find-skillsの使い方：人気スキルの探し方と安全な導入

find-skills は、目的に合うスキルをエージェントに探させ、導入まで提案させるスキルです。skills.sh のインストール数で1位にあり、2026年11月9日時点の表示は430万です。ただし、人気だけでは安全性も品質も判断できません。ここでは npx skills の基本操作と、導入先を見極める基準を解説します。

find-skills と skills.sh の基本

Agent Skills は、エージェントへの指示を書いた SKILL.md を中心に、スクリプトや資料をまとめる形式です。skills.sh はその公開ディレクトリで、開始から7か月で登録数が100万件に達しました。

find-skills は vercel-labs/skills リポジトリで公開されています。検索と導入を担う CLI の npx skills には Node.js 22.20 以降が必要です。導入コマンドは次のとおりです。

npx skills add https://github.com/vercel-labs/skills --skill find-skills

標準では現在のプロジェクトに入り、-g を付けるとユーザー全体で使えます。

エージェントにスキルを探させる流れ

「React の表示速度を改善するスキルを探して」のように目的を伝えます。SKILL.md が定める手順は次のとおりです。

1. 分野と作業を整理する
2. skills.sh のランキングで定評のある候補を確認する
3. npx skills find react performance のように検索する
4. インストール数、提供元、GitHub スター数で検証する
5. 導入コマンドとリンクを添えて候補を示す
6. 導入を提案し、npx skills add <owner/repo@skill> -g -y で入れる

候補がなければ、エージェントが直接作業するか、npx skills init での自作を提案します。

npx skills find と add で自分で探す

npx skills find typescript
npx skills find react --owner vercel-labs
npx skills add vercel-labs/agent-skills --list
npx skills add vercel-labs/agent-skills --skill web-design-guidelines

上から順に、キーワード検索、提供元を絞った検索、リポジトリ内の一覧表示、1件を指定した導入です。find の結果には owner/repo@スキル名、インストール数、詳細ページの URL が表示されます。

スキルの更新と削除

コマンド	動作
npx skills list	導入済みスキルを表示
npx skills check	更新の有無だけを確認。更新があれば終了コード1
npx skills update	更新。-g か -p で範囲を指定
npx skills remove	削除。引数なしなら対話形式で選択

削除の対象は標準でプロジェクトです。グローバルのスキルには -g を付けます。remove --all は確認なしで全エージェントの全スキルを消すので、先に list で確かめます。

人気だけに頼らないスキルの探し方：3つの確認基準

find-skills 自身が使う基準は次の3つです。

基準	SKILL.md の目安	読むときの注意
インストール数	1K以上を優先、100未満は注意	Vercel は「人数や独立した選択を表さない」と説明
提供元	vercel-labs、anthropics、microsoft を公式の例に挙げる	GitHub で組織名とリポジトリを確かめる
GitHub スター数	100未満は懐疑的に扱う	リポジトリ単位の数字で、スキル個別の評価ではない

2026年11月9日時点の skills.sh の表示では、基準の結果が割れる例があります。

スキル	インストール数	スター数	Snyk
find-skills	430万	3.87万	Warn
grill-me	150万	31.84万	Pass
design-mobile-apps	130万	28	Fail

design-mobile-apps はインストール数で7位ですが、スター数は目安の100未満で、Snyk は Fail です。差の理由はページから分かりません。1つの数字で決めず、基準と監査をあわせて見ます。

確認を省く -y の注意点

-y は確認を省くオプションで、公式文書は CI 向けと説明しています。2026年11月9日時点の add.ts では、次のように動きます。

• --skill がなければ、リポジトリ内の全スキルを選ぶ
• 「Proceed with installation?」の確認を出さない
• 監査結果を表示しても、リスクが高いことを理由に止めない
• AI エージェント内での実行を検出すると、-y がなくても自動で有効になる

つまり、エージェントに任せると、コマンドから -y を外しても確認は戻りません。監査情報は参考扱いで、取得できなければ表示されません。次の手順で人の判断を挟みます。

1. エージェントに「候補の提示までにして、導入は待って」と指示する
2. 詳細ページで3基準、監査結果、SKILL.md を確認する
3. 自分のターミナルで --skill を付け、-y なしで導入する

Snyk の Warn など監査結果の読み方

詳細ページには Gen Agent Trust Hub、Socket、Snyk の結果が Pass、Warn、Fail で並びます。確認した Snyk のページでは、Low が Pass、Medium が Warn、High が Fail でした。ただし、対応の公式な定義は見つかりませんでした。

find-skills の Warn は、2026年9月15日の監査で出た W011 です。公開された第三者のコンテンツを CLI で取り込むことが理由で、間接プロンプトインジェクション、つまり外部の文章に紛れた命令に従うリスクを指します。

スキルを探す機能に由来する指摘で、悪意あるコードの検出とは異なります。同日の Gen と Socket は Pass です。それでも、検索結果の説明文は信頼できない入力として扱います。

ラベルだけでなく、検出コードまで確認します。

コード	重大度	内容	確認すること
W011	medium	第三者コンテンツへの露出	読み込む内容と権限
W012	high	実行時に外部 URL から指示やコードを取得	取得先と内容変更の可能性
W007	high	秘密情報を出力に含めさせる	API キーの渡し方
E004〜E006	critical	インジェクション、不審な URL、悪意あるコード	見送りを検討

コードの定義は Snyk Agent Scan v0.5.x の文書によるもので、v0.6 以降はスコア付きの指標で出力されます。

Pass も保証ではありません。skills.sh は掲載スキルの品質や安全性を保証できないとしています。Snyk が2026年2月に公開した調査では、ClawHub と skills.sh の3,984件のうち13.4%に critical の問題があり、76件は悪意あるものと確認されました。