Vercel Skills 25 Bin Yıldız: AI Agent’lar İçin npm Benzeri Paket Yöneticisi
vercel’in skills CLI aracı (npx skills add), AI coding agent’larına yetenek eklemek için bir paket yöneticisi olarak hızla popülerleşiyor. vercel-labs/skills deposu Temmuz 2026 itibarıyla yaklaşık 25.100 GitHub yıldızına ulaştı; find-skills, skills-sh üzerinde 2,3 milyon kurulum sayısıyla lider konumda. Ancak Snyk’in güvenlik denetimi, ekosistemin ciddi supply-chain riskleri taşıdığını ortaya koyuyor.
Ana Gelişme
npx skills add komutu, Claude Code, cursor ve 68’ten fazla AI agent’a yetenek (skill) yüklemeyi tek satırda sağlıyor. agent-skills ekosistemi “npm for AI agents” anlatısını olgunlaştırıyor — ancak güvenlik boyutu şimdi ön plana çıkıyor.
Snyk ToxicSkills araştırması, skills.sh ve ClawHub’daki 3.984 skill’i taradı:
- %36,8 kusur içeriyor
- %13,4 kritik seviyede
- 76 kötü amaçlı payload tespit edildi
- Kötü amaçlı skill’lerin %91’i kod tabanlı malware ile prompt injection’ı birleştiriyor
Trail of Bits (3 Haziran 2026), skill tarayıcılarının bypass edilebileceğini gösterdi — tarama tek başına yeterli değil.
Neden Önemli?
npm supply-chain saldırılarına benzer riskler, AI skill ekosisteminde daha geniş bir saldırı yüzeyiyle karşımıza çıkıyor. Geleneksel paket yöneticilerinde risk kod enjeksiyonuyla sınırlıyken, AI skill’lerde prompt-injection ve credential harvesting doğal dil talimatları üzerinden gerçekleşebiliyor.
supply-chain-security ve skill-engineering alanında geliştiriciler, topluluk skill’lerini kurmadan önce kaynak kodunu incelemeli, sandbox ortamında test etmeli ve tarayıcı bypass risklerini göz önünde bulundurmalı.
Bağlam
coding-agents ekosistemi hızla büyürken, yetenek dağıtım altyapısı npm benzeri olgunluğa ulaşıyor. Ancak güvenlik standartları bu hıza yetişemiyor. Vercel’in resmi changelog’u (20 Ocak 2026) aracı tanıttı; topluluk katkıları ise denetimsiz büyüyor.
Kaynaklar
- Snyk ToxicSkills — AI Agent Skill Security Audit (Snyk)
- Vercel Skills CLI — Official Changelog (Vercel)
- Trail of Bits — Skill Scanner Bypass Demonstration (Trail of Bits)