昨日对比速览
| 状态 | 项目 | 昨排 | 今排 | 变化 |
|---|---|---|---|---|
| 持续 | alibaba/open-code-review | 1 | 1 | 持平 |
| 持续 | cloudflare/security-audit-skill | 8 | 2 | ↑6 |
| 持续 | addyosmani/agent-skills | 10 | 3 | ↑7 |
| 新进 | Tencent/BrowserSkill | --- | 4 | 新进 |
| 持续 | alphaXiv/OpenResearch | 7 | 5 | ↑2 |
| 新进 | anthropics/claude-code | --- | 6 | 新进 |
| 持续 | NationalSecurityAgency/ghidra | 5 | 7 | ↓2 |
| 新进 | anthropics/knowledge-work-plugins | --- | 8 | 新进 |
| 持续 | Tencent/WeKnora | 3 | 9 | ↓6 |
| 持续 | abue-ammar/tinycast | 4 | 10 | ↓6 |
| 跌出 | JustVugg/colibri | 2 | --- | 跌出 |
| 跌出 | affaan-m/ECC | 6 | --- | 跌出 |
| 跌出 | ever-co/ever-gauzy | 9 | --- | 跌出 |
今天榜单把"机构开源 + AI 智能体"这条线拉到了极致：10 个里有 7 个是 AI 编码或智能体工具，且分别来自 Cloudflare、腾讯、Anthropic 和独立作者。
最猛的是 cloudflare/security-audit-skill，从昨天的第 8 直冲第 2，日增从 927 跳到 3,607，接近四倍；addyosmani/agent-skills 也从第 10 升到第 3。三个新面孔全是智能体相关：腾讯 BrowserSkill、Anthropic 的 claude-code 与 knowledge-work-plugins。
昨天排第 2 的 colibri、第 6 的 ECC、第 9 的 ever-gauzy 全部跌出，偏"模型推理 / 工具箱"类的退场明显。WeKnora 和 tinycast 各滑 6 位，是今天掉队最狠的两个老面孔。
今日看点
1. cloudflare/security-audit-skill
JavaScript · 10,576 · MIT
Cloudflare 把内部用的安全审计技能开源了，今天日增 3,607 冲到第 2。它不算是独立软件，而是一套喂给你编码 Agent 的"技能包"，让 Cursor、Claude Code、Codex 这类工具自己跑一场结构化安全审计。
核心是把审计拆成侦察、狩猎、验证、出报告六个阶段，而且"发现问题的 Agent 绝不验证问题"，专治 LLM 自我催眠。装上就一行 npx skills add，对它说"audit this codebase"便开工。
项目地址：https://github.com/cloudflare/security-audit-skill
2. addyosmani/agent-skills
JavaScript · 95,837 · MIT
addyosmani 的"生产级工程技能库"今天 +680，却从第 10 升到第 3，靠的是排名跃升而非增量。它不是框架，而是 25 个即插即用的 skill，覆盖 code-review、TDD、需求追问等场景。
一条 npx skills add 就能装进 70 多种编码代理，且刻意做成跨客户端通用------Claude Code、Cursor、Codex、Copilot 共用同一份 SKILL.md。对已经重度依赖 AI 编程、又嫌各工具配置割裂的团队，这种"技能货架"很对胃口。
项目地址：https://github.com/addyosmani/agent-skills
3. Tencent/BrowserSkill
TypeScript · 4,102 · 未注明
腾讯新开源的 BrowserSkill 今天 +1,302 空降第 4，解决的问题很具体：让 AI Agent 直接用你本机已经登录的浏览器，而不打断你手头的事。
它用 CLI + 浏览器扩展的方式，把 Cursor、Claude Code、Codex 等接进真实浏览器；Agent 想碰你开着的标签页，得先显式"借"那一页，用完归还，其余标签页纹丝不动。README 带中文文档，适合不想把账号密码交给云端自动化、又想要浏览器操控力的场景。
项目地址：https://github.com/Tencent/BrowserSkill
4. anthropics/claude-code
TypeScript · 145,861 · 未注明
Anthropic 官方的 Claude Code 今天以 +538 回到日榜第 6。它是活在终端里的智能体编码工具，能理解你的代码库、跑 git 流程、用自然语言执行例行任务。
安装已不再推荐 npm 全局装，官方主推 curl 安装脚本、Homebrew 和 WinGet。它更像是今天这份榜单的"底层基础设施"------榜单上一半项目都是它的插件或技能生态。
项目地址：https://github.com/anthropics/claude-code
5. anthropics/knowledge-work-plugins
Python · 24,553 · 未注明
Anthropic 另一个新面孔 knowledge-work-plugins 今天 +287 进到第 8，定位是"给知识工作者用的开源插件集"。它把 Claude 变成针对角色、团队、公司的专家，每个插件捆绑 skills、connectors、slash commands 和子 Agent。
目前开源了 11 个插件，覆盖销售、客服、法务、财务、生物研究等方向，连接器能接 Slack、Notion、Jira、Salesforce 等一大票工具。装法就是 claude plugin marketplace add 再 claude plugin install，基于纯文件（markdown/JSON），无代码无构建。
项目地址：https://github.com/anthropics/knowledge-work-plugins
6. Tencent/WeKnora
Go · 26,177 · 未注明
腾讯的 WeKnora 今天 +1,125 但排名从第 3 掉到第 9，是掉队最狠的老面孔之一。它是企业知识库方向的 RAG 平台，把文档变成可查询的 RAG、自治推理 Agent 和自维护 Wiki。
后端 Go、前端 Vue，部署靠一条 docker compose 拉起。排名下滑主要是今天新项目更吸睛，不是它本身出了问题------这类"企业知识中台"的需求一直都在。
项目地址：https://github.com/Tencent/WeKnora
7. abue-ammar/tinycast
Swift · 6,137 · AGPL-3.0
tinycast 是个纯原生 macOS 启动器，今天 +739，排名从第 4 滑到第 10。零第三方依赖、不用 Electron、不带遥测，内存压在 100MB 以内，目标是做 Raycast 的开源平替。
功能很全：全局快捷键、剪贴板历史、计算器、窗口管理，甚至能直接跑你已有的 Raycast 扩展。安装走 Homebrew，macOS 26 以上才能用。增量和排名双双走弱，说明这波"原生轻量工具"的热度在退潮。
项目地址：https://github.com/abue-ammar/tinycast
今日完整榜单
| # | 项目 | 语言 | Star |
|---|---|---|---|
| 1 | alibaba/open-code-review | Go | +3,286 |
| 2 | cloudflare/security-audit-skill | JavaScript | +3,607 |
| 3 | addyosmani/agent-skills | JavaScript | +680 |
| 4 | Tencent/BrowserSkill | TypeScript | +1,302 |
| 5 | alphaXiv/OpenResearch | Rust | +939 |
| 6 | anthropics/claude-code | TypeScript | +538 |
| 7 | NationalSecurityAgency/ghidra | Java | +912 |
| 8 | anthropics/knowledge-work-plugins | Python | +287 |
| 9 | Tencent/WeKnora | Go | +1,125 |
| 10 | abue-ammar/tinycast | Swift | +739 |