4 điều agency nên kiểm tra trước khi cài skill AI cho store khách

Nhiều bộ skill như vậy được phát miễn phí và được giới thiệu như một cách làm marketing mà không phải thuê agency.

Từ ngày 12 đến 22/10/2026, ba bài đăng của các tài khoản chuyên chia sẻ công cụ AI trên X cùng nói theo hướng này, từ nhận xét agency đang bán thứ có sẵn miễn phí trên GitHub, lời giới thiệu biến agent thành cả một đội growth đến câu "không cần agency 2.000 USD mỗi tháng".

YYarchi@undefinedKi

Agencies sell AI agents as a service. Meanwhile the code is sitting on GitHub for free

Ranked from good to the best one:

1. Describe a website or app and an agent builds it right on your machine. 21.6k stars
https://t.co/1IGkcdMM2J

2. Secure cloud sandboxes where your agent can run code without touching your machine. 13.4k stars
https://t.co/MA0CAdKABE

3. A memory layer so your agent remembers users and past…

Oct 12, 2026 · Xem trên X

Không khó để khách của bạn đọc những bài này rồi hỏi vì sao vẫn phải trả phí agency.

Với tình huống này, câu hỏi agency nên trả lời trước là skill nào đáng đưa vào quy trình làm cho khách, và cần kiểm tra gì trước khi cho nó chạm vào store hay tài khoản quảng cáo. Với agency, giá trị của các kho skill nằm ở vài skill được chọn và kiểm tra kỹ, không nằm ở con số hàng trăm skill trong một repo.

Xem skill được viết cho loại doanh nghiệp nào

Lấy ví dụ Marketing Skills của Corey Haines, người sáng lập Conversion Factory, một agency chuyên tối ưu chuyển đổi. Kho có 52 skill, hơn 56.000 lượt gắn sao trên GitHub, và ghi rõ được làm cho "marketer rành kỹ thuật và founder". Đọc kỹ danh sách, bạn sẽ thấy nhiều skill xoay quanh sản phẩm phần mềm, như tối ưu bước đăng ký dùng thử, màn hình nâng cấp gói trong ứng dụng, 140 ý tưởng marketing cho SaaS hay email chào hàng B2B.

Theo chúng tôi, phần hợp với store Shopify là nhóm tối ưu trang (cro), viết nội dung, audit SEO, dữ liệu có cấu trúc, email tự động và quảng cáo. Kho cho phép cài từng skill thay vì cả bộ, nên bạn chỉ cần cài nhóm skill khớp với dịch vụ đang làm cho khách.

Kho này còn có một skill nền tên product-marketing, nơi lưu mô tả sản phẩm, khách hàng mục tiêu và định vị. Theo README, mọi skill khác đều đọc phần này trước khi làm việc.

Thiếu bản này, skill có thể quay về các giả định mặc định, mà như danh sách trên cho thấy, mặc định đó nghiêng về phần mềm.

Skill miễn phí có thể dẫn tới dịch vụ trả phí

Mỗi skill là một tệp SKILL.md viết bằng văn bản thường, nên bạn đọc được trước khi cài. Việc đọc này đáng làm vì một skill miễn phí vẫn có thể gắn với sản phẩm trả phí.

Trong bộ SEO skill của Ilias Ism, người đang xây dịch vụ backlink LinkDR, có skill linkdr giúp lên kế hoạch mua backlink từ LinkDR theo ngân sách rồi gửi một link thanh toán. Kho của Corey Haines thì công khai danh sách đối tác tài trợ và cho biết họ không ảnh hưởng tới điều các skill chính đề xuất.

Cả hai đều ghi rõ trong README, nên vấn đề ở đây không phải là chi phí bị che giấu. Có điều, khi agent chạy cho khách, một gợi ý mua dịch vụ có thể đi thẳng vào kế hoạch dùng ngân sách của khách.

Có những thứ đó thì bạn quyết định giữ, sửa hay bỏ skill, và báo khách nếu skill sẽ tiêu tiền của họ.

Chỉ cài từ nơi tác giả công bố

ECC, một bộ miễn phí gồm 71 agent và 311 skill cho Claude Code, đặt cảnh báo ngay đầu README. Theo dự án, bản tải lên lại của bên thứ ba và bản sao không chính thức không được họ kiểm tra, và có thể chứa mã độc. Họ khuyên chỉ cài từ các kênh chính thức như repo GitHub, gói npm và trang web của dự án, đồng thời khuyên bắt đầu từ quy trình bạn cần thay vì cả danh mục.

Cảnh báo này càng đáng chú ý nếu máy chạy agent của bạn đang giữ dữ liệu hay quyền truy cập của nhiều khách, vì khi đó một skill lạ có thể chạm tới tất cả. ECC cũng kèm công cụ quét cấu hình agent, gồm prompt, hook, kết nối công cụ, quyền truy cập và khoá bí mật. Cả nhóm có thể làm theo tinh thần đó: giữ một danh sách skill đã duyệt, ghi nguồn cài của từng skill, và chỉ thêm skill mới khi đã có người đọc qua.

Skill nối vào tài khoản của khách nên mặc định chỉ đọc

Rủi ro tăng lên khi skill không chỉ đọc dữ liệu mà còn được phép sửa.

Claude Ads, một skill rà tài khoản quảng cáo trên 12 nền tảng như Google, Meta, TikTok và Pinterest, là ví dụ về cách đặt rào chắn cho việc này. README ghi mọi kết nối đều chỉ đọc theo mặc định. Muốn áp một thay đổi, skill cần một chức năng đã được kiểm thử cho đúng thao tác đó, ID tài khoản cụ thể, bản so sánh trước và sau, sự đồng ý của chủ tài khoản trong mức trần đã đặt, cùng cách hoàn tác.

Theo chúng tôi, đây là mức nên đòi hỏi ở mọi skill nối vào tài khoản quảng cáo hay trang quản trị Shopify của khách. Skill không nói rõ được quyền thay đổi gì thì chỉ nên cấp quyền đọc, hoặc không kết nối. Khi cần sửa, người bấm duyệt nên là người trong agency đã thống nhất với khách mức chi tiêu tối đa.

Quay lại câu hỏi của khách.