代理商给客户店铺装 AI skill 之前，该检查的 4 件事

这类 skill 包很多是免费发布的，宣传口径是：做营销不用再请代理商。

2026年10月12日至22日，X 上三个专门分享 AI 工具的账号发了同一个方向的帖子：有人说代理商在卖 GitHub 上免费就有的东西，有人介绍说 agent 能顶一整支增长团队，还有人直接写“不用再请每月 2000美元的代理商”。

YYarchi@undefinedKi

Agencies sell AI agents as a service. Meanwhile the code is sitting on GitHub for free

Ranked from good to the best one:

1. Describe a website or app and an agent builds it right on your machine. 21.6k stars
https://t.co/1IGkcdMM2J

2. Secure cloud sandboxes where your agent can run code without touching your machine. 13.4k stars
https://t.co/MA0CAdKABE

3. A memory layer so your agent remembers users and past…

Oct 12, 2026 · 在 X 上查看

客户读到这些帖子，回头问你为什么还要付代理费，一点也不奇怪。

面对这种情况，代理商要先想清楚：哪些 skill 值得放进给客户干活的流程，让它碰店铺或广告账户之前又要查什么。对代理商来说，skill 库的价值在于少数挑选过、仔细检查过的 skill，而不在于一个 repo 里有几百个。

看 skill 是为哪类业务写的

以 Corey Haines 的 Marketing Skills 为例，他是转化率优化代理商 Conversion Factory 的创始人。这个库有 52个 skill，在 GitHub 上获得超过 56,000颗星，并写明是为“懂技术的营销人和创始人”做的。细看清单会发现，很多 skill 围绕软件产品展开，比如优化免费试用注册流程、应用内的升级套餐页面、140个 SaaS 营销点子、B2B 开发信。

我们认为，适合 Shopify 店铺的是页面优化（cro）、文案、SEO 审计、结构化数据、自动化邮件和广告这几组。这个库支持单个安装 skill，不必整套装，所以你只需要装和你给客户做的服务对得上的那组 skill。

库里还有一个叫 product-marketing 的基础 skill，用来存放产品描述、目标客户和定位。按 README 的说法，其他 skill 开工前都会先读它。

少了这份描述，skill 可能会退回默认假设；而从上面的清单看，这些默认假设偏向软件。

免费 skill 也可能通向付费服务

每个 skill 都是一个纯文本写成的 SKILL.md 文件，安装前就能读。这个时间值得花，因为免费 skill 照样可能和付费产品挂钩。

Ilias Ism 正在做外链服务 LinkDR，他的 SEO skill 合集里有一个 linkdr skill，会按预算规划从 LinkDR 购买外链，再发来一个付款链接。Corey Haines 的库则公开列出赞助伙伴，并说明赞助方不影响核心 skill 给出的建议。

两边都在 README 里写清楚了，所以这里谈不上隐藏费用。只是 agent 替客户运行时，一条购买服务的建议可能直接写进花客户预算的计划。

查到这些，就由你决定保留、修改还是删掉这个 skill；如果它会花客户的钱，记得告诉客户。

只从作者公布的渠道安装

ECC 是一套免费的 Claude Code 工具，包含 71个 agent 和 311个 skill，README 开头就放了一条警告。项目方表示，第三方重新上传的版本和非官方副本没有经过他们检查，可能含有恶意代码。他们建议只从官方渠道安装，比如 GitHub repo、npm 包和项目官网，并建议从你需要的工作流程入手，不要整个目录一起装。

如果运行 agent 的电脑上存着多个客户的数据或访问权限，这条警告就更值得重视，因为一个来路不明的 skill 可能碰到所有客户。ECC 还附带一个扫描 agent 配置的工具，范围包括 prompt、hook、工具连接、访问权限和密钥。整个团队可以照这个思路做：维护一份已审核的 skill 清单，记下每个 skill 的安装来源，新 skill 必须有人读过才能加进来。

连接客户账户的 skill 默认应只读

skill 不只读取数据、还能修改数据时，风险就上来了。

Claude Ads 是一个检查广告账户的 skill，覆盖 Google、Meta、TikTok、Pinterest 等 12个平台，它给这类操作设防的方式可以作参考。README 写明所有连接默认只读。要执行一项修改，skill 需要针对这项操作测试过的功能、具体的账户 ID、修改前后的对比、账户所有者在预设上限内的同意，以及撤销的办法。

我们认为，任何连接客户广告账户或 Shopify 后台的 skill 都该达到这个标准。说不清自己能改什么的 skill，只给读取权限，或者干脆不连接。需要修改时，点确认的人应该是代理商这边已和客户谈好最高花费的那个人。

回到客户的问题。