本周热榜几乎都在给编程助手补技能、记忆和调度

GitHub 本周热榜的前十名，顺序按页面上的排列，不按总 Star 重排。这十个仓库几乎在做同一件事：让已经会跑命令的编程助手少忘事、少改无关代码，或者一次跑不止一个。Cloudflare 的审计技能和 TradingAgents 看起来像例外，骨架仍是一个主控再分给专门角色。

下面每个仓库的 Star、语言、许可证和创建时间来自 GitHub 仓库接口。热榜页上的「本周新增」只说明它为什么出现在这一周，不拿来代替总 Star。README 没写的能力不补。

security-audit-skill

cloudflare/security-audit-skill 给编程助手一套分阶段的安全审计流程。接口返回 48898 Star，语言 JavaScript，许可证 MIT，创建于 2026-06-18T14:08:44Z。热榜页写本周 16593。

它面向已经能派子代理的助手。六步从侦察、按覆盖清单找问题、独立验证候选，到写成 confirmed、needs_validation、rejected 三种记录，再由另一批代理核对。发现者和核对者不是同一个。作者写，他们自己的测试里单次运行大约只能找到多次运行合计漏洞的一半。没有系统级沙箱时，流程不会去跑目标代码，线索停在 needs_validation。

knowledge-work-plugins

anthropics/knowledge-work-plugins 是给 Claude Cowork 用的岗位插件，也能装进 Claude Code。接口返回 33287 Star，语言 Python，许可证 Apache-2.0，创建于 2026-01-23T20:11:54Z。热榜页写本周 2822。

仓库公开了 11 个插件，覆盖效率、销售、客服、产品、市场、法务、财务、数据、企业搜索、生物医药检索，以及自己做插件。每个插件是一组 markdown 和 JSON：技能、斜杠命令、用 MCP 接外部工具。没有构建步骤。适合想把公司术语和现有工具写进助手的人。限制也在这里：连上的是通用流程，Slack、HubSpot、Snowflake 这些连接器要自己改 .mcp.json，不改就还是一份起点。

Ruflo

ruvnet/ruflo 自称编程助手的元调度层，主要接 Claude Code 和 Codex。接口返回 79614 Star，语言 TypeScript，许可证 MIT，创建于 2025-06-02T21:24:20Z。热榜页写本周 2683。

Claude Code 里用插件装核心工具、控制台和路由策略，要求 Claude Code 2.1.287 或更新。Codex 或其他能接本地 MCP 的客户端走 npx ruflo@latest。控制台可以看 swarm、花费和任务；README 写明控制台和 mods 是 Claude Code 集成，别的客户端只保证 MCP 工具。mods 用的是你账号的权限，装之前要自己看代码。一行安装脚本只支持 POSIX shell。问题跟踪仍链到 ruvnet/claude-flow。

OpenCode

anomalyco/opencode 是一个开源编程代理，终端和桌面都能用。接口返回 222075 Star，语言 TypeScript，许可证 MIT，创建于 2025-04-30T20:08:00Z。仓库默认分支是 dev。热榜页写本周 5070。

安装脚本把程序放到 $HOME/.opencode/bin，也有 npm、Homebrew 和 Nix。Tab 在两个内置代理之间切换：build 默认可改文件，plan 默认只读，跑命令前会先问。桌面版 README 标成 BETA，覆盖 Apple 芯片和 Intel 的 macOS、Windows 和 Linux。0.1.x 以前的旧安装要先卸掉。配置细节不在这份短 README 里，指向 opencode.ai 的文档。

Orca

stablyai/orca 把多个编程代理放在同一台桌面里跑。接口返回 107345 Star，语言 TypeScript，许可证 MIT，创建于 2026-03-17T03:28:57Z。热榜页写本周 9241。

一条提示可以分到五个代理，各自一个 git worktree，再挑一个合并。终端用 WebGL，滚动记录在重启后还在。设计模式在内嵌的 Chromium 里点页面元素，把 HTML、CSS 和截图送进提示。手机端是伴侣应用，用来看进度和补一句，不是把整套桌面搬到手机上。Homebrew 要装 stablyai/tap/orca，裸的 orca 是另一个无关的 cask。README 自己说功能列表永远落后于每天的发布，以 changelog 为准。

graphify

Graphify-Labs/graphify 把代码库、文档、SQL、配置和 PDF 收成一张可查询的图。接口返回 136371 Star，语言 Python，许可证 Apache-2.0，创建于 2026-04-03T15:49:07Z。热榜页写本周 7183。

代码走 tree-sitter，README 写这一步在本机完成、不调用模型。文档、PDF、图片和视频的语义处理要用助手自己的模型，或另配 API key。产物是 graph.html、GRAPH_REPORT.md 和 graph.json。边分成从源码抽出的和推断的。需要 Python 3.10 以上。HTML 导出默认最多 5000 个节点，再大就收成社区视图。没装 Leiden 扩展时会静默改用 Louvain，之后换算法会打乱全部社区。.inc、.h、.m 这类扩展它只能选一个默认语言，选错时图看起来有节点，符号却是错的。

Android skills

android/skills 的接口描述是空的。接口返回 9857 Star，语言 Kotlin，许可证 Apache-2.0，创建于 2026-03-16T12:41:46Z。热榜页写本周 823，是这十个里本周新增最少的一个。

README 把它定义成给代理用的 Android 技能：只补评测里模型做得差的流程，不优先做模型已经会的基础 Compose。用 Android CLI 的 android skills add 装进当前项目，或作为 Claude Code、Codex 的插件。没检测到代理目录时，默认装到 Gemini 和 Antigravity 的技能目录。公开贡献目前不收，只能提 issue。免责声明写得很短：模型会错，结果要自己核对。

ai-memory

akitaonrails/ai-memory 给编程代理做一份跨工具的长期记忆。接口返回 13879 Star，语言 Rust，许可证 MIT，创建于 2026-05-21T23:23:51Z。热榜页写本周 2838。

记忆的原文是 git 里的 markdown，数据库只是可以重建的索引。默认路径不调用模型：捕获、全文搜索和交接都不用 API key。换 Claude Code 和 Codex 时，交接有类型，每条只能被认领一次。ai-memory run 还可以把上一个代理的可见历史做成临时投影，README 写远程服务器只收到代理和会话身份，不收本地记录正文。人在回环地址以外登录默认要 HTTPS；明文口令要显式打开 serve --allow-insecure-human-auth，服务不会自己打开。工具链要求 Rust 1.95 或更新。

andrej-karpathy-skills

multica-ai/andrej-karpathy-skills 是一份约束编程助手的说明，压成单个 CLAUDE.md。接口返回 224922 Star，没有语言字段，也没有许可证对象，创建于 2026-01-27T03:53:13Z。热榜页写本周 3286。README 末尾另写 MIT。

四条原则：先写明假设再动手，只写被要求的代码，不顺手改无关行，把任务改成可以验证的完成条件。README 写明这套规则偏向谨慎，改一个错别字不必走全套。仓库里有一份 Cursor 规则。安装命令仍指向 forrestchang/andrej-karpathy-skills，不是现在这个 multica-ai 仓库。

TradingAgents

TauricResearch/TradingAgents 用多组代理模拟交易台：基本面、情绪、技术分析，然后是交易员和风险管理。接口返回 116563 Star，语言 Python，许可证 Apache-2.0，创建于 2024-12-28T03:31:08Z。热榜页写本周 3437。

2026 年 10 月的 v0.7.0 写明可以用自己的 ChatGPT Plus 或 Pro，回测从每次决定之后的第一根收盘价计分。框架按 README 的说法是研究用的，结果随模型、温度、区间和数据质量变化，不构成投资建议。要跑起来至少得有一家模型供应商的密钥，行情数据另接。推理模型会忽略 temperature，想复现时 README 建议改用非推理模型。