GitHub 日报 · 2026-11-08

数据来源：GitHub Trending（https://github.com/trending，全球日榜）+ GitHub REST API（/repos、/commits、/readme、LICENSE 原文）
抓取时间：2026-11-08 07:45 (Asia/Shanghai) / 2026-11-07 23:45 UTC
本次样本：Trending 页面返回 15 条，取前 10 条
API 额度：4957

今日榜单 10 个仓库里有 9 个是「Agent 技能 / Agent 工具」，skills 一条线上就占了四个（Anthropic、Google、mattpocock、Cloudflare）——不是单个项目爆红，而是整个品类在涨。正文 5 个全部首次写入，其中 2 个被 90 天规则拦下（提交停滞 / 太年轻），已在活跃度与可行度里注明。

今日热门（按今日 star 排序）

1. cloudflare/security-audit-skill（JavaScript）｜今日 +2,088　总 ★65,657

Cloudflare 把自家漏洞挖掘流水线拆出来的第一个盒子：让编码 Agent 按六个阶段做安全审计，每条结论都要过独立复核才允许写进报告。

仓库创建于 2026-06-18｜Fork 4,261｜开放 Issue 118｜主页 无（README 指向 Cloudflare 博客）

活跃近 30 天提交 0 条｜近 90 天 3 条｜最近推送 2026-09-14｜近 7 天 star 数据未采集｜第 6 次上榜，上次 2026-10-26｜近 90 天仅 3 条提交，触发 90 天硬规则，副业可行度封顶为「中」

许可证MIT｜商用友好，保留版权与许可声明即可

点开看详细点评

• 商业化点评
  • 未见商业化。仓库没有主页、没有 pricing 页、README 未出现订阅或付费字样，也没有 sales@ 或 Consulting 入口；真正变现的是 Cloudflare 自己的企业安全业务，这个仓库是它公开的方法论入口。
• 核实依据
  • README 原文「A coding-agent skill that turns your agent into a security auditor. It orchestrates isolated agents through reconnaissance, coverage-led hunting, candidate validation, structured output, independent record verification, and target-neutral reporting.」；「This is the skill that seeded Cloudflare’s vulnerability discovery harness, described in [Build your own vulnerability harness].」
• 推荐模式
  • 面向中小研发团队的「AI 代码安全体检」：用它跑出 confirmed 记录清单，人工复核后出报告，按仓库或按季度收费。卖点是流程可复现、结论可追溯，而不是又一个扫 SAST 的工具。
• 副业可行度
  • 中（90 天规则拦下）。今天 +2,088 star 说明需求是真空的，许可证干净、README 方法论完整，照它跑一遍成本很低；但仓库近 90 天只有 3 条提交、最近推送停在 2026-09-14，规则集不会跟着新漏洞演进，等于拿一个冻结的资产做长期生意——只能当交付模板，不能当产品底座。

---

2. milind-soni/OpenMausBot（TypeScript）｜今日 +1,986　总 ★16,924

把「一支 AI 员工团队」做成桌面聊天软件：每个 bot 有独立人格、模型和云电脑，跑在你自己带的 API key 上。

仓库创建于 2026-08-11｜Fork 2,397｜开放 Issue 812｜主页 https://www.openmausbot.com/

活跃近 30 天提交 100 条｜近 90 天 100 条｜最近推送 2026-11-07｜近 7 天 star 数据未采集｜第 3 次上榜，上次 2026-10-30｜创建仅 88 天、未满 90 天，触发 90 天硬规则，副业可行度封顶为「中」

许可证Apache-2.0｜商用友好，保留 LICENSE 与 NOTICE，修改文件需标注

点开看详细点评

• 商业化点评
  • 已变现，而且是明码标价的全套 SaaS：官网有 Pricing 页，Cloud 版 Starter $15/月、Pro $49/月、Max $99/月，另有 Team $169/月、Business $599/月、Business self-hosted $299/月起，企业侧的「Talk to us」直接指向 cal.com 预约。开源的是客户端，收钱的是云电脑与语音额度——典型的 open-core 结构。
• 核实依据
  • 官网 Pricing 原文「Get Starter · $15/month」「Get Pro · $49/month」「Get Max · $99/month」「Business self-hosted — $299 per month — For data kept in-house」；「AI usage is not included: your team brings its own Claude or ChatGPT accounts, or API keys.」；README 原文「OpenMausBot is an open-source Grok Bot alternative: an independent project inspired by Grok Bot … bring-your-own-agent, local-first, on the models you already have.」
• 推荐模式
  • 照搬它的「开源客户端 + 自营云」结构，但换赛道：挑一个国内有明确付费方的垂直岗位（跨境独立站的客服/选品跟单、招聘初筛、财务对账），做「一套预配置好的 bot 团队 + 云电脑托管」，向小微企业按月收费，避开它的通用办公桌面战场。
• 副业可行度
  • 中（90 天规则拦下）。这是今天商业信号最强的一个——有完整价格表、有 self-hosted 企业档、近 90 天 100 条提交；扣分项是创建仅 88 天、开放 Issue 812 个，产品仍在高速抖动期，跟着它做集成随时被 API 与目录结构改脸，且它自己就在卖 SaaS，正面竞争没有胜算。

---

3. sherlock-project/sherlock（Python）｜今日 +1,819　总 ★100,385

八年老牌 OSINT 工具：敲一个用户名，查遍 400 多个社交网络，输出 JSON / CSV / Excel——今天破十万星。

仓库创建于 2018-12-24｜Fork 11,862｜开放 Issue 363｜主页 https://sherlockproject.xyz

活跃近 30 天提交 1 条｜近 90 天 10 条｜最近推送 2026-11-07｜近 7 天 star 数据未采集｜第 1 次上榜｜近 90 天刚好 10 条，卡在规则下限、不触发 90 天硬规则

许可证MIT｜商用友好，保留版权与许可声明即可

点开看详细点评

• 商业化点评
  • 未见直接商业化，走的是赞助位变现：README 顶部挂着两组 sponsors.sherlockproject.xyz 链接（指向第三方赞助商 banner），另有社区维护的发行包分发。没有 pricing 页、没有订阅、没有咨询入口。
• 核实依据
  • README 原文「Hunt down social media accounts by username across 400+ social networks」；顶部赞助位原文「https://sponsors.sherlockproject.xyz/go/readme-1」「https://sponsors.sherlockproject.xyz/go/readme-2」；安装段原文「pipx install sherlock-project」「Community-maintained packages are available for Debian (>= 13), Ubuntu (>= 22.10), Homebrew, Kali, and BlackArch. These packages are not directly supported or maintained by the Sherlock Project.」
• 推荐模式
  • 做「账号画像报告」而不是查号工具：给它套一层代理与浏览器指纹，把结果与公开泄露数据交叉比对，输出品牌仿冒监测、尽职调查用的数字足迹报告，按份或按年收费。工具免费、报告收费，是 OSINT 里唯一跑得通的定价方式。
• 副业可行度
  • 中。八年项目、十万星、MIT、363 个 Issue 说明站点库维护既是负担也是壁垒；扣分项是合规硬伤——个人信息比对在国内受《个人信息保护法》约束，且近 30 天只有 1 条提交，站点失效只能自己补。适合有合规客户的团队，不适合个人裸奔。

---

4. anthropics/skills（Python）｜今日 +386　总 ★188,754

Anthropic 官方的 Agent Skills 示范库：19 个技能目录 + 一份规范 + 一个模板，等于这个新格式的「参考实现」。

仓库创建于 2025-09-22｜Fork 22,249｜开放 Issue 1,492｜主页 无（README 指向 agentskills.io 与 support.claude.com）

活跃近 30 天提交 4 条｜近 90 天 15 条｜最近推送 2026-11-06｜近 7 天 star 数据未采集｜第 1 次上榜｜近 90 天 15 条满足规则下限，但推送节奏偏慢

许可证API 判为 NOASSERTION（仓库根目录无 LICENSE 文件）｜回查原文：子目录 skills/pdf/LICENSE.txt 为「Apache License Version 2.0, January 2004」全文 201 行，README 亦称「Many skills in this repo are open source (Apache 2.0)」——按 Apache-2.0 理解，但属逐目录声明，仓库不提供统一根许可

点开看详细点评

• 商业化点评
  • 未见商业化：官方示范仓库，没有 pricing 页、没有订阅或咨询入口，README 只做文档引流（support.claude.com、agentskills.io）。真正收费的是 Claude 订阅与 API。
• 核实依据
  • README 原文「Many skills in this repo are open source (Apache 2.0). We’ve also included the document creation & editing skills that power Claude’s document capabilities under the hood in the skills/docx, skills/pdf, skills/pptx, and skills/xlsx subfolders.」；「These skills are provided for demonstration and educational purposes only.」；LICENSE 原文首行「Apache License / Version 2.0, January 2004」（位于 skills/pdf/LICENSE.txt）
• 推荐模式
  • 不做技能本身，做「技能目录」生意：像 skills.sh 那样沉淀一套垂直技能集（外贸报价、跨境合规、财报清洗），按 SKILL.md 规范打包、按套装卖更新订阅，或给企业内部知识库做定制技能工坊。规范是官方给的，护城河只剩内容质量。
• 副业可行度
  • 低。仓库明说这些技能是 demonstration 用途，官方更新又慢（近 30 天 4 条），照抄没有价值；且 18.8 万星意味着它已是公共知识，任何单点技能都能被一个 prompt 复刻。真要变现，护城河必须在行业 know-how 而非技能文件，与这个仓库关系不大。

---

5. astral-sh/ruff（Rust）｜今日 +350　总 ★50,966

用 Rust 重写的 Python linter 与格式化器：比 Flake8/Black 快 10–100 倍、内置 900+ 规则，今天 +350 说明它已是默认选项而不是新选择。

仓库创建于 2022-08-09｜Fork 2,628｜开放 Issue 2,283｜主页 https://docs.astral.sh/ruff

活跃近 30 天提交 100 条｜近 90 天 100 条｜最近推送 2026-11-07｜近 7 天 star 数据未采集｜第 1 次上榜｜维护强度高，2,283 个开放 Issue 反映的是需求吞吐而非失修

许可证MIT｜商用友好，保留版权与许可声明即可

点开看详细点评

• 商业化点评
  • 未见直接商业化：官网是纯文档站（Overview / Tutorial / Linter / Formatter / Editors），无 pricing 页；README 只挂 Docs、Playground、Discord。背后公司 Astral 靠生态而非这个仓库收费，仓库本身没有付费入口。
• 核实依据
  • README 原文「An extremely fast Python linter and code formatter, written in Rust.」「⚡️ 10-100x faster than existing linters (like Flake8) and formatters (like Black)」「📏 Over 900 built-in rules」；官网原文「Ruff aims to be orders of magnitude faster than alternative tools while integrating more functionality」；README 许可证段原文「Ruff is released under the MIT license.」
• 推荐模式
  • 做「迁移与治理交付」：给中型 Python 团队把 Flake8/isort/Black 迁到 Ruff，配好 monorepo 级联配置与 CI 门禁，交付规则集模板与培训。工具免费，收的是「一次迁移 + 季度调优」服务费，顺带卖规则包订阅。
• 副业可行度
  • 低。工具已是事实标准，个人卖不动工具本身；付费意愿集中在需要统一规范的中大型团队，属于咨询单而非可复制产品，天花板低。真要做只有企业级「代码规范治理」这一条窄路，还要跟 Astral 自家生态解释差异。

---

今日已读过

• vercel-labs/agent-browser — 今日 +180 — 上次 2026-11-07
• mattpocock/skills — 今日 +1,111 — 上次 2026-11-07
• google/skills — 今日 +449 — 上次 2026-11-06

今日汇总

① 被 90 天规则拦下：cloudflare/security-audit-skill（近 90 天 3 条提交，最近推送停在 2026-09-14）、milind-soni/OpenMausBot（创建仅 88 天，未满 90 天），两者副业可行度封顶「中」。sherlock 近 90 天刚好 10 条，卡线通过。

② 今日最值得深入研究：milind-soni/OpenMausBot。今天唯一把商业模型完整摊开的项目——$15 / $49 / $99 个人云三档、$169 / $599 团队档、$299 自托管企业档，把「开源客户端 + 自营云电脑」的 open-core 定价与客户分层写得清清楚楚。赛道（通用办公桌面）很挤，但价格体系可以直接搬到垂直场景复用；88 天做到 1.69 万星、90 天 100 条提交，供给节奏也验证得通。需要盯的是 812 个开放 Issue 背后产品形态是否还在剧烈变动。

③ 全表：

项目	今日 star	创建时间	近90天提交	许可证	可行度	第几次上榜
cloudflare/security-audit-skill	+2,088	2026-06-18	3	MIT	中（90天拦下）	第 6 次（上次 10-26）
milind-soni/OpenMausBot	+1,986	2026-08-11	100+	Apache-2.0	中（90天拦下）	第 3 次（上次 10-30）
sherlock-project/sherlock	+1,819	2018-12-24	10	MIT	中	第 1 次
anthropics/skills	+386	2025-09-22	15	NOASSERTION（逐目录 Apache-2.0）	低	第 1 次
astral-sh/ruff	+350	2022-08-09	100+	MIT	低	第 1 次