WorkBuddy Skill 完整实操手册：技能原理、必装清单、自建发布与安全审计一次讲透

本文由 辛梓煜@词元2号站（www.ciyuanerhao.com）撰写，转载请注明出处。

快速摘要

如果你只想要一句结论：桌面智能体本身只是个空壳子，真正决定它能干多少活的，是你往里面装了哪几个 Skill。 我自己折腾了两个多月，最后沉淀下来的答案是——先把「文档四件套（pdf / docx / xlsx / pptx）」补齐，再加一个中文去 AI 味技能，一个技能发现类技能，一个浏览器自动化技能，一个知识库联动技能，剩下的按需装。 装到七八个就该收手了，装满三十个只会让触发变乱、上下文变胖、判断变慢。另外还有一条硬提醒：技能生态在 2026 年已经出过实打实的供应链投毒事故，安装任何非官方技能之前，必须先把 SKILL.md 从头读一遍。

想看完整拆解，往下翻。下面会把技能的运行原理、每一类技能的实际用法与指令写法、定时任务怎么串成闭环、安全审计怎么做、以及怎么把自己的工作流封装成一个可复用的技能包，全部讲清楚。

一、先把 Skill 这件事讲明白

1.1 一个不太严谨但很好用的类比

很多人第一次听到「给 AI 装技能」，脑子里冒出来的画面是装个插件、点一下、多个按钮。这个理解方向对，细节全错。

我更愿意这么打比方：模型本身是一个天赋极高但刚入职的新同事。他逻辑清晰、写代码利索、中文表达也不差，唯一的问题是——他没读过你们公司的作业手册。他不知道你们的周报要按哪个模板写，不知道对外发的合同 PDF 必须先脱敏再传，不知道你们内部约定的表格第一行永远是字段说明而不是数据。他很聪明，但他缺的是信息，不是智力。

Skill 就是那份作业手册。你把「这类活儿应该怎么做」写成一份结构化的文档，交给他，以后每次遇到同类任务，他自己翻手册照着做。手册提供流程、约束和边界，模型提供判断力和随机应变。两者缺一不可：没有手册，再强的模型每次都会给你一个略微不同的结果；没有模型，手册就是一堆躺在硬盘里的死文字。

官方文档里给它的定义会更技术一点：技能是一个文件夹，里面必须有一个叫 SKILL.md 的 Markdown 文件，可以另外附带脚本、参考资料和模板资源。 智能体读取这个文件夹，就获得了在某个专业领域稳定输出的能力。

1.2 它和提示词、规则文件、MCP 的边界在哪

这四个概念经常被混着说，我自己踩过混淆的坑，这里用一张表拉清楚：

关键差异在最后一列的「按需触发」。规则文件是常驻的，写得越多，每次对话的固定开销越大；技能是懒加载的，平时只占一行描述的位置，任务匹配上了才把完整内容读进来。

MCP 和 Skill 的关系则更像是「手」和「脑」。MCP 让智能体能够连上腾讯文档、企业微信、代码仓库、数据库这些外部服务，属于能力的物理延伸；Skill 告诉它「什么时候该用哪只手、按什么顺序用」。一个只装了 MCP 没有 Skill 的智能体，就像一个工具箱塞满但没有图纸的师傅，工具都在，活儿干得七零八落。

我实际用下来的感受是：MCP 决定能力上限，Skill 决定输出下限。 上限高不高看你接了多少外部服务，下限稳不稳全看技能写得细不细。

1.3 渐进式披露：为什么装几十个技能不会把上下文撑爆

这是整套机制里最巧妙的设计，也是很多人没搞明白的地方。

技能采用三层加载结构，业内叫「渐进式披露」（Progressive Disclosure）：

flowchart TD
    A["L1 元数据层<br/>name + description<br/>约 100 tokens"] -->|任务描述匹配上| B["L2 指令层<br/>SKILL.md 正文<br/>建议 500 行以内"]
    B -->|需要细节或要跑脚本时| C["L3 资源层<br/>references / scripts / assets<br/>体量不限"]
    A -.->|没匹配上| D["保持休眠<br/>不产生额外开销"]

• L1 是索引。 智能体启动时，只把每个技能的名称和描述读进来，一个技能大概一百个 token 的量级。装二十个技能，这一层的总开销也就两千 token 出头，完全可以接受。
• L2 是手册正文。 只有当你说的话跟某个技能的描述对上了，它才会把完整的 SKILL.md 读进上下文。这一层建议控制在五百行以内——不是硬性限制，而是写太长了模型的注意力会被稀释，反而不听话。
• L3 是工具箱。 参考资料、模板文件、可执行脚本都放这一层，只在明确需要的时候才碰。其中脚本是最划算的：它是被执行的，不是被读进上下文的，token 开销接近于零。

用一个简单的式子表达整体开销，设共安装 (n) 个技能，本次任务实际激活的集合为 (A)：

[

C_{\text{总}} = \sum_{i=1}^{n} c_i^{\text{meta}} + \sum_{j \in A} c_j^{\text{body}} + \sum_{k \in R} c_k^{\text{ref}}

]

第一项随安装数量线性增长但系数极小，第二、三项只跟本次真正用到的技能有关。这就是为什么「装了十几个技能日常对话依然很轻快」——绝大多数技能在绝大多数时候都处于休眠状态。

1.4 SKILL.md 长什么样

先看一眼最小可用形态，剥掉所有花哨的东西之后，它就这么简单：

---
name: weekly-report
description: 用于把本周的零散工作记录整理成结构化周报。当用户要求"写周报""整理本周工作""生成工作汇报"，或者上传了工作日志文件并要求汇总时使用。
---

# 周报生成

## 执行步骤

1. 读取用户提供的工作记录，按项目维度归类
2. 每个项目提炼：进展、阻塞、下周计划
3. 阻塞项必须写清楚卡在谁那里、需要什么支持
4. 输出为 Markdown，控制在 800 字以内

## 输出格式

见 references/template.md

前面用三个短横线包起来的部分叫 frontmatter，只有 name 和 description 两个字段是必填的。剩下的全是给模型看的自然语言说明。

这里有个新手最容易忽略的点：description 不是给人看的简介，它是触发开关。 智能体判断「这次要不要用这个技能」，靠的就是这一段。写得含糊，技能装了也不触发；写得精确，它自己就会在合适的时候跳出来。这个话题在第十章会详细展开。

二、WorkBuddy 与 SkillHub：国内环境下的技能生态地图

2.1 WorkBuddy 是个什么定位的东西

先交代背景，避免有人一头雾水。

WorkBuddy 是腾讯云 CodeBuddy 团队做的桌面智能体工作台。时间线大致是这样的：2026 年 1 月 19 日在腾讯内部开放体验，两千多名不同岗位的员工先试用了一轮，覆盖 HR、行政、运营、销售这些完全不写代码的角色；2 月 6 日开放内测申请；3 月 9 日正式上线，随后一路加功能——3 月 12 日打通微信直连，3 月 31 日小程序上线并支持「云端 + 本机」双模式运行。

它和聊天机器人最大的区别，一句话就能说清：聊天机器人只能告诉你怎么做，它是真的会动手在你电脑上把活儿干完。

你说「把桌面上那个销售数据表去掉重复行，按销售员汇总，再出一张柱状图」，它会自己打开文件、清洗数据、算完、画图、把 .xlsx 存回桌面。整个过程在本地跑，文件不上传云端。执行前会把访问范围和步骤列出来让你确认，遇到删系统文件、改注册表这类高危指令会直接拦截。

产品形态上分几种模式，日常用得最多的是「做」模式——AI 直接动手产出文件、跑代码、操作本地目录。这也是技能真正发挥价值的场景：只有当智能体能落地干活的时候，一份写得好的作业手册才有意义。

2.2 SkillHub 是干嘛的，和 ClawHub 什么关系

SkillHub 是 2026 年 3 月 10 日上线的技能社区，比 WorkBuddy 正式上线晚了一天，定位很明确——面向国内用户的技能镜像站与发现平台。

它解决的是几个特别具体的痛点：

上线时收录量是一万三千多个技能，八大分类涵盖中国应用、开发工具、多媒体、知识管理、办公协同、搜索研究这些方向。搜「小红书」「腾讯文档」这类本土场景能直接搜到对应技能，这一点对国内用户来说体验差别相当明显。

它和上游社区的关系，官方的说法是本地镜像站，会标注原始来源并分担流量，未收录的技能会自动回退到官方源。上线初期因为抓取问题跟上游社区有过一次争议，后来做了流量分担的说明。这类生态摩擦在镜像站身上不算罕见，实际使用倒是没受影响。

2.3 装技能的两条路，以及底下的真实机制

第一条路：对话式安装。 最省事，也是我推荐给新手的方式。

直接在对话框里说人话就行：

帮我安装 pdf 技能

我想做一份海报，帮我找找有没有合适的技能

第二种写法更有意思——你描述场景而不是指名道姓，它会去检索并列出候选，你回一句「装第 2 个」就完事了。已经装过的会提示当前版本，有新版会问你要不要更新，整个过程不消耗对话额度。装完在技能管理面板里能看到。

第二条路：手动导入。 从社区下载了 zip 包，或者是别人发给你的技能包，走「上传技能」把压缩包丢进去即可。自己写的技能在本地调试，也走这条路。

底下的机制稍微绕一点，值得单独说一句。技能在产品界面里被叫做「插件」，安装并不是简单地把文件夹丢到用户目录了事，而是分两步：

第一步：技能包落到插件市场目录下的 plugins 子目录
第二步：修改用户目录下的 settings.json，把对应项设为启用

也就是说，「文件存在」和「技能生效」是两回事。我第一次手动塞了个技能包进去发现死活不触发，排查半天才明白是第二步没做。如果你想写脚本批量部署技能，这个机制必须先搞明白，否则会一直在「文件明明在那儿」的困惑里打转。

顺带提一句配置文件的位置：技能启用状态由用户目录下的 .workbuddy/settings.json 控制，改完重启客户端生效。手动改的时候记得先备份，JSON 少个逗号整个配置就废了——辛梓煜@词元二号站 亲测踩过这个坑，重装了一遍才好。

2.4 官方内置的那一批，先别急着往外找

装之前有件事得先确认：你要的能力，可能本来就有。

开箱状态下已经内置了三十多个预设技能，覆盖搜索、办公文档、浏览器操作、云盘日历这些高频场景。这批技能的好处是零风险、零配置、有官方维护，功能边界固定但足够稳。

我的建议是按这个顺序走：

1. 先把内置技能列表从头到尾扫一遍，把用得上的全部启用
2. 用两周，摸清楚哪些场景确实卡住了
3. 带着具体缺口去精选榜单里找
4. 榜单里也没有，再去分类里翻，或者干脆自己写

跳过前两步直接冲到市场里狂装，是新手最典型的动作，结果通常是装了二十个用三个，剩下十七个还在悄悄干扰触发判断。技能这东西不在多，在精，这句话我后面还会再说一遍。

三、文档四件套：pdf / docx / xlsx / pptx

3.1 为什么这四个必须最先装

先说结论：日常办公里九成的文档需求，装完这四个就能在对话框里解决。

这四个技能是官方维护的，稳定性没有悬念，安装量在整个生态里长期排在最前面。它们解决的是同一个根本问题——让 AI 的输出从「一段可以复制的文字」变成「一个可以直接双击打开的文件」。

这个差别比听起来大得多。以前的流程是：让 AI 生成内容 → 复制 → 打开 Word → 粘贴 → 手动调格式 → 发现层级乱了 → 重新调。现在的流程是：说一句话 → 拿到 .docx。中间那五步全没了。

3.2 四个技能各自的边界

3.3 pdf：被低估的批处理能力

大部分人只用它来「读一份 PDF」，这其实是最浪费的用法——那件事不装技能也做得到。它真正值钱的是批处理和结构化提取。

举个我自己的实际用法。手上有二十几份格式不一的服务协议，需要把每份的甲乙方、金额、有效期、违约条款抽出来做成一张表。手动干大概要两个下午。用技能的指令是这样的：

读取「合同」文件夹下的所有 PDF，
对每一份提取：文件名、甲方、乙方、合同金额、生效日期、终止日期、违约责任条款原文。
提取不到的字段填「未载明」，不要臆测。
汇总成一张表格输出为 xlsx，放在桌面，文件名叫「合同要素汇总」。

注意最后两句——「提取不到填未载明，不要臆测」是我加的护栏。不加这一句，模型遇到缺失字段有一定概率会「合理推断」一个出来，那在合同场景里是灾难。给 AI 干活，护栏比指令本身更重要。

扫描件走的是另一条路。纯图片的 PDF 没有文字层，得先做 OCR。这一步对印刷体中文的识别率相当高，手写体和有折痕、有印章遮挡的部分要人工复核，别偷懒。

3.4 xlsx：真正省时间的是清洗，不是画图

很多人拿它来做图表，其实那是最不省时间的部分——画图本来也就点几下。真正的时间黑洞是数据清洗。

一份从各分部收上来的表，典型症状是：日期格式三种写法混在一起、金额列里混着「万元」和「元」、部门名有全称有简称有错别字、中间还夹着几行小计和空行。这种表拿到手，人肉整理一小时起步。

我的处理指令通常长这样：

读取桌面的「Q2汇总原始.xlsx」，按以下顺序处理：
1. 删除所有完全空白行，以及内容包含「小计」「合计」的行
2. 日期列统一为 YYYY-MM-DD
3. 金额列统一为「元」，凡是标注「万元」的乘以 10000，处理完删掉单位后缀
4. 部门列按下面的映射表归一：技术中心/技术部/研发 → 技术部
5. 处理完先告诉我：删了多少行、改了多少个单元格、有哪些部门名没能匹配上映射表
6. 我确认之后，再存成「Q2汇总_已清洗.xlsx」

第 5 步是关键。别让它闷头改完直接给你结果，一定要中间停一次报账。 数据清洗最怕的不是改错，是改错了你不知道。让它先汇报改动量和异常项，你扫一眼数字对不对得上，再放行。

3.5 pptx：期望值管理

这个技能被吹得最狠，我给的评价也最保守：它能把你从零推到六十分，剩下四十分还得自己爬。

输入「帮我做一份 15 页的年终汇报 PPT」，它确实会给你一个能打开的文件，有页数、有层级、有配色、有版式。从「要做汇报」到「手上有初稿」这段路，能从两小时压到几分钟。这个价值是真实的。

但你别指望它一步到位。我的实际流程是分两步走：

第一步（只要结构，不要内容）：
帮我列一份 15 页年终汇报的页面结构，每页写清楚标题和这一页要解答的问题，
先不要填正文。我看完结构再说。

第二步（结构确认后再填）：
结构没问题。按这个结构生成 pptx，
数据部分用「示例数据」占位并标注为待替换，不要编造具体数字。
配色用深蓝加浅灰，不要用渐变和阴影。

分两步的理由很实在：结构错了，内容写得再漂亮也得推倒重来；结构对了，内容替换是体力活。另外一定要写「不要编造具体数字」——汇报场合里出现一个来路不明的数字，比 PPT 丑一百倍要命。

3.6 四件套之间的串联

真正的效率提升不来自单个技能，来自它们串起来。一个我每周都跑的组合：

flowchart LR
    A["原始数据 xlsx"] --> B["xlsx 技能<br/>清洗 + 汇总"]
    B --> C["docx 技能<br/>生成分析报告"]
    B --> D["pptx 技能<br/>生成汇报页"]
    C --> E["pdf 技能<br/>合并 + 加水印"]
    D --> E
    E --> F["最终交付包"]

对应的指令是一整段说完的，不需要分四次：

用桌面「周度数据.xlsx」跑完整流程：
1. 清洗数据并按区域汇总
2. 基于汇总结果写一份不超过 1500 字的分析报告（docx），重点写环比变化和异常项
3. 同时生成一份 8 页的汇报 pptx
4. 把 docx 和 pptx 都转成 PDF，合并成一份，右下角加「内部资料」水印
5. 全部放到桌面「周报交付」文件夹

这一段跑下来大概两三分钟。以前这套动作是我周五下午的固定节目，现在腾出来的时间够多喝两杯茶。

四、去 AI 味：中文写作场景里最实在的一个技能

4.1 AI 味到底是什么味

先把问题定义清楚，否则改无从改。

AI 味不是语法错误，是风格问题——过于工整、过于对仗、过于面面俱到。人写东西是有偏好、有情绪、有取舍的，会详略不均，会突然插一句题外话，会在某个细节上啰嗦半天。模型写东西则倾向于把每一面都照顾到，每一段都长度相当，每一句都四平八稳。

具体到可识别的痕迹，社区整理出来的常见模式有二十几种，大致归为四类：

第四类是最刺眼的。「坐落在风景如画的市中心，这家咖啡馆拥有丰富的文化底蕴和令人叹为观止的装饰」——这种句子人类是写不出来的，只有旅游宣传册和模型会这么说话。

4.2 技能是怎么改的

中文去 AI 味类技能的实现思路，是把维基百科整理的「AI 写作特征」条目加上中文本地化的补充，做成一份检测与修复清单。收到文本之后，它逐条比对，命中哪一条改哪一条。

关键在于它的动手原则：能改一个词就不改一句，能删一句就不重写一段。没问题的句子尽量保留。

这条原则我特别认同。市面上很多所谓的润色工具，本质是把你的文字整篇重新生成一遍，改完之后 AI 味没了，你的味道也没了。真正有用的是外科手术式的修改，只切病灶。

看一组对照，改之前：

这次软件更新作为公司致力于创新的有力证明。此外，它提供了无缝、
直观且强大的用户体验——确保用户能够高效地达成目标。这不仅仅是
一次更新，更是我们对生产力思考方式的一场革命。

改之后：

这次更新加了三个东西：批量处理、键盘快捷键、离线模式。
测试用户的早期反馈还不错，主要说批量处理省了不少重复点击。

后者短了一大半，信息量反而更多。前者说了六十多个字，实际上一个具体信息都没有——「无缝、直观、强大」这三个形容词放在任何一款软件上都成立，等于什么都没说。

4.3 我自己的用法：别整篇跑

用了一段时间之后，我形成了几个习惯，分享出来可能能帮你少走弯路。

第一，段落级处理，不要整篇丢进去。 整篇跑的问题是，它会为了「统一风格」而修改本来没问题的段落，改完你自己都认不出来了。我的做法是只把自己读着别扭的那两三段单独拎出来处理。

第二，先自己改一遍再让它改。 最容易被识别为 AI 味的那些词，你自己心里是有数的。先把「首先其次综上所述」「值得注意的是」这