autoskills: Một lệnh cài toàn bộ AI skill stack cho dự án của bạn

Mỗi lần bắt đầu một project mới, bạn có thể quen với cái vòng lặp này: tìm prompt phù hợp cho framework đang dùng, download skill file về, đặt đúng thư mục, kiểm tra xem có conflict không, rồi update CLAUDE.md để agent biết. Nếu project dùng nhiều stack - React frontend, Node.js backend, Terraform infra - quy trình nhân lên theo. Mất 15-30 phút, và đó là nếu bạn đã biết chính xác cần file nào. autoskills rút gọn toàn bộ cái đó xuống còn một lệnh duy nhất.

Cài AI skill thủ công mất bao lâu?

Không phải vì dev lười. Mà vì ecosystem của AI coding assistant đang phân mảnh: mỗi framework, mỗi tool lại có prompt tốt nhất khác nhau, và không có nơi nào tập trung để tìm. Dev thường kết thúc bằng cách dùng lại prompt cũ từ project trước, hoặc copy từ README của người khác mà không biết chất lượng thật sự.

Vấn đề còn lớn hơn ở team. Mỗi người tự tìm skill theo cách riêng, kết quả là AI của mỗi người hiểu codebase ở mức độ khác nhau. Developer A có skill tốt cho Next.js nhưng thiếu cho Prisma. Developer B ngược lại. Không có chuẩn chung nào để đảm bảo AI context nhất quán trong cả team.

Xa hơn, còn là vấn đề bảo mật: file skill là markdown, chứa instruction cho AI. Ai đảm bảo file bạn copy từ internet không nhúng thêm instruction độc hại? Khi không có quy trình review và verify, đây là rủi ro thật.

autoskills hoạt động như thế nào?

autoskills là CLI tool do midudev phát triển, giải quyết đúng các bài toán trên. Khi bạn chạy npx autoskills trong thư mục gốc của project, nó thực hiện 4 bước có thứ tự:

1. Scan local - không cần mạng: Đọc package.json, các lockfile (package-lock.json, yarn.lock, pnpm-lock.yaml), config file (tsconfig.json, next.config.*, vite.config.*), manifest ngôn ngữ (pubspec.yaml cho Flutter, go.mod cho Go), và cấu trúc thư mục project. Toàn bộ bước detect này chạy hoàn toàn offline.
2. Match với registry: So khớp kết quả với curated registry - hiện phủ 50+ công nghệ và 11 combo phổ biến. Registry đến từ skills.sh, open registry cho AI coding agents, nơi skills là các file markdown dạy AI assistant cách làm việc với từng tech.
3. Verify trước khi cài: Download skill file và verify SHA-256 hash theo manifest. File bị thay đổi sẽ không khớp hash và bị từ chối. Skills cũng được scan trước cho prompt injection và supply-chain risk trước khi vào registry.
4. Install và update context: Đặt file vào .claude/skills/ và tự động update CLAUDE.md để list ra các skill vừa cài. Agent của bạn - Claude Code, Cursor, Codex - đọc được ngay mà không cần thêm bước nào.

50+ stack, từ React đến Flutter đến AWS

Điểm mạnh của autoskills là độ phủ rộng. Không chỉ JS ecosystem:

• Frontend: React, Next.js, Vue, Nuxt, Svelte, Angular, Astro, Tailwind CSS, shadcn/ui, GSAP, Three.js
• Backend/API: Express, Hono, NestJS, Spring Boot
• Mobile/Desktop: Expo, React Native, Flutter, SwiftUI, Android, Kotlin Multiplatform, Tauri, Electron
• Data/Storage: Supabase, Neon, Prisma, Drizzle ORM, Zod, React Hook Form
• Cloud/Infrastructure: Vercel, Cloudflare, AWS, Azure, Terraform
• Khác: TypeScript, Node.js, Go, Bun, Deno, Dart, Better Auth, Clerk, Stripe, Vitest, Playwright, Remotion, ElevenLabs

Combo detection là điểm khá thông minh. Nếu project của bạn dùng Next.js kết hợp Supabase, autoskills không chỉ cài skill riêng cho từng framework mà còn cài thêm skill đặc thù cho cặp combo đó - bao gồm các pattern hay gặp, gotcha thường thấy, và best practice khi dùng chung hai tool này. Tương tự với React + shadcn/ui, React Hook Form + Zod, Node.js + Express và 8 combo khác.

Với dev làm full-stack hoặc multi-platform, đây là thứ sẽ tiết kiệm thời gian rõ nhất - không cần biết mình cần đúng combination skill nào, tool tự figure out.

Bảo mật không phải là cái cớ

Khi một tool tự động tải file về máy bạn, câu hỏi hợp lý là: file từ đâu? Ai review? autoskills giải quyết điều này bằng mô hình registry có kiểm soát:

• Curated registry - không live-download tùy tiện: Skills được sync bởi maintainer vào registry của project, không pull trực tiếp từ third-party repo trong lúc install. Bạn biết chính xác nguồn gốc của mỗi file.
• SHA-256 hash verification: Hash của mỗi skill file được ghi sẵn trong manifest. CLI verify trước khi ghi vào disk. File bị tamper, thay đổi, hoặc bị man-in-the-middle sẽ không khớp hash và bị từ chối install.
• Prompt injection scan: Skills được review để phát hiện instruction độc hại và supply-chain risk trước khi được accept vào registry. Đây là lớp bảo vệ quan trọng vì skill file cuối cùng là instruction cho AI - content của nó ảnh hưởng trực tiếp đến cách AI hoạt động.
• skills-lock.json: Ghi lại nguồn gốc và bundle hash của mỗi skill đã cài - giống lockfile của npm. Bạn có thể audit được tool đã cài gì, từ đâu, lúc nào.

Cần nói rõ: đây không phải zero-risk. Registry vẫn do con người maintain và có thể có lỗi. Nhưng so với việc copy skill file từ GitHub random không có verification nào, đây là cải thiện đáng kể.

Bắt đầu trong 30 giây

Yêu cầu duy nhất: Node.js >= 22 (phiên bản LTS hiện tại). Nếu bạn đang dùng Node.js cũ hơn, đây là lý do tốt để upgrade - phiên bản 22 có nhiều improvement đáng kể về performance và security.

# Chạy trong thư mục root của project
npx autoskills

# Skip confirmation prompt - tự động install tất cả detected
npx autoskills -y

# Preview xem tool sẽ cài gì mà không thực sự cài
npx autoskills --dry-run

Sau khi chạy, bạn sẽ thấy:

• .claude/skills/ chứa các markdown file skill tương ứng với stack
• CLAUDE.md được update để list skills và hướng dẫn agent đọc chúng
• skills-lock.json ghi lại manifest của những gì vừa cài

Agent của bạn - dù là Claude Code, Cursor, hay Codex - sẽ đọc CLAUDE.md và có context về stack ngay lập tức.

Hạn chế cần biết

Không có tool nào hoàn hảo. Một vài điểm đáng lưu ý trước khi adopt:

• Node.js >= 22: Nếu team bạn vẫn dùng Node 18 hoặc 20, cần upgrade trước. Với enterprise environment có policy về phiên bản, đây có thể là blockers.
• License CC BY-NC 4.0: Không phép sử dụng cho mục đích thương mại. Hoàn toàn ổn cho personal project, open source, internal tool. Nhưng nếu bạn đang build product thương mại, cần đọc kỹ điều khoản.
• Registry scope: Mạnh nhất ở JS/TS ecosystem. Go, Dart, C#, Swift đang ở mức coverage thấp hơn. Nếu project của bạn nặng về những stack này, kết quả có thể ít skill hơn mong đợi.
• Skills là markdown: Chất lượng skill phụ thuộc vào người viết và review trên skills.sh. Sau khi cài, đọc qua một lần để hiểu AI của bạn đang được hướng dẫn gì.

Kết

autoskills giải quyết đúng một vấn đề thực tế mà nhiều dev gặp nhưng ít ai nghĩ đến: AI assistant không tự biết bạn đang dùng framework gì, và việc dạy nó đúng cách thủ công mất thời gian không đáng. Codebase chỉ dưới 600 dòng, triết lý lightweight và composable, không lock-in vào một AI platform cụ thể.

Với 6.2k GitHub stars và 16 releases, project đang ở giai đoạn active development và nhận được feedback từ cộng đồng. Đây là dấu hiệu tốt về longevity.

Nếu bạn đang setup AI workflow cho project mới - thử npx autoskills --dry-run trước. Xem tool detect được gì từ stack của bạn, đọc qua danh sách skill, rồi quyết định. Source code và docs tại github.com/midudev/autoskills.