Nos últimos seis meses, o assunto mais quente em codificação com IA tem sido agentes, contexto longo e protocolos MCP — todo mundo competindo em “qual modelo é mais forte” e “qual contexto é maior”. Mas a Vercel fez uma escolha diferente.
Em janeiro, o fundador da Vercel, Guillermo Rauch, divulgou no X uma ferramenta de CLI: npx skills add. Você não pode chamar isso de atualização de modelo nem de um avanço de arquitetura — a coisa é simples: um comando instala um pacote de capacidades no seu assistente de codificação com IA. Cinco meses depois, o repositório open source vercel-labs/skills tem 24.000 estrelas no GitHub, e o pacote de skills mais popular, o find-skills no skills.sh, já ultrapassou 2,3 milhões de instalações. As ferramentas suportadas passam de 68: Claude Code, Cursor, Codex, Gemini CLI… praticamente todos os assistentes de codificação com IA do mercado estão na sua lista de instalação.
Isso não é uma atualização de funcionalidade. É uma migração estrutural na camada de ferramentas de codificação com IA — de “engenharia de prompt” para “engenharia de capacidades”. Mas a história também nos ensina que cada onda de “npm-ização” entrega conveniência e riscos de segurança no mesmo pacote.
O Que Isso Faz na Prática: Um Comando, Um Conjunto de Regras da Casa
A parte mais visível: npx skills add vercel-labs/agent-skills, aperte Enter. Segundos depois, seu Claude Code tem um conjunto de convenções de engenharia React e Next.js, além de uma diretriz de design. Na próxima vez que ele escrever código, seguirá essas regras automaticamente. Cada “skill” é essencialmente uma pasta. O núcleo é um SKILL.md com um cabeçalho YAML que especifica duas coisas: o que essa skill é e quando usá-la. A pasta também pode conter documentos de referência, templates e um diretório scripts/ dedicado com scripts diretamente executáveis.
Isso resolve uma dor muito prática. Os LLMs entendem linguagens de programação e frameworks em geral, mas não conhecem as regras da casa do seu projeto: seu estilo de código, suas convenções de nomenclatura, as armadilhas históricas. Antes, você tinha que reexplicar tudo isso a cada nova conversa. Agora você empacota essas regras como uma skill, instala uma vez, e elas persistem. O gerenciamento pós-instalação espelha o npm: list para ver o que está instalado, update para atualizações com um clique, remove para excluir. A especificação subjacente é compartilhada — o que você instala para o Claude Code roda de forma idêntica no Cursor. Se até instalar parecer demais, há um caminho mais leve: npx skills use puxa a skill temporariamente, envia para o Claude e não deixa nada para trás localmente. Soa exatamente como o npm — só que desta vez você não está instalando bibliotecas de código, mas “capacidades”.
Não É Uma Funcionalidade — É Uma Jogada de Ecossistema
Muitos vão confundir isso com uma funcionalidade da Anthropic ou do Cursor. Isso vem da Vercel — a empresa conhecida pelo Next.js e por dominar a entrada do ecossistema front-end por meio da “experiência do desenvolvedor”. A Vercel entende algo sobre dinâmicas de plataforma que empresas puramente de modelos não entendem: a camada de modelos vira commodity, mas a camada de capacidades — as convenções, templates e scripts acumulados que fazem as saídas da IA seguirem os padrões do seu time — é onde a lealdade vive. Ao tornar as skills compatíveis entre ferramentas (Claude Code, Cursor, Codex e Gemini CLI todos suportados), a Vercel se posiciona como o registro de pacotes da era da codificação com IA, não importando qual modelo ou editor vença. Essa é exatamente a cartilha do npm: tornar-se o canal de distribuição padrão, e você controla o ecossistema independentemente da agitação a montante.
As 2,3 milhões de instalações do find-skills — uma meta-skill que ajuda os usuários a descobrir outras skills — sinalizam que a camada de descoberta já está ativa. Os desenvolvedores não estão apenas instalando skills pré-prontas; estão buscando capacidades que nem sabiam que existiam. Esse é o momento em que um registro de pacotes cruza de “conveniência” para “dependência”: quando a primeira coisa que você faz após configurar uma nova ferramenta de IA é rodar npx skills add, o registro virou infraestrutura.
A Sombra da Cartilha do npm: Segurança Já Chegou
A história do npm oferece uma prévia do que está por vir. Sequestro de pacotes, typosquatting, ataques via cadeia de dependências, código malicioso em pacotes populares — cada um desses terá um equivalente em skills de IA, potencialmente com apostas mais altas, porque skills contêm não apenas código, mas instruções comportamentais que moldam como a IA opera. Uma skill maliciosa que altere sutilmente como seu agente de IA lida com autenticação, ou que injete premissas enviesadas na geração de código, seria mais difícil de detectar do que uma vulnerabilidade tradicional do npm, porque o “payload” não é código executável, mas influência contextual.
O repositório de skills da Vercel já exige autenticação para publicação, e a natureza declarativa do formato SKILL.md (Markdown mais YAML) o torna mais auditável do que JavaScript compilado. Mas auditabilidade não é o mesmo que auditar — alguém precisa realmente ler as instruções da skill antes de instalar, e a maioria dos desenvolvedores não fará isso. A indústria vai precisar de ferramentas de varredura de skills, sistemas de reputação e, possivelmente, skills assinadas — a mesma infraestrutura que o npm construiu após sua primeira onda de incidentes de segurança.
O Que Fazer
Se você é desenvolvedor: comece a empacotar as convenções de código do seu time como skills. O ROI é imediato — cada nova conversa, cada novo membro do time, cada novo projeto herda automaticamente seus padrões. Audite skills de terceiros antes de instalar: leia o SKILL.md, verifique o diretório de scripts e confirme a origem. Se você é fornecedor de ferramentas de IA: o formato de skills é multiplataforma, o que significa que seus usuários podem ir embora. A defesa não é bloquear o formato, mas construir o melhor ecossistema de skills para sua ferramenta — curadoria, sinais de qualidade e integração perfeita. Se você é uma empresa: skills são um vetor tanto de produtividade quanto de risco. Estabeleça um registro interno de skills, avalie skills de terceiros antes de implantá-las e trate o gerenciamento de skills como faria com o gerenciamento de dependências — com o mesmo rigor e o mesmo processo de revisão de segurança.
