Több mint 178 000 GitHub-felhasználó csillagozott meg egyetlen markdown-fájlt. A fájl mindössze megmondja egy AI-nak, hogyan viselkedjen.
Négy szabály: Gondolkodj, mielőtt kódolsz. Egyszerűség először. Sebészi pontosságú változtatások. Célvezérelt végrehajtás. Ennyi. Nincs könyvtár. Nincs keretrendszer. Nincs telepítő. Forrest Chang Andrej Karpathy megfigyeléseit az LLM-kódolási hibamódokról egyetlen CLAUDE.md fájlba csomagolta, és a fejlesztői közösség a rákövetkező hónapokban 178 000 GitHub-csillag fölé lökte.
Ha hunyorítva nézed, hogy mi történt ott, nagyon hasonlít arra, amire minden mérnöki szervezet rájött, hogy szüksége van, végül, elég sok fájdalom után: egy közös korlátozáskészletre arról, hogyan íródik a kód. Egy szabályrétegre. Az a fajta dolog, amely régen egy kódátnézési ellenőrzőlistában, egy stílusútmutatóban vagy egy vezető mérnök intézményi emlékezetében élt. A vibe coding közösség ugyanennek a fegyelemnek egy sokkal könnyedebb változatát találta meg: írd le a szabályokat markdownban, és hagyd, hogy az ügynök elolvassa őket, mielőtt kódot ír.
Ez nem egyszeri eset. Ez egy minta.
Röviden
- Az ügynökutasítási ökoszisztéma (CLAUDE.md, AGENTS.md, megosztott skills-könyvtárak és akadálymentesítési ügynökök) egy elosztott minőségbetartató réteggé válik az AI-asszisztált kódoláshoz.
- A minőségi szakadék, amelyre válaszol, valós: a Snyk 3 984 skillt szkennelt a ClawHubról és a skills.sh-ról, és azt találta, hogy 1 467, azaz 36,82%, legalább egy biztonsági hibát tartalmazott; 534, azaz 13,4%, legalább egy kritikus szintű problémát.
- A közösség válasza az volt, hogy több szabályt épített, nem pedig elvetette a megközelítést, és olyan intézmények vannak most már bevonva, mint a Vercel, az OWASP és a Linux Foundation.
A minőségi szakadék valós, és a közösség tudja ezt
A közösségi skills-fájlok 13,4%-a kritikus biztonsági hibát tartalmaz. Ez a forrása: A Snyk ToxicSkills jelentése, amely 2026 februárjában jelent meg, miután 3 984 skillt szkennelt a ClawHubról és a skills.sh-ról. 36,82%-uk legalább egy biztonsági sebezhetőséget tartalmazott. 76 kifejezetten rosszindulatú volt, és ezek 91%-a prompt injekciót használt a kézbesítési mechanizmusként.
A tágabb AI-kódminőségi történet hasonló. A CodeRabbit kódátnézési adatainak elemzése szerint az AI-asszisztált kód átlagosan 10,83 problémát tartalmaz pull requestenként, szemben az ember által írt kód 6,45-ével, ami nagyjából 1,7-szer több probléma. A GitClear éves kódtanulmánya arról számolt be, amit „4-szeres növekedésnek" nevez a kódklónozásban: emelkedés a megváltozott sorok 8,3%-áról 12,3%-ára 2021 és 2024 között.
Ezek gyártói számok, így a pontosságot megfelelő szkepticizmussal kezeld. Mégis, irányukban hasznosak: az AI-asszisztált kódolás elég minőségi nyomást teremt ahhoz, hogy a fejlesztők új védőkorlátokat építsenek köré.
Ami számít, az az, hogy a közösség mit kezdett ezzel az információval. A válasz nem az volt, hogy „a skills-fájlok veszélyesek, ne használd őket". Hanem ez volt: az OWASP elindította az Agentic Skills Top 10-et (AST10), a Web Application Security Top 10 skills-ökoszisztémai megfelelőjét. Több szabály. Több struktúra. Egy formális biztonsági keretrendszer egy informális ökoszisztémához.
Ez egy klasszikus mérnöki válasz, még egy olyan közösségtől is, amely gyakran próbálja elkerülni a nehézkes folyamatokat.
Az ökoszisztéma, amely megjelent
2026 első felében ez kezdett kevésbé úgy kinézni, mint egy maroknyi elszigetelt markdown-fájl, és inkább úgy, mint egy rétegzett ökoszisztéma.
Kezdjük a viselkedési réteggel. A Karpathy-ihlette CLAUDE.md Forrest Chang változatát csomagolja Andrej Karpathy LLM-kódolási hibamegfigyeléseiből egyetlen utasításfájlba, és most több mint 178 000 GitHub-csillagnál tart, a GitHub történetének egyik legtöbb csillagot kapott tárolójaként, egy négy egyszerű szabály köré épített fájlhoz. Hogy mik ezek a szabályok, az kevésbé érdekes, mint az, amit képviselnek: kísérlet arra, hogy kódolják azt az ítélőképességet, amelyet egy vezető mérnök alkalmazna a kódátnézés során.
Efölött egy közösségi aggregációs réteg ül. Az Antigravity Awesome Skills túllépte az 1 595+ agentic skillt, újrafelhasználható forgatókönyveket gyűjtve a Claude Code, Cursor, Codex CLI, Gemini CLI, Antigravity és más AI-kódolási asszisztensekhez. Úgy működik, mint egy gyorsan mozgó megosztott könyvtár a terület számára: az a fajta dolog, amit egy szabványügyi bizottság hozna létre, ha GitHubon keresztül haladna a PDF-ek helyett.
Aztán megjelentek a keretrendszerek. A Vercel a vercel-labs/agent-skills hivatalos szervezeti tárolóvá tette, amely most 28 000 csillagnál tart. Csak a React Best Practices skill 40+ szabályt tartalmaz nyolc teljesítményközpontú kategóriában, beleértve a vízeséseket, a csomagméretet, a szerveroldali teljesítményt, a kliensoldali adatlekérést, az újrarenderelés optimalizálását, a renderelési teljesítményt és a JavaScript mikrooptimalizációkat. Amikor a vállalat, amely a telepítési platformodat birtokolja, hivatalos minőségi szabályokat szállít AI-ügynökökhöz, az ökoszisztéma közösségi kísérletből produkciós infrastruktúrává lépett elő.
És legfelül egy szabványréteg. Az OpenAI az AGENTS.md specifikációt a Linux Foundation Agentic AI Foundationjének (AAIF) adományozta az MCP (Anthropic) és a Goose (Block) mellett: eszközök közötti, ügynökök közötti, szabványkövető. Az irány a hordozhatóság felé mutat: az AGENTS.md közös helyet ad a csapatoknak a projektspecifikus ügynökirányításhoz, még akkor is, ha az egyes eszközök még különbözhetnek abban, hogyan töltik be és alkalmazzák ezeket az utasításokat.
Ezek a darabok nem egyetlen központilag megtervezett stackként jelentek meg. Azért konvergáltak, mert a kereslet valós volt.
A dimenzió, amelyről senki sem beszél
A biztonsági és kódminőségi adatok kapnak figyelmet. Az akadálymentesítési dimenzió szinte soha nem.
Community-Access/accessibility-agents 2026. február 21-én indult hat ügynökkel. 2026 júniusában: 79 specializált ügynök nyolc csapatban, 18 újrafelhasználható akadálymentesítési skill, WCAG 2.2 AA célzás, és támogatás öt platformon: Claude Code, GitHub Copilot, Gemini CLI, Codex CLI, és egy MCP Server, amely MCP-kompatibilis klienseket tud kiszolgálni.
Mi ez a projekt, egyszerű szavakkal: fejlesztők egy közössége úgy döntött, hogy az AI-kódolási eszközök alapértelmezetten akadálymentesítetlen kódot generálnak (kihagyják az ARIA szabályokat, figyelmen kívül hagyják a billentyűzetes navigációt, olyan modálisokat hoznak létre, amelyek csapdába ejtik a képernyőolvasókat), és 79 specializált ügynököt épített, hogy betartassa azokat a szabályokat, amelyeket az AI folyamatosan elfelejt.
Ez egy figyelemre méltó dolog, hogy megtörtént. A frontend-mérnökök történelmileg alulteljesítettek az akadálymentesítés terén. Ez az első dolog, amit kihúznak a határidős nyomás alatt. Az accessibility-agents projekt: vibe coderek, akik megírják azokat a szabályokat, amelyeket egyébként egy vezető mérnöknek kellene betartatnia, és ezt nyilvánosan teszik, ingyen, öt támogatott integráción keresztül.
Az én olvasatomban a projekt szokatlanul alapos egy önkéntes akadálymentesítési erőfeszítéshez képest, különösen azért, mert az akadálymentesítést egy késői QA-aggályból újrafelhasználható ügynökutasításokká alakítja, amelyek a kódgenerálás során futnak.
Miért volt ez elkerülhetetlen
Az érv, hogy „a skills-fájlok csak READMEk az AI számára", jogos, ha bármelyik egyetlen fájlt nézed. Megszűnik tartani, amikor azt nézed, hogy az OWASP biztonsági keretrendszert indít az ökoszisztémához, a Vercel hivatalos minőségi könyvtárat szállít, vagy egy önkéntes akadálymentesítési projekt 79 specializált ügynökké nő.
Íme, ami valójában történik: a minőségbetartatás nem tűnik el, amikor eltávolítod a folyamatot. Más formában jelenik meg újra, mert a minőség hiánya gyorsan fájdalmat termel, és a fájdalomhoz legközelebb álló személy a forrásnál javítja ki.
A hagyományos mérnöki fegyelem (kódátnézés, stílusútmutatók, QA-kapuk, architekturális irányítás) azért létezik, hogy elkapja azt, amit az egyes fejlesztők kihagynak az időnyomás alatt. Akkor működik, ha van csapatod és folyamatod. A vibe codereknek, tervezésüknél fogva, gyakran egyik sincs. Így előre belekódolták az átnézést az ügynök utasításaiba.
A CLAUDE.md előre belekódolt kódátnézés. Az Awesome Skills egy elosztott stílusútmutató. Az AGENTS.md egy irányítási szabvány. A szavak megváltoztak. A funkció nem.
Ami érdekes, az nem az, hogy a korlátozások újra megjelentek, az elkerülhetetlen volt. Ami érdekes, az az, hogy gyorsabban jelentek meg újra, mint először, és nyilvánosabban, és olyan minőségi szinten, amely zavarba hoz néhány érett folyamatokkal rendelkező mérnöki szervezetet.
A vibe coding közösség nem vonakodva, a vezetőség nyomása alatt találta fel újra a mérnöki fegyelmet. Azért építette meg, mert falba ütközött, és a megoldásra szolgáló eszközök egy markdown-fájlnyira voltak.
Gyakran ismételt kérdések
Mi kerül egy CLAUDE.md fájlba?
Viselkedési korlátozások az AI számára: mit kerüljön, mit helyezzen előtérbe, architekturális szabályok, biztonsági vészjelzések és projektspecifikus konvenciók. A minőségközpontú használat túlmutat a munkafolyamat-gyorsbillentyűkön: olyan szabályok, mint a „soha ne távolítsd el a hibakezelést a tesztek átfuttatása érdekében", olyanok mellett állnak, mint a „mindig használj TypeScriptet". Valós, tesztelt példákért kezdd ezzel: az Awesome Skills közösségi aggregáció. A Vercel agent-skills egy másik erős referencia.
Mi az AGENTS.md, és miben különbözik a CLAUDE.md-től?
Az AGENTS.md egy univerzális szabvány a projektspecifikus ügynökirányításhoz, amelyet az OpenAI adott ki, és 2025 decemberében a Linux Foundation Agentic AI Foundationjéhez járult hozzá. A CLAUDE.md a Claude Code projektirányítási fájlja. Céljukban átfedik egymást, de nem azonos formátumúak minden eszközben. A gyakorlati tanulság az, hogy a csapatok egyre inkább egyszer írhatják meg az ügynökutasításokat, és adaptálhatják őket olyan eszközök között, mint a Codex, Cursor, Copilot, Gemini CLI és Claude Code.
Biztonságosan használhatók a skills-fájlok?
A közösségi forrásból származó skilleket importálás előtt el kell olvasni. A Snyk ToxicSkills jelentése azt találta, hogy a szkennelt közösségi skillek 36%-a legalább egy biztonsági hibát tartalmazott, és 13,4% kritikus szintű hibákat, a prompt injekcióval mint elsődleges támadási mechanizmussal. Az OWASP Agentic Skills Top 10 a referencia-keretrendszer a támadási felület megértéséhez. A hivatalos tárolókból vagy bevett nyílt forráskódú projektekből származó skills-fájlok általában alacsonyabb ellátásilánc-kockázatot hordoznak, mint az anonim közösségi hozzájárulások, de import előtt ezeket is át kell nézni.
Mi az OWASP Agentic Skills Top 10 (AST10)?
Az OWASP 2026-os biztonsági keretrendszere a skills-ökoszisztémához, analóg az OWASP Web Application Security Top 10-zel, de kifejezetten az AI-ügynökök utasításfájljai által létrehozott támadási felülettel foglalkozik. Lefedi a tíz legkritikusabb biztonsági kockázatot olyan platformokon, mint a Claude Code, Cursor/Codex és VS Code. A keretrendszer aktív fejlesztés alatt áll 2026-ban, a v1.0 kiadását 2026 negyedik negyedévére tervezik.
Szükségem van-e skills-fájlokra, ha személyes projektet építek?
Csak ha következetes AI-viselkedést akarsz. Korlátozások nélkül az AI-kódolási eszközök a feladat befejezésére optimalizálnak, nem a kódminőségre, ami egészen addig jól működik, amíg nem termel duplikált logikát, hiányzó hibakezelést vagy akadálymentesítetlen UI-komponenseket. A ráfordítás alacsony: egy fájl projektenként, karbantartva, ahogy felfedezed, mit ront el folyamatosan az AI. A Karpathy-ihlette szabályok ésszerű kiindulópont; a közösségi skills-könyvtárak lehetővé teszik, hogy domainspecifikus szabályokat (biztonság, akadálymentesítés, nyelvi idiómák) húzz be anélkül, hogy a semmiből írnád meg őket.
