本文研究窗口為 2026-07-06 至 2026-07-12（Asia/Taipei）。本週 GitHub 訊號顯示，開源社群的重心從「再做一個聊天 UI」移向可攜的技能、標準化工具介面與可觀測的 coding-agent harness。Trending 只代表注意力，不代表品質；以下以週榜動能、repo 活動與可重用工程模式解讀。

stitch-skills：技能包開始跨 agent runtime

google-labs-code/stitch-skills 在 GitHub weekly trending 出現，技能遵循 Agent Skills open standard，標示可用於 Gemini CLI、Claude Code、Cursor 等 coding agents，並配合 Stitch MCP。重點不是單一 skill，而是「程序知識可以版本化、審查、跨 runtime 移植」。

風險是 skill 本質上可引導代理執行命令與讀取脈絡。採用前應固定版本、閱讀內容、縮小 permissions，並在 CI 檢查變更。星數與 trending 不是供應鏈審查。

DesktopCommanderMCP：工具能力集中到 MCP 控制面

wonderwhy-er/DesktopCommanderMCP 以 terminal、filesystem search 與 diff editing 的 MCP server 形式快速吸引注意。它代表 MCP 從資料 connector 走向強權限執行層：agent 可以用一致 schema 操作不同桌面或開發環境。

這也擴大攻擊面。生產使用需限制 allowed paths / commands、隔離憑證、保留每次 tool call，並把 destructive action 設成人工確認。便利性不能取代 OS sandbox。

claude-code-templates：harness 設定與監控成為產品

davila7/claude-code-templates 在週榜持續獲得注意，將 agents、commands、hooks、MCP 與監控設定包成 CLI。這類專案的訊號是 agent 開發體驗正在「組裝化」：團隊想複用角色、規則與 dashboard，而不是每個 repo 重寫 prompt。

採用時應避免模板一次帶入過多 hooks 或外部 server。先在測試 repo 安裝、檢查生成 diff、鎖定版本，再決定哪些設定可進組織基線。

從三個 repo 看見的工程模式

三者拼成一個 stack：skills 保存工作方法，MCP 暴露能力，harness 管理組態與觀測。下一步不是堆更多工具，而是建立 capability manifest：每個 skill 需要什麼權限、每個 MCP 可做什麼不可逆動作、每個 hook 會把什麼資料送到哪裡。

Watchlist

• Agent Skills standard 的版本、簽章與相容性測試。
• MCP server 是否提供細粒度 allowlist、dry-run 與 audit log。
• Trending 專案一個月後的 maintainer、issue response 與 release velocity。
• coding-agent 模板是否支援 lockfile / provenance / policy checks。
• 強權限 MCP 的 prompt-injection 與 credential-leak 實測。