Hermes Skills 实战：自生成、复用与安全审查

Hermes 应用 进阶 进阶 预计 12 分钟 发布于 2026/5/23 核验于 2026/6/1

Hermes Skills 的意义，是把一次成功的复杂任务沉淀为可复用能力。但它也带来一个新风险：如果不审查，技能库会慢慢变成一堆谁也说不清的自动化脚本。

适合沉淀成 skill 的任务

建立 skill 候选池

先不要让 Hermes 把所有任务都变成 skill。建议你维护一个候选池：

1. 任务名称。
2. 触发频率。
3. 输入是什么。
4. 输出是什么。
5. 成功标准是什么。
6. 涉及哪些工具和权限。
7. 是否需要人工确认。

当一个任务连续完成 2 到 3 次，并且步骤没有大幅变化，再考虑沉淀。

从一次任务到 skill 的标准路径

一个好 skill 通常不是凭空设计出来的，而是从真实任务里长出来的。推荐路径是：

1. 第一次让 Hermes 完成任务，只保留对话和结果。
2. 第二次让它在相同场景下复用旧经验，观察步骤是否稳定。
3. 第三次把输入、输出、失败条件和人工确认点写清楚。
4. 再把它沉淀成 skill，并做权限审查。

例如“每周生成站点内容缺口报告”就适合进入候选池。它有固定输入：教程列表、搜索意图、现有页面长度；有固定输出：缺口、优先级、下一批标题；也有明确边界：不自动发布、不自动修改商业披露。这样的任务比“帮我研究一下最近的 AI”更适合沉淀。

不要把 skill 写成黑盒

skill 一旦开始被 cron、gateway 或团队成员调用，就不再只是你的个人脚本。它应该让后来的人看得懂：

• 为什么存在这个 skill。
• 适合在哪些项目或 profile 使用。
• 会读取和写入哪些位置。
• 失败时会留下什么输出。
• 哪些动作需要人工确认。

如果一个 skill 只能靠创建者口头解释，就还没有达到长期复用标准。

安全审查清单

上线一个 skill 前，至少检查：

• 是否会读取或写入敏感目录。
• 是否会调用外部 API。
• 是否需要 secrets。
• 是否有 destructive 命令。
• 是否会自动发送消息或提交变更。
• 是否有日志和输出摘要。
• 失败时是否有安全停止条件。

和 Memory 的边界

Memory 存事实，Skills 存动作。比如：

• “这个项目使用 pnpm” 应该进入 memory。
• “发布前依次跑 lint、build、seo-check、smoke-check” 更适合变成 skill。

如果把动作塞进 memory，会让上下文变长但执行仍不稳定；如果把事实写进 skill，又会让技能在不同项目里变得脆弱。

完成检查

• 你已经列出 3 个 skill 候选。
• 每个候选都有输入、输出和成功标准。
• 你能指出哪些技能需要人工确认。
• 你知道 skills 不是越多越好，而是越稳定、越可审查越好。