Cloudsmith ha annunciato il 9 novembre 2026, durante KubeCon, un nuovo registro dedicato alle skill degli agenti di intelligenza artificiale, estendendo le funzionalità della propria piattaforma di gestione degli artefatti software ai file di istruzioni, agli script e ai componenti utilizzati dagli assistenti per la programmazione. Il servizio, denominato AI Agent Skills Registry, introduce controlli sulla provenienza dei componenti, sulle versioni pubblicate e sui permessi di accesso, utilizzando gli stessi repository multif formato già impiegati per la distribuzione dei pacchetti software. La piattaforma Cloudsmith supporta oltre trenta formati di artefatti e ora comprende anche skill e plugin Claude. La nuova funzionalità è disponibile inizialmente attraverso un programma di accesso anticipato, accompagnato dalla relativa documentazione tecnica.
Le skill degli agenti sono organizzate intorno a un file SKILL.md, che contiene il nome, la descrizione e le istruzioni necessarie per guidare il comportamento dell’assistente. Possono inoltre comprendere cartelle con script eseguibili, documentazione di riferimento e modelli riutilizzabili. I plugin Claude permettono di distribuire più skill attraverso un unico pacchetto installabile. Questa struttura consente agli agenti di eseguire procedure specializzate, come revisionare codice, utilizzare strumenti interni o seguire processi aziendali prestabiliti, ma introduce anche problemi legati alla provenienza delle istruzioni e alle autorizzazioni disponibili durante l’esecuzione. Uno script distribuito insieme a una skill può infatti ereditare i privilegi dell’agente o utilizzare le autorizzazioni concesse dall’utente, arrivando ad accedere a repository, credenziali, API aziendali e dati di produzione. Un componente modificato senza autorizzazione potrebbe quindi eseguire operazioni non previste, installare dipendenze non verificate o trasferire informazioni riservate.
Il nuovo registro tratta ciascuna versione di una skill come un pacchetto software identificabile. Le pubblicazioni possono utilizzare un numero di versione semantico oppure l’identificatore SHA di un commit Git, accompagnati da un checksum SHA-256 per verificarne l’integrità. Le skill possono essere distribuite attraverso repository pubblici o privati, con permessi assegnabili a utenti, gruppi e account di servizio. La pubblicazione può avvenire mediante interfaccia web, API o strumento a riga di comando Cloudsmith e richiede autorizzazioni Write o Admin sul repository di destinazione. Una volta pubblicata una versione, i team autorizzati possono recuperare lo stesso pacchetto, evitando che componenti apparentemente identici vengano sostituiti da contenuti modificati alla sorgente senza una nuova verifica.
Per la distribuzione di skill esterne, gli amministratori possono configurare repository GitHub selezionati come sorgenti upstream e utilizzare token di autenticazione per accedere anche ai progetti privati. Cloudsmith conserva nella propria cache skill e plugin recuperati dalle sorgenti approvate, limitando la disponibilità dei componenti ai repository autorizzati. Le regole di esclusione permettono di bloccare una skill specifica oppure una singola versione senza impedire l’utilizzo degli altri pacchetti provenienti dalla stessa sorgente. I componenti bloccati non vengono mostrati nei risultati di ricerca e non possono essere recuperati dagli agenti. Il sistema registra inoltre le operazioni di accesso e scaricamento, mantenendo informazioni sulle versioni utilizzate e sulla provenienza degli artefatti.
Nella configurazione iniziale Cloudsmith supporta Claude Code e utilizza GitHub come prima sorgente upstream per i componenti esterni. Un repository Cloudsmith può funzionare anche come marketplace di plugin Claude Code: gli sviluppatori lo aggiungono alla propria configurazione e installano successivamente i plugin attraverso il comando /plugin install. La distribuzione delle skill viene così collegata alle procedure già utilizzate dalle organizzazioni per approvare, versionare e monitorare le dipendenze software, mantenendo verificabile il contenuto effettivamente fornito agli agenti.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)