all’agente come fare un lavoro. All’inizio della sessione l’agente legge solo il nome e la descrizione, e quando un compito corrisponde alla descrizione carica le istruzioni complete. Come si scrive e in quale cartella va lo abbiamo spiegato nell’articolo su cos’è una skill.

Come si aggiunge una skill a Claude Code?

La tua skill la metti in .claude/skills/<nome>/SKILL.md nel progetto, oppure in ~/.claude/skills per te. Le skill degli altri arrivano per lo più nei plugin: /plugin install <plugin>@<marketplace> mostra prima i dettagli del plugin e lo installa quando scegli un ambito. Il marketplace ufficiale di Anthropic (claude-plugins-official) viene aggiunto da solo nella prima sessione interattiva; per un altro marketplace serve prima /plugin marketplace add. Ricorda che un plugin può eseguire anche hook e server MCP.

Come si installa una skill in Codex?

Per installare una skill dal catalogo di Codex, scrivi $skill-installer <nome>; Codex rileva la nuova skill da solo, e se non compare, riavvia Codex. I plugin si installano con /plugins nella CLI e dalla scheda Plugins nell’app; la documentazione di Codex consiglia i plugin per distribuire le skill. Le skill che aggiungi a mano stanno in .agents/skills nel progetto e in $HOME/.agents/skills per te. Il vecchio catalogo openai/skills è deprecato; gli esempi aggiornati sono in openai/plugins.

Da quali cartelle OpenCode legge le skill?

Nel progetto legge .opencode/skills, .claude/skills e .agents/skills a ogni livello, dalla cartella in cui ti trovi fino alla radice del worktree git. Per le skill personali guarda in ~/.config/opencode/skills, ~/.claude/skills e ~/.agents/skills. L’agente carica una skill con lo strumento integrato skill; con permission.skill in opencode.json puoi permettere ogni skill, farle chiedere conferma o disattivarla. La documentazione non cita né un comando di installazione né un marketplace.

Le skill di Gemini CLI funzionano ancora?

Sì, ma non per tutti. Il 18 giugno 2026 Google ha chiuso Gemini CLI agli utenti gratuiti e agli abbonati Google AI Pro e Ultra e l’ha sostituito con Antigravity CLI. Gemini CLI continua per chi lo usa con una licenza aziendale o una chiave API a pagamento; l’ultima versione nelle note di rilascio è la 0.64.0 (13 ottobre 2026). Secondo Google, Antigravity CLI mantiene le skill. Se metti le tue skill in .agents/skills, le leggono entrambi; in Gemini CLI quella cartella viene prima di .gemini/skills.

Cos’è skills.sh e cosa contano le sue installazioni?

skills.sh è la directory di skill di Vercel e il sito della CLI npx skills. La sua classifica si basa su telemetria anonima raccolta dalla CLI: conta le installazioni fatte con npx skills add, skill per skill. Le installazioni da un marketplace di plugin, con git clone o con gh skill non entrano in quel numero. Il totale di un repository è la somma delle sue skill; non dice quante persone l’hanno installato. DISABLE_TELEMETRY=1 o DO_NOT_TRACK=1 disattiva la telemetria.

Superpowers funziona in Codex, OpenCode o Cursor?

Il README di obra/superpowers spiega l’installazione per tutti e tre. In Codex è nella directory dei plugin di OpenAI: lo cerchi con /plugins nella CLI e lo installi. In Cursor si installa con /add-plugin superpowers o dal marketplace, dove compare con l’etichetta «Verified by Cursor». In OpenCode chiedi all’agente di leggere e seguire .opencode/INSTALL.md del repository; il README chiede di installare Superpowers in OpenCode separatamente anche se lo usi già in un altro strumento. Visto che altri repository hanno lo stesso nome, scrivi il nome completo del repository: obra/superpowers.