Agent技能市场大爆发：八栈生态与安全暗战

2025年12月Anthropic发布Agent Skills规范以来，AI Agent技能市场在不到六个月内从1个注册表裂变为8个主要市场平台，MCP服务器突破12,000个，SKILL.md技能包声称超过42.5万。然而Snyk的ToxicSkills审计发现36%的技能存在提示注入漏洞，ClawHavoc事件一次性投放341个恶意技能。这是一个典型的"先建市场、后建护栏"的故事。本文实测对比八大Agent技能市场平台——从SkillsMP、agentskill.sh、Smithery到GPT Store——在规模、质量管控、安全审计、开发者体验和变现模式五个维度的表现，揭示技能市场生态的真实成熟度。

市场爆发时间线

Agent技能市场的增长速度远超早期npm和VS Code插件市场。关键里程碑：

timeline
    title Agent技能市场演进时间线
    2024.11 : MCP协议发布
    2025.02 : Smithery首个注册表
    2025.06 : MCP达1K服务器
    2025.12 : SKILL.md规范发布
    2026.01 : ClawHavoc恶意技能事件
    2026.02 : Snyk ToxicSkills审计
    2026.03 : MCP突破12K服务器
    2026.04 : GPT Store收入分成
    2026.05 : 八栈格局定型

八大市场平台对比总览

深度分析一：SkillsMP——聚合为王还是数量注水？

SkillsMP是目前声称规模最大的Agent技能市场，宣称聚合了42.5万以上技能。但这一数字需要拆解：其内部数据显示经过SDLC阶段分类和质量分层的"验证技能"仅约6.6万个，大部分来自GitHub公开仓库的自动索引而非开发者主动提交。

维度	SkillsMP	agentskill.sh	Smithery	Agensi	Glama	GPT Store	Composio	ClawHub
定位	技能聚合市场	技能目录	MCP注册表	安全审计市场	MCP/Multi	终端用户Agent	工具集成平台	Claude技能集线器
规模(声称)	425K+技能	199K+技能	5,400+MCP服务器	安全扫描覆盖全生态	MCP+技能混合	300万+GPTs	1,000+工具包	2,800+技能
审核机制	社区分层	无审核	提交审核	自动安全扫描	基本审核	OpenAI审核	官方维护	出事后加固
安全事件	无	无报告	500台抽检	主动防护定位	低	内容审查	无	ClawHavoc重创
标准支持	SKILL.md	SKILL.md	MCP	MCP+SKILL.md	MCP	OpenAI私有	自有API	SKILL.md
安装方式	CLI+浏览器	浏览器	CLI一键安装	CLI+浏览器	CLI	ChatGPT内	SDK集成	Claude Code内
变现模式	免费+开源	免费	免费+Pro	Freemium	免费	收入分成	SaaS订阅	免费
上手难度	低	极低	中	中	低	极低	中高	低

架构特点：SkillsMP采用爬虫+提交双通道模型。一方面自动扫描GitHub上包含SKILL.md文件的仓库并索引，另一方面允许开发者主动发布。技能按"SDLC阶段"（规划、设计、开发、测试、部署、运维）分层，并引入社区投票和质量标签。

核心优势：跨平台兼容性是其最大卖点。SKILL.md规范天然支持Claude Code、Cursor、Codex CLI、Windsurf等13种AI编码工具，用户安装一次技能可在多工具间复用。

关键问题：数量注水严重。42.5万和6.6万的差距意味着85%以上的技能是自动索引的低质量条目，许多可能是废弃仓库或实验性代码。缺乏有效去重和质量筛选让"最大市场"的标签带有水分。

# SkillsMP安装示例
# 安装单个技能
npx skillsmp install @developer/seo-audit-skill

# 按SDLC阶段浏览
npx skillsmp search --phase testing --tier verified

# 批量安装项目技能集
npx skillsmp install --from-project ./skills.yaml

变现评估：当前完全免费，商业模式尚未清晰。潜在的变现路径包括企业版私有技能仓库、技能认证/签名服务、或技能力市场（按调用量计费）。作为训练营素材，SkillsMP的安装和使用体验非常适合作为"Agent技能入门"模块，但缺乏足够的技术深度支撑高级课程。

深度分析二：agentskill.sh——简约主义的信息孤岛

agentskill.sh定位为"最大的Agent技能市场"，声称索引了19.9万以上技能。其设计哲学是极简：纯浏览器访问，搜索即得，无需注册或CLI。

架构特点：完全基于Web的发现层，将技能视为可搜索的目录条目而非可安装的包。支持按工具类型（Claude Code、Cursor、Codex等）和功能类别过滤。

核心优势：零摩擦。打开浏览器、搜索、复制SKILL.md内容到项目中即可。对非技术用户和快速评估场景非常友好。

关键问题：没有安装机制、没有版本管理、没有依赖解析。更重要的是，没有审核流程意味着任何人提交的技能都会被索引。在ToxicSkills审计之后，这种"来者不拒"的模式的安全风险尤为突出。

变现评估：目前无变现。适合作为广告驱动的信息目录，但很难构建付费墙。训练营价值有限——教学内容过于简单，5分钟就能讲完。

深度分析三：Smithery——MCP生态的"npm registry"

Smithery.ai是当前最大的MCP服务器公共注册表，收录超过5,400台MCP服务器。其定位更接近npm registry而非VS Code市场——专注于工具端（MCP Server）而非行为端（SKILL.md技能）。

架构特点：提供npx一键安装MCP服务器到Claude Desktop等客户端，支持服务器配置自动注入。每个MCP服务器有独立的详情页，包含功能说明、安装命令和社区评分。Smithery还推出了"Skills"子板块，将SKILL.md技能也纳入注册范围。

核心优势：MCP生态的核心基础设施地位。12,000+MCP服务器中的大部分都曾在Smithery注册。开发者社区对Smithery的npx @smithery/cli install <server>一键安装体验评价很高。

关键问题：2026年4月的扫描报告显示，Smithery上500台热门MCP服务器中存在显著的安全问题。MCP协议本身在设计时更注重功能连接而非安全边界，这让Smithery的"快速安装"模式成为供应链攻击的理想载体。

// Smithery MCP服务器安装配置
{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": ["-y", "@smithery/cli", "install", "@modelcontextprotocol/server-filesystem"],
      "env": {
        "ALLOWED_DIRECTORIES": "/home/user/projects"
      }
    }
  }
}

变现评估：Smithery推出了Pro版，提供私有MCP注册表和团队管理功能。这是可行的B2B变现路径——企业需要内部MCP工具的私有分发渠道。作为训练营内容，Smithery+MCP的开发教程有明确的商业价值，可包装为"企业Agent工具链搭建"课程。

深度分析四：Agensi——安全优先的差异化突围

Agensi将自己定位为"安全优先的MCP服务器和技能市场"。在ToxicSkills事件之后，它抓住了市场对安全审计的迫切需求，提供自动安全扫描作为核心竞争力。

架构特点：每个提交的MCP服务器和SKILL.md技能都经过自动化安全扫描，检测提示注入、数据泄露、恶意载荷等风险。Agensi集成了SKILL.md技能描述，提供统一的安全评分体系。

核心优势：差异化定位明确。在33个MCP市场平台中，Agensi是唯一将安全审计作为核心卖点而非附加功能的平台。Snyk的ToxicSkills报告指出36%的技能存在提示注入风险，这让Agensi的价值主张非常及时。

关键问题：规模远小于SkillsMP和Smithery。安全扫描会延长技能上架时间，可能劝退追求速度的开发者。同时，"安全优先"的定位依赖社区对安全风险的实际重视程度——如果用户依然优先选择"技能最多"的平台，安全差异就难以转化为竞争优势。

变现评估：Freemium模型可行——基础扫描免费，高级审计报告和企业级安全策略付费。作为安全训练营的核心案例（ToxicSkills+ClawHavoc事件分析+Agensi防护实践），这个平台的教学价值很高。

深度分析五：Composio——工具集成的SaaS化路径

Composio走了一条完全不同的路：它不是市场，而是"工具即服务"平台，提供1,000+预构建工具包（Slack、GitHub、Salesforce等），通过托管认证和沙箱执行环境让Agent安全地连接外部服务。

架构特点：核心是托管认证层和工具执行沙箱。开发者通过SDK调用工具，Composio负责OAuth认证、会话管理、速率限制和执行隔离。支持LangChain、CrewAI、OpenAI Agents SDK等主流框架的原生集成。

核心优势：解决了Agent工具调用中最头疼的认证问题。不需要每个Agent自己管理API密钥和OAuth令牌，Composio的托管认证让"连接100个SaaS"从数月工程缩短到数行代码。

from composio_langchain import ComposioToolSet, App

# 初始化工具集
composio_toolset = ComposioToolSet()

# 获取GitHub工具
tools = composio_toolset.get_tools(apps=[App.GITHUB])

# Agent自动使用已认证的工具
agent = create_react_agent(llm, tools, "You are a GitHub assistant")

关键问题：供应商锁定风险显著。所有工具调用经过Composio的代理层，意味着引入了额外的延迟、成本和单点故障。对于安全敏感的企业环境，将认证凭据交给第三方SaaS可能不符合合规要求。

变现评估：SaaS订阅模式清晰，从免费层到企业层的转化路径明确。这是八栈中唯一有成熟商业模式的市场级产品。作为训练营素材，Composio+LangChain的集成教程非常适合"Agent实战开发"课程，但需注意不能让课程沦为Composio的免费营销。

深度分析六：GPT Store——创作者经济的现实检验

GPT Store是目前唯一提供收入分成的Agent市场。OpenAI在2026年推出的收入共享计划，按每次对话约0.03美元向创建者支付。这是Agent市场从"开源生态"走向"创作者经济"的关键试验。

架构特点：完全封闭生态。GPTs只能通过ChatGPT创建和使用，不支持外部工具标准（MCP或SKILL.md）。审核由OpenAI内部团队执行，覆盖内容合规而非代码安全。

核心优势：用户基数最大。ChatGPT在2026年拥有9亿周活跃用户，这是任何第三方市场都无法比拟的分发渠道。

关键问题：创作者收入极其微薄。数据显示，纯GPT Store构建者（仅依赖平台收入）与"生态构建者"（将GPT作为获客入口导流到自有产品）之间的收入差距达10-50倍。每次对话0.03美元的定价意味着，一个每月10万次对话的GPT仅能产生3,000美元收入——而维护和Prompt优化的时间成本远超此数。

变现评估：GPT Store更适合作为分发渠道而非收入来源。策略性的做法是将GPT设计为"引流工具"，将用户引导至付费SaaS或咨询服务。训练营可以将"GPT Store变现实战"作为案例教学，但需明确告知学员：纯靠GPT Store收入养活自己是小概率事件。

深度分析七：安全暗面——ToxicSkills与ClawHavoc的教训

ClawHavoc事件（2026年1月）：攻击者在ClawHub投放341个恶意Agent技能，包含提示注入载荷、凭据窃取代码和数据泄露后门。由于ClawHub缺乏有效的安全审核，这些技能在被下架前已被下载超过12,000次。

ToxicSkills审计（2026年2月）：Snyk研究人员扫描了3,984个Agent技能，发现： - 36%存在提示注入漏洞 - 1,467个恶意载荷 - 94%的LLM Agent对提示注入攻击脆弱 - 提示注入攻击在2026年激增340%

graph TD
    A[技能市场安全威胁模型] --> B[供应链攻击]
    A --> C[提示注入]
    A --> D[数据泄露]

    B --> B1[恶意技能投放]
    B --> B2[依赖劫持]
    B --> B3[名称混淆]

    C --> C1[系统提示覆写]
    C --> C2[工具调用劫持]
    C --> C3[越权操作]

    D --> D1[凭据窃取]
    D --> D2[环境变量泄露]
    D --> D3[文件系统读取]

    B1 --> E[ClawHavoc: 341个恶意技能]
    C1 --> F[ToxicSkills: 36%技能有注入漏洞]
    D1 --> G[1467个恶意载荷被发现]

这两起事件的根本原因是相同的：市场优先于安全。在快速扩张阶段，所有市场平台都将"技能数量增长"置于"技能安全审核"之上。Agent技能的特殊危险性在于：与npm包不同，SKILL.md文件直接操控LLM的行为，一个恶意技能可以修改Agent的系统提示、劫持工具调用链、或通过Agent的权限访问用户的敏感数据。

防御策略正在形成：agent-audit-kit和skillguard等安全扫描工具出现，Agensi的自动安全扫描提供了市场层面的防护，Anthropic也在SKILL.md规范中加入了安全建议。但截至2026年5月，没有任何市场平台能声称提供"经安全验证"的技能——安全审计仍然是可选的而非强制的。

深度分析八：市场碎片化——App Store时刻还是npm碎片重演？

Agent技能市场面临的核心结构性问题是标准分裂与平台碎片化。

三条标准轨道并行： 1. MCP（Anthropic发起）：定义AI模型与外部工具的通信协议，解决"工具如何连接" 2. SKILL.md（Anthropic发起）：定义Agent行为的可复用指令包，解决"Agent如何行动" 3. 自有API（各平台私有）：Composio、GPT Store等使用私有接口

MCP和SKILL.md看似互补——MCP管工具，SKILL.md管行为——但实际存在功能重叠。一个MCP服务器可以提供工具定义+使用说明，一个SKILL.md也可以包含工具调用指令。开发者在选择标准时面临困惑。

.agents协议试图统一这一局面：一个目录同时整合MCP工具、SKILL.md技能和Agent配置文件。但截至2026年5月，该协议的采用率仍然很低。

33个MCP市场平台的碎片化更是触目惊心。从Smithery、Glama到mcp.so、mcptoplist.com，开发者需要在多个平台重复提交才能获得足够的曝光。这直接导致了ClawHavoc事件中的"名称混淆"攻击——同一功能在不同平台有不同名称的版本，攻击者利用这种混乱投放恶意副本。

graph LR
    subgraph "标准层"
        MCP[MCP协议<br/>工具连接]
        SKILL[SKILL.md<br/>行为指令]
        AGENTS[.agents协议<br/>统一配置]
    end

    subgraph "市场层"
        SMP[SkillsMP<br/>425K技能]
        ASH[agentskill.sh<br/>199K技能]
        SMT[Smithery<br/>5.4K MCP]
        AG[Agensi<br/>安全优先]
        GL[Glama<br/>MCP+技能]
        GPT[GPT Store<br/>3M+GPTs]
        COMP[Composio<br/>1K工具包]
        CH[ClawHub<br/>2.8K技能]
    end

    subgraph "消费层"
        CC[Claude Code]
        CR[Cursor]
        CX[Codex CLI]
        WS[Windsurf]
        CG[ChatGPT]
    end

    MCP --> SMT
    MCP --> GL
    MCP --> AG
    SKILL --> SMP
    SKILL --> ASH
    SKILL --> CH
    AGENTS -.->|未广泛采用| AG

    SMP --> CC & CR & CX & WS
    SMT --> CC & CR
    GPT --> CG
    COMP --> CC & CR & CX

变现评估：市场碎片化是训练营的好素材——"Agent技能市场生态全景"可作为知识付费内容。但碎片化本身意味着：目前没有任何单一平台足够成熟到可以成为"Agent技能的App Store"。创作者需要多平台分发，增加了维护成本。短期内，Smithery（MCP）+ SkillsMP（SKILL.md）的双栈策略是最务实的分发方案。

推荐方案

场景一：企业Agent工具链搭建

推荐 Smithery（MCP注册表）+ Composio（SaaS集成） 组合。Smithery提供内部MCP服务器的私有注册和分发，Composio解决外部SaaS的认证和连接。预算充足时可加入Agensi的安全审计层。

场景二：独立开发者Agent技能分发

推荐 SkillsMP + Smithery双提交 策略。SKILL.md技能发布到SkillsMP获取最大曝光，MCP服务器发布到Smithery获取一键安装能力。两个平台的提交流程都足够简单，维护成本可控。

场景三：Agent安全研究者

推荐关注 Agensi + agent-audit-kit + skillguard 三件套。ToxicSkills和ClawHavoc事件的分析报告是最佳学习材料，Agensi的安全扫描API可用于自动化研究。

场景四：训练营/课程设计

推荐以下课程结构： 1. 入门模块：SKILL.md规范解读 + agentskill.sh浏览体验（1小时） 2. 实战模块：Smithery MCP服务器开发 + SkillsMP技能发布（3小时） 3. 安全模块：ToxicSkills案例分析 + Agensi安全扫描实操（2小时） 4. 商业模块：GPT Store变现策略 + Composio SaaS集成（2小时）

场景五：安全敏感环境

推荐 仅使用Composio的托管工具 或 自建MCP服务器 + 内部注册表。避免使用任何未经验证的第三方技能，等待市场安全标准成熟后再开放第三方技能安装。

关键结论

Agent技能市场正处在"1995年的Web"阶段——协议已定、市场已开、安全未就。MCP以12,000+服务器和9,700万月下载量证明了工具连接标准的市场需求，SKILL.md在6个月内催生了42.5万+技能的指数增长。但36%的提示注入漏洞率和ClawHavoc事件表明，安全基础设施至少落后市场增长12个月。在这个阶段，选择性使用（仅安装经过审核的技能/服务器）比广泛采用（追求技能数量）是更明智的策略。等待安全标准成熟、市场整合完成（从33个平台收敛到3-5个），再大规模接入Agent技能生态。