Le développement assisté par intelligence artificielle ne se limite plus à demander du code à un chatbot. Des bibliothèques de « skills » accessibles sur GitHub organisent désormais les étapes de conception, les tests, la revue de code et les audits de sécurité. Cinq projets connaissent une forte visibilité à l’automne 2026. Leur popularité ne doit toutefois pas être confondue avec une garantie de sûreté.

Ce que recouvre le terme de skill

Dans les outils de programmation assistée par IA, un skill est un ensemble réutilisable d’instructions, de règles et parfois de scripts indiquant à un agent comment exécuter une tâche. Selon les environnements, il peut être invoqué par commande ou choisi automatiquement lorsqu’une mission correspond à sa spécialité.

Ces fichiers ne constituent pas des modèles d’IA supplémentaires : ils structurent le travail d’un modèle existant. Ils peuvent notamment demander de rédiger une spécification avant toute modification, produire des tests, ou transmettre une proposition à un second agent chargé de la critiquer.

1. Matt Pocock : spécifier avant de coder

Le dépôt mattpocock/skills rassemble des routines pour préciser les besoins, poser des questions de cadrage, organiser une démarche de développement pilotée par les tests et faire relire les modifications. Le README présente ces méthodes comme des outils d’ingénierie disciplinée, par opposition à une programmation improvisée où le code est accepté sans contrôle.

2. Addy Osmani : de la spécification à la livraison

Le dépôt addyosmani/agent-skills propose des instructions modulaires pour l’analyse du besoin, la qualité du code, le développement piloté par les tests et les vérifications avant livraison. Son auteur, ancien responsable de l’expérience développeur chez Google, confirme sur son site professionnel travailler désormais sur Claude Code chez Anthropic.

3. Cloudflare : demander à un deuxième agent de contredire le premier

Le projet cloudflare/security-audit-skill organise des audits de sécurité en plusieurs étapes : reconnaissance, recherche de pistes, vérification des vulnérabilités et production de constats structurés. Son principe essentiel est qu’un agent indépendant examine les résultats d’un autre, afin de limiter les conclusions hâtives.

Cloudflare demande un bac à sable réellement isolé pour exécuter les tests sur du code potentiellement hostile. Sans ces protections, certaines pistes restent explicitement « à valider ». Autrement dit, le skill ne remplace ni un audit humain ni une infrastructure sécurisée.

4. Steph Ango : organiser les notes d’Obsidian

Le dépôt kepano/obsidian-skills dote des agents de conventions pour créer des notes Markdown, des Bases et des Canvas exploitables dans Obsidian. Steph Ango, connu sous le pseudonyme kepano, se présente comme directeur général d’Obsidian. Pour une rédaction, cet usage peut faciliter l’organisation de corpus, à condition de contrôler l’accès aux documents sensibles.

5. Elephant-Goldfish : séparer la conception de sa critique

Hébergé sous le compte google/elephant-goldfish-model, Elephant-Goldfish propose un flux de conception et de revue utilisant des agents distincts. L’idée est d’introduire des relecteurs qui n’ont pas participé au raisonnement initial, pour identifier les angles morts. Le dépôt précise expressément ne pas être un produit officiellement pris en charge par Google.

Des dizaines de milliers d’étoiles, mais quelle valeur ?

Le classement indépendant Skill Leaderboard, fondé sur des données de GitHub actualisées au 9 novembre 2026, attribue environ 319 000 étoiles à Matt Pocock, 114 000 à Addy Osmani, 67 000 à Cloudflare, 51 000 à Obsidian et 16 000 à Elephant-Goldfish. Ces chiffres changent continuellement ; ils renseignent sur la visibilité des projets, et non sur le taux de vulnérabilités, la fiabilité du code ou la qualité de la maintenance.

Avant d’installer : six réflexes de sécurité

• Vérifier la provenance, la licence et l’historique des modifications du dépôt.
• Lire intégralement les fichiers d’instructions avant de les confier à un agent disposant de permissions.
• Tester les scripts dans une machine isolée, sans secrets ni accès à la production.
• Limiter les autorisations d’écriture, de réseau et l’accès aux dépôts confidentiels.
• Exiger des preuves vérifiables pour toute faille signalée, et une seconde validation indépendante.
• Conserver des journaux et un moyen de revenir aux versions précédentes.

Analyse PRODPRESS : un rôle dans l’investigation et l’IA souveraine

Une rédaction peut s’inspirer de ces méthodes pour mieux structurer le développement de ses outils : cahier des charges explicite, revue contradictoire, traçabilité des décisions et séparation entre collecte d’informations et production. Mais installer un skill téléchargé ne doit jamais lui ouvrir automatiquement les fichiers de sources journalistiques.

Dossiers connexes : Clés d’IA compromises et abus de quotas ; Claude Code et risques de détournement à des fins de cyberespionnage.

Sources et recoupements

• Dépôt officiel Matt Pocock
• Dépôt officiel Addy Osmani
• Dépôt officiel Cloudflare
• Dépôt officiel Obsidian / Steph Ango
• Dépôt Elephant-Goldfish
• Classement des dépôts au 9 novembre 2026
• Biographie professionnelle d’Addy Osmani

Glossaire

• GitHub : plateforme d’hébergement et de collaboration autour du code source.
• Skill : ensemble d’instructions définissant un flux de travail pour un agent IA.
• Agent : système IA capable de planifier et d’utiliser des outils.
• Sandbox : environnement isolé destiné à limiter les conséquences d’une exécution risquée.
• Revue contradictoire : examen critique d’un résultat par un évaluateur indépendant.
• MIT / Apache 2.0 : exemples de licences de logiciel libre, dont les conditions doivent être consultées pour chaque dépôt.

Note méthodologique — Les liens de dépôt et fonctionnalités annoncées ont été vérifiés dans les documentations publiques. Les étoiles GitHub constituent des chiffres indicatifs et ne valident pas le niveau de sécurité. Illustration graphique originale PRODPRESS®.