Un fichier SKILL.md est un fichier Markdown avec un court en-tête YAML qui indique à un agent d'IA comment effectuer une tâche spécifique. Il se trouve dans un dossier, éventuellement avec des scripts, de la documentation de référence et des modèles, et l'agent le charge uniquement lorsque la tâche l'exige. Les fichiers SKILL.md suivent la spécification ouverte Agent Skills, ce qui permet à une même compétence d'être utilisée par plusieurs agents. Pour les équipes produit, le fichier SKILL.md est le point d'entrée principal : c'est par lui qu'un agent apprend à utiliser correctement votre produit. Pour les équipes de sécurité, il s'agit d'un fichier texte brut qui modifie le comportement d'un agent et qui mérite la même rigueur d'analyse que le code.
Qu'est-ce qu'un fichier SKILL.md ? #
Les agents d'IA sont performants, mais génériques. Ils savent écrire du code et utiliser des outils. Ils ignorent tout de votre processus de déploiement, de vos conventions d'API et des trois options nécessaires au bon fonctionnement de votre interface de ligne de commande dans un environnement d'intégration continue. Jusqu'à récemment, la solution consistait à copier-coller toutes ces informations dans une invite de commande système qui chargeait chaque session et interférait avec le travail lui-même pour fournir le contexte.
Un fichier SKILL.md résout ce problème différemment. Il regroupe une capacité (déployer ce service, trier ces résultats, générer ce rapport) dans un dossier que l'agent peut découvrir, lire le cas échéant et ignorer sinon. Ce format a été développé par Anthropic et publié en open source. standard, le Spécifications des compétences de l'agentet a depuis été adopté par un nombre croissant d'agents, notamment OpenAI Codex, GitHub Copilot et Cursor.
Ainsi, une équipe qui se demande ce qu'est un fichier SKILL.md se pose en réalité deux questions : comment apprendre aux agents à bien utiliser nos outils, et comment éviter qu'ils apprennent de mauvaises choses ? Qu’est-ce que la sécurité par IA agentique ?
Signification de SKILL.md : Contenu du fichier #
La signification du fichier SKILL.md est plus simple que ce que l'on en dit. Un skill est un dossier contenant un seul fichier requis :
Le fichier SKILL.md lui-même comporte deux parties : #
- Corps Markdown. Les instructions : étapes, règles, exemples et liens vers les fichiers de support que l’agent doit ouvrir en cas de besoin.
- En-tête YAML. Au minimum un
name, l’aspect économiquedescriptionLa description est la ligne la plus importante du fichier, car c'est ce que l'agent lit pour décider si la compétence s'applique.
Ce qu'il ne contient pas : les identifiants, la logique métier qui doit être intégrée au code, ou les instructions qui n'ont de sens que pour une seule conversation.
Pourquoi les fichiers SKILL.md sont-ils devenus un standard #
Le contexte étant limité, chaque jeton dépensé pour des instructions inutiles est un jeton non utilisé pour la tâche. Les compétences étant chargées par couches, un agent peut en posséder des dizaines sans presque rien dépenser tant qu'aucune n'est pertinente.
La portabilité a fait le reste. Une compétence écrite une seule fois fonctionne sur n'importe quel agent respectant la spécification. Pour une entreprise de produits, cela change la donne en matière de gestion des agents : au lieu d'une intégration par assistant, une seule compétence est publiée.
Et les agents sont devenus des utilisateurs. Les développeurs demandent de plus en plus souvent à un agent de « configurer le scanner » ou de « réparer le pipelinePlutôt que de lire la documentation elle-même, il est préférable d'utiliser un fichier SKILL.md. Si l'agent découvre votre produit à partir d'un ancien message de forum, il l'utilisera mal. Ce fichier vous permet de définir les compétences que l'agent doit acquérir.
Comment fonctionne un fichier SKILL.md : divulgation progressive #
Comprendre concrètement ce qu'est un fichier SKILL.md signifie savoir ce que l'agent charge et quand, car c'est ce qui empêche des dizaines de compétences d'agent d'inonder la fenêtre de contexte.
| Stage | Ce que l'agent charge | Quand il charge |
|---|---|---|
| Découverte | Le nom et la description tirés de l'avant-propos, quelques dizaines de jetons par compétence | Au démarrage, pour chaque compétence installée |
| Activation | Le corps complet du fichier SKILL.md : étapes, règles et exemples | Lorsqu'une tâche correspond à la description |
| De bout en bout | Scripts, documents de référence et ressources regroupés dans le dossier | Seulement lorsque les instructions le demandent |
Le principe de conception repose sur la divulgation progressive : métadonnées au démarrage, instructions à l’activation, ressources à l’exécution. C’est pourquoi la description est si importante. Une description vague peut empêcher le déclenchement de la fonctionnalité, ou la déclencher à tort.
Comment structurer votre produit pour les agents IA
#
Considérez les compétences des agents comme une surface de produit, avec le même soin que vous apportez à votre documentation API.
- Une compétence par emploi, et non une compétence par produit. « Configurer l’analyse dans l’intégration continue » et « trier les résultats » sont des compétences distinctes. Une compétence unique qui tente de tout couvrir se déclenche de manière imprévisible et surcharge le contexte qu’elle charge.
- Rédigez la description sous forme de déclencheur. Indiquez en quoi consiste cette fonctionnalité et quand l'utiliser, en utilisant les termes que les utilisateurs saisissent réellement.
- Le corps du texte doit être court et impératif. Pas, guardrails et les valeurs par défaut. Déplacer la profondeur dans
references/Il ne se charge donc que lorsque c'est nécessaire. - Intégrez les tâches déterministes dans des scripts. Si une étape doit se dérouler de la même manière à chaque fois (validation d'une configuration, mise en forme de la sortie), fournissez un script plutôt qu'un texte que le modèle doit interpréter.
- Encodez le chemin sécurisé. Indiquez clairement ce que l'agent ne doit jamais faire : ignorer la validation, désactiver les contrôles, utiliser les identifiants de production. Les agents respectent bien mieux les règles explicites que les règles implicites.
- Versionnez et testez-le comme du code. Conservez les compétences dans un référentiel, examinez les changements dans pull requests et les tester sur des tâches réelles avant leur mise en production.
Associez cette compétence à un serveur MCP si votre produit expose des actions. MCP donne à l'agent accès à vos outils ; la compétence lui apprend à les utiliser efficacement. Qu'est-ce que le protocole de contexte de modèle (MCP) ?
Qu'est-ce qu'un fichier SKILL.md n'est pas ? Termes voisins
#
Ces éléments se mélangent, ce qui complique les discussions relatives à la conception et à l'évaluation.
- AGENTS.md et CLAUDE.md Les fichiers sont toujours actifs : les conventions à l’échelle du dépôt sont chargées à chaque session. Les compétences sont chargées à la demande.
- Un serveur MCP Il expose les outils et les données. Un fichier SKILL.md contient les connaissances et les procédures. Ils sont complémentaires.
- Une invite système Il s'agit d'une instruction fixe pour une application. Une compétence est portable et réutilisable par différents agents.
- Un fichier de règles (Par exemple, un fichier de règles de curseur) permet de contrôler le comportement d'un assistant au sein d'un seul outil. Profil de risque identique, portabilité réduite.
- llms.txt Permet aux modèles de lire votre documentation. Une compétence indique à un agent comment l'utiliser.
Ce sont des couches, non des concurrentes. Leur point commun ? Chacune est un texte brut qui modifie le comportement d’un agent d’IA, et chacune est généralement examinée comme documentation.
Standardqui façonnent la signification du risque selon SKILL.md #
Jugez une source selon son statut de publication, et non selon son aspect actuel.
Le risque est documenté, et non hypothétique. MITRE ATLAS répertorie une attaque dans laquelle des instructions cachées dans un fichier de règles permettent à un assistant de générer du code malveillant sans laisser de trace visible. Un fichier SKILL.md malveillant fonctionne de la même manière, et une skill regroupant des scripts peut exécuter du code autant que donner des instructions. L'installation d'une skill communautaire présente le même niveau de confiance.cision comme l'installation d'un paquet. → Qu'est-ce que l'injection rapide ?
De la définition au programme #
Savoir ce qu'est un fichier SKILL.md ne vous indique pas combien il y en a déjà dans vos référentiels, qui les a ajoutés, ni ce qu'ils indiquent aux agents de faire.
Cet écart se résorbe de façon prévisible. Identifiez toutes les compétences, tous les fichiers de règles et toutes les configurations MCP présents dans votre code, y compris ceux qui n'ont pas été déclarés. Analysez-les comme des éléments de sécurité plutôt que comme de la documentation. Veillez ensuite à tenir ces informations à jour afin qu'un auditeur ou un intervenant en cas d'incident puisse identifier les ressources d'agent existantes et leurs interconnexions.
Sécurité IA Xygeni génère cet enregistrement à partir de votre code. Les compétences côtoient les modèles, les ensembles de données, les points de terminaison d'inférence, les agents, les serveurs MCP, les invites, guardrails et des outils de codage IA dans un inventaire IA continu, chacun avec un score de risque, un fournisseur, un type et son emplacement exact dans le code. Xygeni analyse les fichiers de compétences, les fichiers de règles et les configurations MCP comme des artefacts de sécurité et signale les éléments malveillants. Le graphe IA montre quel agent accède à quel outil, et une nomenclature IA (AI-BOM) lisible par machine est exportée à partir de la même découverte. → Qu'est-ce qu'une nomenclature d'IA ? et Qu'est-ce que Shadow AI ?
Planifier démo pour voir les compétences des agents déjà présentes dans votre inventaire d'IA.
QFP #
Un fichier Markdown qui enseigne à un agent d'IA comment effectuer une tâche spécifique, chargé uniquement lorsque cette tâche se présente.
Dans un dossier par compétence, généralement dans un dépôt de projet ou dans le répertoire de configuration de l'agent utilisateur. L'emplacement exact dépend de l'agent.
Oui, à condition que les deux respectent la spécification Agent Skills. Le même fichier SKILL.md fonctionne sans modification sur n'importe quel agent compatible.
Si les développeurs utilisent des agents d'IA pour configurer ou exploiter votre produit, oui. C'est le moyen le plus direct de garantir que les agents l'utilisent correctement et en toute sécurité.
C'est possible. Une compétence est une instruction que l'agent suit, et elle peut inclure des scripts exécutables. Examinez les compétences comme du code, n'installez les compétences communautaires que depuis des sources fiables et tenez un inventaire des compétences présentes dans vos dépôts.
