用途：当用户提出“如何做某件事”“找一个能做某事的技能”或需要特定领域的工具、模板和工作流时，find-skills 帮助搜索开放智能体技能生态中的技能并做安全评估。对普通任务应先直接帮助，只有专门技能可能明显优于通用能力时才搜索。
主要能力：通过 npx skills find [query] 按关键词搜索技能；通过 npx skills add <package> 提供安装命令（应由用户自己执行）；通过 npx skills check 和 npx skills update 检查与更新已安装技能。浏览入口为 https://skills.sh/ 。技能被明确定义为以代理完整权限运行的任意代码，涉及文件系统、网络和命令执行权限。
使用方式与评估要点：先确认领域与具体任务，再用具体关键词搜索并评估候选技能的来源与作者、是否有公开可检查的仓库、SKILL.md 或 README 声明的读写范围、是否发起网络请求、是否执行 shell 命令，以及作用范围与任务是否相称。还提示关注无仓库或私有仓库、混淆代码、权限过度、无许可证、新项目却高安装量、以及要求抑制警告或跳过确认等风险信号；需检查危险执行模式、凭证访问、隐藏内容和行为操控。
可选安全扫描：若用户有兴趣，可运行 scripts/scan_skill.sh 调用 Snyk Agent Scan，需系统有 uv，且技能内容会发送至 Snyk 分析 API，须事先告知用户；也可使用 https://labs.snyk.io/experiments/skill-scan/ 网页界面。扫描结果按严重级别呈现，无发现也不等于绝对安全，失败不能被当作干净结果。
限制与禁止事项：不得未经用户明确确认安装技能，不得使用 -y、--yes 或任何绕过确认的选项，不得推荐未审查的技能，不得把安装量或星标当作可信证据，不得淡化安全问题，不得在用户只是求助时主动推销技能安装，扫描后须清理临时克隆目录。无相关技能时应如实说明并直接帮助，必要时可提及用 npx skills init 自行编写技能。