💡阅读指南

第一节带你快速过了一遍 Hermes 内置的 90 多个技能。内置技能已经覆盖了大量场景，但 Hermes 真正的生态力在于扩展技能——社区贡献的各种专用技能，从部署到金融分析、从安全审计到多模态处理，应有尽有。

这一节介绍三种获取和安装社区技能的方式。最后会补充一个可选的安全审计技能 skill-vetter，适合想做额外安全检查的读者。

2.1 如何获取和安装社区技能

Hermes 内置了许多有用的 Skill，但 Skill 的精髓在于社区创意。真正有创意的技能，往往来自第三方社区或个人开发者，而不是大公司。获取第三方技能有三种方式，推荐程度从高到低：

方式一：从社区发现，丢链接安装

这是比较常见的第三方技能获取方式。你在抖音、B 站、小红书、公众号或者技术社区看到别人推荐了一个技能，直接把技能的安装页面或介绍页面链接丢给 Hermes，它自己读、自己装。

code
> 帮我安装这个技能 https://skillhub.cn/skills/skill-vetter

或者：

code
> 看看这个技能能不能装 https://github.com/someone/cool-skill

Hermes 会自己去阅读技能文档、理解它的作用、然后完成安装。不需要记命令，也不需要手动下载。

SkillHub 是腾讯云维护的一个技能聚合平台，上面收录了大量社区技能，覆盖面很广。现在第三方 Skill 社区非常多，连小红书都有 Skill 社区。但我比较推荐的只有腾讯云的这个 Skill 社区。它最早是用来镜像 OpenCLI 官方 Skill Hub 的，但现在也有很多独立开发者上传的 Skill。

这种方式的好处是：你看到的技能都是经过真人筛选和推荐的，质量有保证。安装方式也很灵活，无论是 GitHub 链接、SkillHub 页面、还是技能文档地址，Hermes 都能处理。

💡提示

虽然 SkillHub 这种大型社区确实能提供比较通用的优质Skill，但有一句话叫做“高手在民间”，我更喜欢那些独立的、小众的Skill，这些Skill更有灵性。它们的获取方式没有这么集中，可能来自一篇公众号文章，可能来自 GitHub 的 Trending，也可能是你刷抖音的时候看到的。

方式二：CLI 命令搜索和安装

如果你明确知道自己在找什么，或者想系统性地浏览技能生态，可以用 Hermes 的内置命令。搜索和安装分两步：

第一步：搜索

Bash
hermes skills search <关键词>      # 按关键词搜索
hermes skills browse               # 浏览全部可安装技能

默认情况下，搜索会聚合多个来源：

来源 说明
official Hermes 官方技能
skills-sh Vercel 的 skills.sh 生态
well-known 知名第三方技能
github GitHub 直接搜
clawhub ClawdHub
lobehub LobeHub
browse-sh browse.sh

想限定来源时，加 --source 标记。比如只在 GitHub 上找：

Bash
hermes skills search ppt --source github

也可以同时查多个来源：

Bash
hermes skills search ppt --source skills-sh --source lobehub

搜索后会返回技能列表，每个技能都有一个 identifier（如 openai/skills/k8s）。

看到感兴趣的技能，别急着装。先用 inspect 命令看看详情：

Bash
hermes skills inspect openai/skills/k8s

这个命令会显示技能的完整信息：作者、功能描述、依赖项、安全扫描结果。看完觉得靠谱，再进下一步。

第二步：安装

用搜索到的 identifier 安装：

Bash
hermes skills install openai/skills/k8s

hermes skills install 命令会做 5 件事：

  1. 从来源拉取技能包
  2. 自动跑安全扫描（skills_guard）
  3. 让你确认后再装
  4. 解压到 ~/.hermes/skills/ 下
  5. 记录到 manifest，跟踪已安装的技能
⚠️安全扫描有时会误报

hermes skills install 内置的安全扫描（skills_guard）有时会将技能标记为“危险”。但实际情况是，很多被标记的技能并没有真正的恶意行为，只是触发了某些检测规则。一旦被标记为危险，Hermes 就会拒绝安装，你也没法跳过这个检查。

这也是为什么这种方式不是最推荐的原因——遇到误报时比较麻烦，只能换其他安装方式。

方式三：对话中让 Hermes 搜索和安装（最推荐）

这是方式二的变种。区别在于：不是你自己输命令，而是在对话里让 Hermes 帮你执行终端命令，帮你搜索和安装。

code
> 用 hermes skills search 帮我找一个能把 Markdown 转成 PDF 的技能，找到后安装

Hermes 会在帮你调用 hermes skills search，找到合适的技能后，再用 hermes skills install 安装。整个过程你不需要自己敲命令。

但这里有个细节要注意：如果你不说"用 hermes skills search"，Hermes 可能会用搜索引擎在网上自由搜索，而不是用内置命令。所以如果你想让它走内置搜索，指令要明确：

明确用内置命令搜索：

code
> 用 hermes skills search 帮我找一个能把 Markdown 转成 PDF 的技能

或：

code
> 用 hermes 内置的 Skill 搜索，帮我找一个能把 Markdown 转成 PDF 的技能

2.2 skill-vetter：额外的安全审计

Hermes 的内置安装流程已经包含了安全扫描（skills_guard），对大多数场景来说够用。但如果你从 GitHub、Gitee 或其他非官方渠道获取技能，没有使用 Hermes 内置的安装方式，那么大概率没有安全检测。想要更严格的安全检查，可以安装 skill-vetter 这个 Skill。

skill-vetter 是一个专门用于安装前安全审计的技能。它会在 Hermes 内置扫描的基础上，额外检查技能的权限范围、是否存在误导性描述、是否有 Prompt 注入风险，然后给出明确的安装建议。

安装方式

在 Hermes 里输入：

code
请先检查是否已安装 SkillHub 商店，若未安装，请根据 https://skillhub.cn/install/skillhub.md 安装SkillHub商店，但是只安装CLI，然后安装skill-vetter技能。
若已安装，则直接安装skill-vetter技能。

审计流程

skill-vetter 的审计分 6 步，覆盖安装前的各个风险维度：

步骤 检查内容
1. 元数据与拼写劫持检查 技能名称是否伪装成知名项目？描述是否准确？
2. 权限分析 技能申请的权限是否合理？是否超出其功能所需？
3. 依赖审计 是否有隐藏的安装脚本或可疑的外部依赖？
4. Prompt 注入扫描 是否包含"忽略之前指令"等角色劫持或隐藏指令？
5. 网络与外泄分析 是否向未知服务器发送数据？是否存在 DNS 隧道？
6. 恶意行为检测 是否包含凭据路径、编码命令、sudo 滥用等明显危险信号？

使用方式

有几种用法：

扫描单个技能——安装前让 Hermes 审查：

code
> 帮我审计一下这个技能是否安全
> /path/to/some-skill/

批量扫描全部已安装技能——直接出一份完整的安全报告：

code
> 帮我把 Hermes 里已安装的所有技能扫描一遍，输出一份安全报告

或：

code
> 扫描全部已安装的 skill，看看有没有有问题的

最佳实践

前面介绍了搜索、审查、安装三个环节，实际使用中，建议把它们串成一个完整的工作流：

  1. 搜索：让 Hermes 用内置搜索找到目标技能
  2. 审查：用 Skill Vetter 扫描技能安全性
  3. 安装：审查通过后，再用 hermes skills install 安装

你可以直接把这个流程告诉 Hermes，让它一次性执行：

code
> 帮我找一个能把 Markdown 转 PDF 的技能
> 找到后先用 Skill Vetter 审查安全性
> 审查通过再安装，不通过就换一个

更进一步的玩法是：让 Hermes 把这个流程沉淀成一个技能。以后每次安装新技能，直接调用这个流程，搜索、审查、安装一气呵成，既安全又省事。

2.3 ■ 学点英语

中文 English 音标 说明
扩展技能 Extension Skill /ɪkˈstenʃən skɪl/ 通过安装额外加入系统的新能力
安装命令 Installation Command /ˌɪnstəˈleɪʃən kəˈmænd/ 用于下载并配置软件或 skill 的命令
技能安装 Skill Installation /skɪl ˌɪnstəˈleɪʃən/ 把外部 skill 加入可用目录的过程
软链接 Soft Link /sɔːft lɪŋk/ 让一个路径指向另一个真实目录的链接方式