· 7 分钟阅读
热榜这一周：审计与 SEO 仍占前排，设计口令和知识图挤进前十
本周 GitHub 热榜前十仍围着编程助手：安全审计技能、SEO 插件、行为约束、岗位插件，以及设计口令、知识图和独立代理。Star 与许可证取自仓库接口。
GitHub 本周热榜 前十按页面顺序排列。多数仓库还是在给已经会改代码的助手补流程：怎么审安全、怎么查 SEO、怎么少猜意图，以及页面别再长成同一套默认样子。
Impeccable 和 taste-skill 把「怎么写界面」写进可调用的命令或技能；graphify 把仓库收成可查询的图；Ruflo 和 OpenCode 则分别补调度层和独立代理。TradingAgents 把同样的分工搬到模拟交易台。下面每个仓库的 Star、语言、许可证和创建时间来自 GitHub 仓库接口；热榜页的「本周新增」只说明它为何出现在这一周，不替代总 Star。README 没写的能力不写。
1. security-audit-skill
cloudflare/security-audit-skill
- 总 Star：51,912
- 本周新增：16,002
- 语言 / 许可证：JavaScript / MIT
- 创建时间：2026-06-18
是什么：一套可重复的安全审计流程，装进编程助手后按固定阶段推进，产出机器可读的记录。
给谁用：已经能派并行子代理的编码助手；本地还需要 Node.js，以及满足要求的系统沙箱。
本周看点：流程分六段，先画架构和覆盖账本，再按账本派猎人找问题，每个候选交给从没见过它的验证者证伪，最后落成 confirmed、needs_validation、rejected 三种记录，并再验一次源码主张。Cloudflare 博客里那套漏洞发现 harness 就是从这份 skill 长出来的。
限制：没有满足要求的系统沙箱时不会执行目标代码，线索停在 needs_validation；作者写明单次运行大约只能找到多次合计漏洞的一半。
2. claude-seo
- 总 Star：23,509
- 本周新增：3,516
- 语言 / 许可证：Python / MIT
- 创建时间：2026-02-07
是什么：装进 Claude Code 的 SEO 审计插件，由多组专科代理并行出报告。
给谁用：代理机构、站内 SEO 和自由顾问；需要 Claude Code 1.0.33 或更新。
本周看点：/seo audit 会派出多组专科代理，覆盖技术 SEO、E-E-A-T、Schema、AI 搜索可见性、本地与电商等，并给出按优先级排的行动清单。/seo setup 会单独准备 Python 运行时和无头浏览器，不碰系统其余部分。
限制：可选扩展能接 Google API 或第三方 SEO 数据，但那是自备账号；完整站点审计会并行很多代理，账单跟着 Claude Code 套餐走，不是仓库另外收费。
3. andrej-karpathy-skills
multica-ai/andrej-karpathy-skills
- 总 Star：226,061
- 本周新增：4,293
- 语言 / 许可证：未声明 / 未声明
- 创建时间：2026-01-27
是什么：一份行为约束，压成单个 CLAUDE.md，几乎不交付别的代码。
给谁用：想让助手少猜意图、少顺手改无关行的开发者。
本周看点：四条原则针对 Karpathy 指出的常见坑：先把假设说清楚，只写被要求的代码，不顺手改无关行，把任务改成带验证条件的目标。仓库里还有一份 Cursor 规则。
限制：README 自己提醒这套规则偏向谨慎，改错别字不必走全套；插件安装命令仍指向 forrestchang/andrej-karpathy-skills，不是当前这个仓库地址。
4. knowledge-work-plugins
anthropics/knowledge-work-plugins
- 总 Star：33,696
- 本周新增：2,612
- 语言 / 许可证：Python / Apache-2.0
- 创建时间：2026-01-23
是什么：岗位插件集，每个插件由技能、斜杠命令和 MCP 连接器组合而成，给 Claude Cowork 准备，Claude Code 也能装。
给谁用：想把「我们公司怎么干活」写进助手的团队。
本周看点：开源了 11 个插件，覆盖效率、销售、客服、产品、市场、法务、财务、数据、企业搜索、生物医药检索，以及自己做插件。文件是 markdown 与 JSON，没有构建步骤。
限制：通用流程装完就能用，但 Slack、HubSpot、Snowflake 这类连接器要自己改 .mcp.json，不改就仍是一份起点模板。
5. TradingAgents
- 总 Star：117,992
- 本周新增：5,322
- 语言 / 许可证：Python / Apache-2.0
- 创建时间：2024-12-28
是什么：用多组 LLM 代理模拟一家交易台的研究框架。
给谁用：研究多代理协作的人；至少要有一家模型供应商的密钥，或用自己的 ChatGPT Plus / Pro 订阅跑。
本周看点：基本面、情绪、新闻和技术分析先并行出报告，多空研究员辩论，交易员下决定，风险管理与组合经理再审。2026 年 10 月的 v0.7.x 写明可以用订阅账号跑，回测按决策后的收盘价结算，并修了模型日期读到事后文档的问题。
限制：README 把它定位成研究框架，结果随模型、温度、区间和数据质量变化，不构成投资建议；想复现时，推理模型往往会忽略 temperature。
6. impeccable
- 总 Star：93,313
- 本周新增：7,283
- 语言 / 许可证：Rust / Apache-2.0
- 创建时间：2025-11-16
是什么：给编码助手用的设计口令集，用 polish、bolder、critique、audit 等命令改界面，并用确定性规则抓常见「AI 默认页」。
给谁用：已在用 Claude Code、Cursor、Codex、Copilot 等助手的前端开发者；npx 装技能，检测器也可单独在终端或 CI 跑。
本周看点：/impeccable init 先写出 PRODUCT.md，后续命令都读它；critique 按可用性打分，audit 按 P0–P3 排技术债，另有 62 条不调模型的规则扫 Inter、紫蓝渐变、套娃卡片这类套路。live 模式可在本地开发服务器上点选元素、热换变体再写回源码。
限制：作者写明它更擅长改已有界面；live 只应打在本地 checkout，不要注入线上站点，也不要为它放宽生产 CSP。
7. graphify
- 总 Star：138,031
- 本周新增：6,662
- 语言 / 许可证：Python / Apache-2.0
- 创建时间：2026-04-03
是什么：把代码、文档、PDF 和图片收成一张可查询知识图的工具，默认分支是 v8。
给谁用：需要先摸清陌生代码库的开发者，要求 Python 3.10+，可用 uv 或 pipx 安装。
本周看点：代码侧用 tree-sitter 做本地确定性 AST，不经过模型；每条边标成 EXTRACTED 或 INFERRED。装一次后可在 Claude Code、Cursor、Codex、Gemini CLI 等助手里打 /graphify，产出 graph.html、GRAPH_REPORT.md 和可持久查询的 graph.json。
限制：文档、PDF、图片和视频仍要走助手模型或自备 API 做语义抽取；开源版不是向量库，跨仓常驻记忆属于另售的 Graphify Cloud。
8. taste-skill
- 总 Star：104,736
- 本周新增：3,940
- 语言 / 许可证：JavaScript / MIT
- 创建时间：2026-02-19
是什么：一份 Agent Skill，给编码助手定艺术方向、找参考图，并在真实浏览器里验收页面。
给谁用：用 skills CLI、Claude Code 或 Codex 的前端开发者；脚本侧需要 Node 22+ 以及已安装的 Chrome、Edge 或 Chromium。
本周看点：一次构建分六步：读 brief、从 20 个研究方向里抽三选一、落到一句创意、用开放图库的实拍图搭建，再在三种宽度下用浏览器抓 slop，最多三轮对着截图修。v2.1 另给仪表盘和后台界面单独的样式与检查规则。
限制：一次完整页面大约要 30 到 45 分钟、几十万 token；找图需要联网，仓库本身不装浏览器、也不要额外 API key。
9. Ruflo
- 总 Star：80,017
- 本周新增：1,930
- 语言 / 许可证：TypeScript / MIT
- 创建时间：2025-06-02
是什么：自称模型外的 harness，给 Claude Code、Codex 等补调度、记忆和控制台。
给谁用：Claude Code 用户需要 2.1.287 或更新；其他能接本地 MCP 的客户端走 npx ruflo@latest。
本周看点：Claude Code 里用插件装核心工具、控制台和路由策略，控制台能看 swarm、花费和任务。README 写明控制台与 mods 是 Claude Code 集成，别的客户端主要保证 MCP 工具面。
限制：mods 跑在你账号权限下，装前要自己读代码；问题跟踪仍常链到 ruvnet/claude-flow 这条旧线。
10. OpenCode
- 总 Star：222,825
- 本周新增：3,498
- 语言 / 许可证：TypeScript / MIT
- 创建时间：2025-04-30
是什么：独立的开源编程代理，终端和桌面都能用，默认分支是 dev。
给谁用：不想绑死单一客户端的人；安装脚本落到 $HOME/.opencode/bin，也有 npm、Homebrew、Nix 等入口。
本周看点：Tab 在 build 与 plan 之间切换，前者默认可改文件，后者默认只读、跑命令前先问。复杂搜索可用内置的 @general 子代理。
限制：桌面版 README 标成 BETA；0.1.x 以前的旧安装要先卸掉，配置细节不在这份短 README 里，指向官网文档。