Vercel: skills.sh alcanza 1 millón de agent skills

skills.sh llegó al millón de skills en 7 meses: el indicador más rápido hasta ahora

El registry abierto de Vercel, skills.sh, alcanzó 1 millón de agent skills y registró cerca de 280 millones de installs en apenas siete meses desde su lanzamiento, según el informe State of Agent Skills publicado por Vercel. La velocidad no tiene comparación reciente en el mundo del software: GitHub tardó 27 meses en llegar al millón de repositorios, el App Store de Apple más de cinco años y npm más de nueve años, según los datos del propio reporte.

La métrica importa porque redefine quién puede crear "software" para agentes. Un skill no es código en el sentido tradicional: es un archivo con instrucciones en lenguaje natural que le dice a un agente cómo ejecutar un trabajo específico (revisar contratos, limpiar una hoja de cálculo, desplegar un sitio). Anthropic presentó Agent Skills en octubre de 2025, y Vercel lanzó skills.sh tres meses después como un registry abierto para descubrirlos e instalarlos.

Qué están enseñando los founders a sus agentes

Vercel clasificó los skills más instalados del registry según el tipo de trabajo que enseñan. Esos skills representan más del 80% del total de installs. La foto tiene una asimetría reveladora entre oferta y demanda:

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

La oferta es técnica: más de la mitad de los listings publicados enseñan ingeniería de software, workflows de agentes, datos, infraestructura o seguridad. Sólo ingeniería de software explica cerca de una cuarta parte de los listings.
La demanda es transversal: ninguna categoría supera el 20% de installs. Ingeniería de software lidera con 18%, seguida de agent workflows con 14,8%, y luego business operations y writing empatadas cerca del 11%.

Cuando Vercel normaliza por cantidad de listings (installs por skill), el ranking cambia: business operations recibe 74% más installs que el promedio, writing 50% más, y cloud e infraestructura 42% más. La explicación es directa: hay menos skills compitiendo en esos nichos, así que cada uno carga con más demanda.

Los agent workflows son la categoría con mayor tracción entre los skills con al menos 100.000 installs. No enseñan una tarea concreta: enseñan a los agentes a planificar, enrutar trabajo, usar herramientas y automatizar navegadores. Son las "meta-skills" que se aplican a cualquier trabajo, desde revisar contratos hasta generar reportes.

El largo plazo: por qué los skills cross-industry ganan 3,6 veces más

Otro corte del reporte separa los skills según si su trabajo es transversal a industrias (limpiar una hoja de cálculo, desplegar un sitio) o específico de un sector. Los números son contundentes:

Los skills cross-industry representan el 66% de los listings clasificados y el 87,5% de los installs.
En promedio, reciben 3,6 veces más installs por listing que los específicos de una industria.

La portabilidad es la ventaja competitiva. Un skill de planificación sirve para un banco, un hospital, un bufete o un restaurante. Un skill específico de, por ejemplo, reportar gastos en SAP, sólo sirve en organizaciones con SAP. Los skills más instalados son los que más gente puede reutilizar, resume el informe.

La concentración ya es enorme: 375 skills explican el 62% de los installs

La distribución de installs no es nada uniforme y eso define dónde está el valor hoy:

Casi la mitad de los skills del registry se instaló exactamente una vez.
Apenas 375 skills (0,04% del total) concentran el 62% de los installs.
El 1,2% de los skills explica el 94% de los installs.

Y aun así, no hay un ganador absoluto: el skill más instalado tiene menos del 1% de los installs totales. Lo que existe es una estructura de "un ganador por trabajo": cuando un equipo adopta un skill de reporte de gastos, no instala otro para lo mismo, pero sí puede sumarlo a otros de spreadsheets, research y presentaciones. Cada trabajo corona su propio ganador, y los ganadores juntos cargan la mayor parte de los installs.

El riesgo que pocos están mirando: skills maliciosos en pleno registry

En agosto de 2026, en plena Black Hat USA, los investigadores de Zenity Labs destaparon una campaña activa de skills trojanizados en skills.sh que acumuló 1,7 millones de installs antes de ser interrumpida, según reportó CSO Online. El ataque typosquiteó skills populares de Paperclip y Browser Use, dos herramientas muy instaladas: los archivos empezaron limpios para pasar las verificaciones del marketplace y luego fueron actualizados con instrucciones maliciosas que ordenaban al agente descargar un credential stealer desde GitHub.

El malware apuntaba específicamente a estaciones de trabajo de desarrolladores, runners de CI y workspaces de agentes: llaves SSH, credenciales cloud, tokens de Git y package managers, configuraciones de Kubernetes y Docker, credenciales de bases de datos, archivos .env y cuentas de servicio. Según el reporte, más del 30% de los skills peligrosos identificados abusaban de Claude Code y OpenClaw como droppers, instruyendo al agente para descargar y ejecutar paquetes desde endpoints controlados por los atacantes.

El reporte de Vercel no aborda directamente esta superficie de ataque, pero la lección para founders es directa: los skills son archivos de configuración en lenguaje natural, no código firmable, y los agentes ya los ejecutan de forma autónoma. Instalar un skill es darle a tu agente instrucciones nuevas sin revisión manual del efecto en producción.

El nuevo campo de batalla: Salesforce, Anthropic y los 37 skills empresariales

El reporte de Vercel muestra la foto del lado open source y developer-led. En el flanco enterprise, Salesforce y Anthropic lanzaron Claudeforce el 26 de agosto de 2026 con 37 skills de ventas preconstruidos dentro del plugin "Salesforce in Claude", que abrió beta el 15 de septiembre de 2026, según Unite.AI. Los skills cubren account research, call prep, pipeline review y actualizaciones de CRM directamente desde Claude, con Salesforce como sistema de registro y permisos.

Es la otra cara de la misma moneda: si el registry abierto de Vercel muestra que los skills específicos de trabajo concentran la demanda, los vendors enterprise están empaquetando esos skills en productos comerciales con permisos y governance incluidos. Anthropic pasó de lanzar Agent Skills como concepto en octubre de 2025 a tener una integración enterprise con 37 skills en menos de un año.

Qué significa esto para tu startup

El reporte confirma tres movimientos que un founder puede convertir en decisión esta semana:

Tu propio conocimiento es el activo más subutilizado. Vercel anticipa que el próximo millón de skills serán internos, específicos de cada empresa: cuándo dar un reembolso, qué puede salir a producción sin revisión adicional, cómo se cierra un ticket en tu equipo. Si tienes procesos que dependen del juicio de una persona, documentarlos como skill te da distribución, auditabilidad y capacidad de revisión continua.
Diseña para trabajos, no para industrias. Los skills cross-industry ganan 3,6 veces más installs por listing porque cubren trabajos que cualquier empresa repite. Si vas a construir un producto basado en skills, busca jobs-to-be-done recurrentes (limpieza de datos, generación de reportes, preparación de reuniones) en lugar de verticalizar demasiado pronto.
Trata cada skill como código de producción. Si vas a instalar skills de terceros o publicar los tuyos, necesitas el mismo rigor que con dependencias de npm: revisar autor, diff entre versiones, política de updates y al menos un entorno sandbox donde probar antes de producción. La campaña de Zenity demostró que el registry ya es un vector de ataque real con millones de installs comprometidos.

La siguiente generación: medir calidad, no popularidad

Vercel cierra el reporte con una predicción: la medida de un skill pasará de installs a efectividad. Hoy el contador de installs es la mejor señal disponible, pero con modelos cada vez más capaces la vara sube: un skill sólo se justificará si el agente hace el trabajo mejor con él que sin él. Eso obliga a crear tests y benchmarks específicos por skill, algo que hoy el registry no tiene y que abre un nicho claro para founders que sepan construir herramientas de evaluación.

La primera generación convirtió expertise en software. La siguiente, dice Vercel, escribirá dentro de cada empresa el conocimiento que solo esa empresa tiene, manteniéndolo con la misma disciplina que se mantiene código hoy.