Skills für Unternehmen

Dieser Leitfaden richtet sich an Unternehmensadministratoren und -architekten, die Agent Skills organisationsweit steuern müssen. Er behandelt, wie du Skills im großen Maßstab prüfst, evaluierst, bereitstellst und verwaltest. Hinweise zur Erstellung findest du unter Best Practices. Details zur Architektur findest du in der Skills-Übersicht.



Sicherheitsprüfung und Vetting

Die Bereitstellung von Skills in einem Unternehmen erfordert die Beantwortung zweier unterschiedlicher Fragen:

1. Sind Skills grundsätzlich sicher? Siehe den Abschnitt Sicherheitsüberlegungen in der Übersicht für plattformbezogene Sicherheitsdetails.
2. Wie prüfe ich einen bestimmten Skill? Verwende die Risikobewertung und die Prüf-Checkliste unten.



Risikostufenbewertung

Bewerte jeden Skill anhand dieser Risikoindikatoren, bevor du die Bereitstellung genehmigst:



Prüf-Checkliste

Bevor du einen Skill von einem Drittanbieter oder internen Mitwirkenden bereitstellst, führe diese Schritte durch:

1. Lies den gesamten Inhalt des Skill-Verzeichnisses. Prüfe SKILL.md, alle referenzierten Markdown-Dateien und alle gebündelten Skripte oder Ressourcen.
2. Verifiziere, dass das Skriptverhalten dem angegebenen Zweck entspricht. Führe Skripte in einer Sandbox-Umgebung aus und bestätige, dass die Ausgaben mit der Beschreibung des Skills übereinstimmen.
3. Prüfe auf adversariale Anweisungen. Suche nach Direktiven, die Claude anweisen, Sicherheitsregeln zu ignorieren, Aktionen vor Nutzern zu verbergen, Daten über Antworten zu exfiltrieren oder das Verhalten basierend auf bestimmten Eingaben zu ändern.
4. Prüfe auf externe URL-Abrufe oder Netzwerkaufrufe. Durchsuche Skripte und Anweisungen nach Netzwerkzugriffsmustern (http, requests.get, urllib, curl, fetch).
5. Verifiziere, dass keine hartcodierten Zugangsdaten vorhanden sind. Prüfe auf API-Keys, Tokens oder Passwörter in Skill-Dateien. Zugangsdaten sollten Umgebungsvariablen oder sichere Credential-Stores verwenden und niemals im Skill-Inhalt erscheinen.
6. Identifiziere Tools und Befehle, die der Skill Claude anweist aufzurufen. Liste alle Bash-Befehle, Dateioperationen und Tool-Referenzen auf. Berücksichtige das kombinierte Risiko, wenn ein Skill sowohl Datei-Lese- als auch Netzwerk-Tools zusammen verwendet.
7. Bestätige Weiterleitungsziele. Wenn der Skill externe URLs referenziert, verifiziere, dass sie auf erwartete Domains verweisen.
8. Verifiziere, dass keine Datenexfiltrationsmuster vorhanden sind. Suche nach Anweisungen, die sensible Daten lesen und dann schreiben, senden oder für externe Übertragung kodieren, einschließlich über Claudes Konversationsantworten.



Skills vor der Bereitstellung evaluieren

Skills können die Agent-Leistung beeinträchtigen, wenn sie falsch ausgelöst werden, mit anderen Skills in Konflikt stehen oder schlechte Anweisungen liefern. Verlange eine Evaluierung vor jeder Produktionsbereitstellung.



Was zu evaluieren ist

Etabliere Freigabekriterien für diese Dimensionen, bevor du einen Skill bereitstellst:



Evaluierungsanforderungen

Verlange von Skill-Autoren, Evaluierungssuiten mit 3–5 repräsentativen Anfragen pro Skill einzureichen, die Fälle abdecken, in denen der Skill ausgelöst werden sollte, nicht ausgelöst werden sollte, sowie mehrdeutige Grenzfälle. Verlange Tests über alle Modelle hinweg, die deine Organisation verwendet (Haiku, Sonnet, Opus), da die Skill-Effektivität je nach Modell variiert.

Detaillierte Hinweise zum Erstellen von Evaluierungen findest du unter Evaluierung und Iteration in den Best Practices. Zur allgemeinen Evaluierungsmethodik siehe Testfälle entwickeln.



Evaluierungen für Lifecycle-Entscheidungen nutzen

Evaluierungsergebnisse signalisieren, wann gehandelt werden muss:

• Sinkende Auslösegenauigkeit: Aktualisiere die Beschreibung oder Anweisungen des Skills
• Koexistenzkonflikte: Konsolidiere überlappende Skills oder grenze Beschreibungen ein
• Durchgehend niedrige Ausgabequalität: Schreibe Anweisungen neu oder füge Validierungsschritte hinzu
• Anhaltende Fehler über Updates hinweg: Setze den Skill außer Betrieb



Skill-Lifecycle-Management



Skills im großen Maßstab organisieren



Recall-Grenzen

Als allgemeine Richtlinie solltest du die Anzahl der gleichzeitig geladenen Skills begrenzen, um eine zuverlässige Recall-Genauigkeit zu gewährleisten. Die Metadaten jedes Skills (Name und Beschreibung) konkurrieren um Aufmerksamkeit im System-Prompt. Bei zu vielen aktiven Skills kann Claude den richtigen Skill nicht auswählen oder relevante Skills ganz übersehen. Verwende deine Evaluierungssuite, um die Recall-Genauigkeit zu messen, während du Skills hinzufügst, und höre auf hinzuzufügen, wenn die Leistung nachlässt.

Beachte, dass API-Anfragen maximal 8 Skills pro Anfrage unterstützen (siehe Skills mit der API verwenden). Wenn eine Rolle mehr Skills erfordert, als eine einzelne Anfrage unterstützt, erwäge, eng gefasste Skills zu breiteren zu konsolidieren oder Anfragen basierend auf dem Aufgabentyp an verschiedene Skill-Sets weiterzuleiten.



Spezifisch beginnen, später konsolidieren

Ermutige Teams, mit eng gefassten, workflow-spezifischen Skills zu beginnen statt mit breiten Mehrzweck-Skills. Wenn sich Muster in deiner Organisation herausbilden, konsolidiere verwandte Skills zu rollenbasierten Bundles.

Beispielhafte Entwicklung:

• Start: formatting-sales-reports, querying-pipeline-data, updating-crm-records
• Konsolidieren: sales-operations (wenn Evals gleichwertige Leistung bestätigen)



Benennung und Katalogisierung

Verwende einheitliche Namenskonventionen in deiner gesamten Organisation. Der Abschnitt Namenskonventionen in den Best Practices bietet Formatierungshinweise.

Pflege ein internes Register für jeden Skill mit:

• Zweck: Welchen Workflow der Skill unterstützt
• Verantwortlicher: Team oder Person, die für die Wartung zuständig ist
• Version: Aktuell bereitgestellte Version
• Abhängigkeiten: Erforderliche MCP-Server, Pakete oder externe Dienste
• Evaluierungsstatus: Datum und Ergebnisse der letzten Evaluierung



Rollenbasierte Bundles

Gruppiere Skills nach organisatorischer Rolle, um das aktive Skill-Set jedes Nutzers fokussiert zu halten:

• Vertriebsteam: CRM-Operationen, Pipeline-Reporting, Angebotserstellung
• Engineering: Code-Review, Deployment-Workflows, Incident Response
• Finanzen: Berichtserstellung, Datenvalidierung, Audit-Vorbereitung

Jedes rollenbasierte Bundle sollte nur die Skills enthalten, die für die täglichen Workflows dieser Rolle relevant sind.



Verteilung und Versionskontrolle



Versionsverwaltung im Quellcode

Speichere Skill-Verzeichnisse in Git für Historienverfolgung, Code-Review über Pull Requests und Rollback-Fähigkeit. Jedes Skill-Verzeichnis (mit SKILL.md und allen gebündelten Dateien) lässt sich natürlich einem Git-verfolgten Ordner zuordnen.



API-basierte Verteilung

Die Skills-API bietet workspace-bezogene Verteilung. Über die API hochgeladene Skills sind für alle Workspace-Mitglieder verfügbar. Siehe Skills mit der API verwenden für Upload-, Versionierungs- und Verwaltungsendpunkte.



Versionierungsstrategie

• Produktion: Pinne Skills auf bestimmte Versionen. Führe die vollständige Evaluierungssuite durch, bevor du eine neue Version freigibst. Behandle jedes Update als neue Bereitstellung, die eine vollständige Sicherheitsprüfung erfordert.
• Entwicklung und Test: Verwende die neuesten Versionen, um Änderungen vor der Produktionsfreigabe zu validieren.
• Rollback-Plan: Halte die vorherige Version als Fallback bereit. Wenn eine neue Version in der Produktion bei Evaluierungen fehlschlägt, kehre sofort zur letzten bekannten funktionierenden Version zurück.
• Integritätsprüfung: Berechne Prüfsummen der geprüften Skills und verifiziere sie zum Bereitstellungszeitpunkt. Verwende signierte Commits in deinem Skill-Repository, um die Herkunft sicherzustellen.



Oberflächenübergreifende Überlegungen

Pflege Skill-Quelldateien in Git als Single Source of Truth. Wenn deine Organisation Skills über mehrere Oberflächen hinweg bereitstellt, implementiere deinen eigenen Synchronisierungsprozess, um sie konsistent zu halten. Vollständige Details findest du unter oberflächenübergreifende Verfügbarkeit.



Nächste Schritte