Skills Are Not Islands: Measuring Dependency and Risk in Agent Skill Supply Chains

这篇把 agent skills 看作 dependency-bearing artifacts，指出它们的 identities、versions、provenance 常常是隐式的，已经造成 duplicated dependencies 和 inconsistent installations。SkillDepAnalyzer 借鉴 SBOM 思路，从自然语言依赖证据中恢复 skill metadata 和 dependency graphs，在 SKILL-DEP benchmark 上超过 LLM baseline 与 package-centric SBOM tools。作者进一步分析 143 万多个 skills，归纳出四类结构模式，并发现仅检查单个 skill 会漏掉依赖中的安全信号；给出的建议包括 typed dependency manifests、dependency-cluster management、risk-warning audit commands 和 lockfile-like records。