2026年10月、Claude Code 向け Skills リポジトリは GitHub で増えすぎています。Star だけで選ぶと description の誤マッチと未監査 scripts が権限昇格の入口になります。本記事は実用・デザイン・セキュリティの3レーンで 2026 年に検討すべき例（anthropics/skills、vercel-labs/agent-skills、自前 security-audit）と npx skills --skill 単体導入、リスク表、7手順を示します。全体像は Agent Skills 総ガイド。
Star はリストにならない
description は自動マッチ、scripts/ は同権実行。週次反復か /code-review で足りるかを先に判断し、GitHub はギャップのみ。既定は .claude/skills/。
3レーン
| レーン | 例 | 用途 | リスク |
|---|---|---|---|
| 実用 | anthropics/skills | SKILL.md 型 | 低 |
| デザイン | vercel-labs/agent-skills | UI/React PR | 中 |
| セキュリティ | security-audit 自前 | 監査ガイド | 高 |
比較
skill-creator で狭い技能を1つ。vercel は web-design-guidelines / react-best-practices を単体。セキュリティは Star よりテンプレ監査。
実用
バンドル + 2 プロジェクト技能で十分。重複パックは /code-review と競合。
デザイン
UI 変更 PR のみ発火。Figma MCP は別。
セキュリティ
承認スコープと semgrep/trivy。scripts は リモート Mac。
シーン
React 個人・a11y 担当・SecEng・初心者・隔離試験の5パターン。
スタック A/B/C
ユーザー級一括禁止。PR で技能をレビュー。
誤り
- Star 順
- --skill なし
- Figma 代替
- 認証代替
- 二重レビュー
7手順
- 反復列挙
- バンドル確認
- npx 単体
- scripts 読む
- スラッシュ検証
- リモート Mac
- 実 PR
FAQ
全部入れる？
いいえ。
Figma？
併用。
SAST？
いいえ。
anthropics vs vercel？
型 vs 規則。
発火しない？
description 狭める。
まとめ
インストールは npx skills add vercel-labs/agent-skills --skill web-design-guidelines -a claude-code のように常に --skill で1つずつ行い、ユーザー級 ~/.claude/skills への一括投入は避けます。ハーネス選定と実行環境の分離は Pi vs Claude Code vs Codex、権限とディレクトリの詳細は Agent Skills 総ガイド を参照してください。
anthropics・vercel 単体・自前 security-audit が 2026 年 10 月時点の基本線です。