10 月 22 日，圣何塞的 AGNTCon + MCPCon 北美站上，Linux 基金会旗下的智能体基金会（Agentic AI Foundation，下称 AAIF）一次性收了四个项目：Anthropic 交 Agent Skills，OpenAI 交 Open Responses，Hugging Face 交 OpenEnv，阿里交 OpenSandbox。成立不到一年，AAIF 托管项目从 3 个变成 10 个。
四家公司、四块东西、同一天、交给同一个中立基金会。这件事表面上是一次开源捐赠，往深看是 Agent 生态第一次把「地基」整层交出去。
先说清与站内既有几篇的关系：腾讯云开源 TeamAI讲的是「团队内部的 Skill 怎么进 Git 走评审」，属于管理方法；Agent 沙箱要隔离什么和Docker 把沙箱搬上云讲的是技术实现。本篇讲的是另一层——这些格式和协议归谁管、治理权在谁手里。这不是技术问题，是所有技术能不能长期用下去的前提。
一、事实：四个项目，正好是 Agent 的四层
按 Linux 基金会新闻稿的说法，这四个项目分别覆盖「智能体技术栈的四层」：Agent 怎么获得新能力、应用怎么跨厂商跟模型说话、Agent 怎么训练和评测、Agent 在哪安全地跑。
Agent Skills（Anthropic）——给 Agent 装能力的开放格式。一个 Skill 就是一个文件夹，里面一个 SKILL.md，加上它需要的脚本和参考资料。Agent 启动时只读每个 Skill 的名称和描述（大约 100 token），真要用的时候才加载全文。规范里的硬要求很朴素：name 最多 64 个字符、只能小写字母数字和连字符且必须与文件夹同名，description 最多 1024 字符。
Anthropic 给的数据是：70 多个 Agent 平台已集成，包括 ChatGPT、Cursor、GitHub Copilot、VS Code；累计发布 100 万份 Skill，安装量接近 2.8 亿次。这几个数字来自 Anthropic 自己，公告里也没说安装量怎么统计，属于厂商自述，没有独立审计。
这次捐的不只是规范，还包括 Agent Skills 的名称、标志、GitHub 组织和 agentskills.io 域名。维护者由 Anthropic、Google、OpenAI 等公司的工程师以个人身份担任，MCP 的共同创建者 David Soria Parra 和 Mahesh Murag 是 Lead Maintainers。
Open Responses（OpenAI）——基于 OpenAI Responses API 的开放规范，定义统一 schema、一致的流式事件和可扩展的工具调用，让开发者「写一次请求和输出，换模型时少改代码」。这一层对应的是工具调用机制上面的那层适配。
OpenEnv（Hugging Face）——做强化学习环境的开放框架和社区库。它用一个容器化服务，对外同时暴露 Agent 熟悉的接口、MCP，以及训练库用的 Gym 协议，目标是让环境可插拔、可共享、可扩展。参与方包括 Hugging Face、微软、Reflection、Meta-PyTorch、Modal、Prime Intellect 等。
OpenSandbox（阿里）——通用的 AI 应用沙箱平台，提供多语言 SDK、统一的沙箱 API，以及 Docker 和 Kubernetes 两种运行时，覆盖编码 Agent、GUI Agent、Agent 评测、AI 代码执行和强化学习训练。它还带一个沙箱协议，定义生命周期和执行 API，允许团队接自己的运行时。
加上原有的 MCP、goose、AGENTS.md，以及 A2A、Agent Router、agentgateway，AAIF 现在托管 10 个项目。国内媒体引述的数据是会员组织已到 305 家。
二、为什么四块拼在一起才有意义
单独看每个项目都不新鲜，拼起来才看出门道。这十来个项目其实是一条流水线的不同工位：
AGENTS.md 放项目说明，MCP 负责连工具和数据，Agent Skills 装具体做法，Open Responses 统一跟模型说话的格式，OpenEnv 提供训练和评测环境，OpenSandbox 决定代码在哪跑，A2A 管 Agent 之间怎么对话。
过去这些位置各家的私产：格式是某家产品的功能，环境是某家的平台，运行时是某家的云。现在四家公司同时把这几层交给同一个中立机构，等于承认了一件事——这一层谁也吃不下来，谁都想让别人用自己的那套。
AAIF 的 CTO 兼联合创始人 Manik Surtani 的话说得很直白：「四家不同的公司选择把它们交给中立治理。这就是这个基金会的工作：把社区放在第一位，给它一个地方建共享的标准、协议和基础设施，没有单一公司控制结果。」
阿里的表态更有意思。阿里开发基础设施负责人 Xiaobin Xu 说：「OpenSandbox 是在阿里创造的，但我们不希望它的未来由一家公司定义。」
三、真正变的不是格式，是「谁说了算」
对已经在用 Skill 的人来说，最关心的第一个问题是：我的东西要改吗？
不用改。格式一个字没动，现有的 Skill 继续有效。变的只有两件事：治理权，和往后几个月的规则怎么定。
Anthropic 提了三项后续计划，但三项都还没落地，公告里也没给时间表：
一是版本化发布，让工具和 Skill 能标明自己对着哪个版本的规范；二是正式的提案流程，改动公开讨论；三是给写 Skill 的人和装 Skill 的人各出一份安全指引。
这三项里，第三项最要紧，原因见下一节。
治理结构上还有一个细节值得记一笔：维护者是以个人身份参与，不是代表雇主。这种安排在开源社区很常见，好处是决策不被公司立场绑住，坏处是——两个 Lead Maintainers 目前都是 Anthropic 员工，已公布的维护者也多来自美国公司。中立的承诺要等第一次有争议的提案才算被检验过。MCP 到现在为止算是过了，Agent Skills 还没有。
四、Skill 是可执行代码，不是文档
这是我认为整件事里最被低估的风险。
Skill 的形态是一个文件夹，里面有说明，也常有脚本。Agent 加载 Skill 之后，那些脚本是用用户的权限跑的。也就是说：格式可携带，好事能跨平台，坏事也能跨平台。
今年 2 月，Snyk 分析过公共仓库 ClawHub 和 skills.sh 上的 3,984 个 Skill，结果是 13.4% 存在严重问题，并确认了 76 个带恶意载荷的样本，用途包括窃取凭据。云安全联盟的建议很直接：把 Agent 的上下文文件纳入现有的软件供应链管理——只从认可来源装、装之前查内容、新 Skill 要有审批、长期建内部仓库并带签名、访问控制和审计日志。
翻译成大白话：你从网上随手装一个「自动整理报表」的 Skill，风险等级和从网上随手 clone 一段代码跑，是一样的。但在实际工作里，前者被当成「装个插件」，后者没人敢。
这条也解释了为什么「安全指引」被列进路线图——不是因为大家没想到，是因为现在没有统一说法，谁也不敢先定。
五、老达点评
第一，把护城河交出去，是这一轮的标准动作。Anthropic 交出 MCP 换来生态，现在交出 Agent Skills 换来跨平台。看起来是让利，实际是把竞争对手锁进自己的语法里——只要大家都按 SKILL.md 写，写的时候脑子里想的就是 Claude 那套加载逻辑。这一手比守着格式自己做闭环高明得多。
第二，标准中立了，工具链没中立。格式是公家的，加载器、运行时、评测环境还是各家的。所以「可携带」这件事的真实成本，不在改文件，在改工程——你换一个 Agent 平台，Skill 能带过去，但调用它的那套工具链、权限模型、日志口径带不过去。这层才是真锁定。OpenClaw Enterprise 那种控制平面之所以重要，也是同一个道理：锁定点上移了。
第三，阿里交 OpenSandbox 是这一轮最值得注意的一手。过去国内厂商在 Agent 生态里主要做应用层和模型层，标准层基本是跟着走。这次主动把一个运行时平台交出去，等于在「Agent 在哪跑」这个位置上先占了个座。标准层的话语权，通常比应用层的市场份额更耐用。
第四，对企业最实际的变化，是采购清单上多一个问题。以后问 Agent 厂商，除了「支不支持 MCP」，还要问一句：「你读不读 Agent Skills，跟哪个版本？」这个问题看起来很小，但它能筛掉一批「说自己支持、其实是私有格式套壳」的产品。
六、这个季度可以做的三件事
盘。把团队在用的 Skill 列个清单：谁写的、从哪来的、谁在维护。别忘了把散在仓库里的 AGENTS.md、CLAUDE.md 也算进去——它们本质上是同一类东西。
收。新写的按开放规范来，只用必需字段，用官方仓库里的校验工具过一遍。只被某一家产品认识、或者还标着实验性的字段，当成「附加项」，别当依赖。
管。把 Skill 当第三方代码管：只从认可来源装、装之前读脚本、进内部仓库要带审批。一个只负责排版的 Skill，没有理由去下载执行代码或者读整个密钥目录。这条和处理个人信息是同一个思路——先划清它能碰什么，再谈它有多能干。
七、一句话总结
这次捐赠最值钱的地方，不是 100 万份 Skill 和 2.8 亿次安装这两个数字，而是「你写下来的做事方法，从此不再属于某一家厂商」。
但可携带是双向的。好的做法能带走，坏的做法也能。所以接下来真正的分水岭不在标准本身，而在两件还没发生的事：第一份安全指引什么时候出，第一次有争议的提案怎么裁。这两件事定了，Agent 生态才算真的有了公共地基。
