GitHub 趋势洞察 2026-09-26，HR 王朝提速，技能学会自我修剪

2026 年 9 月 26 日 · 本期共收录 25 个热门开源项目

先看王座。paperclipai/paperclip 二连庄，+2,589，总量 86,360。

这个数字比昨天登基时的 +1,853 还多出七百多。新王朝不但坐稳了，还在提速。榜眼也没换人，hindsight 三连亚，+2,152，总量 31,073。管上班的和管记忆的把前两名焊死了。

旧时代正式谢幕。laya 在榜第八天整榜消失，止步 24,167 颗星。google/ax 七天收官。今天榜单前十里，一半是回锅的老面孔，brag 第四，atlas 第八，reef 第十。

真正值得细看的是第 7 名。tigerless-labs/autoharness，+651，十七天前上过一次榜，这次带着更成熟的故事回来了。

技能的新陈代谢，从蒸馏到修剪

autoharness 做的是 Claude Code 的自学习技能层，核心问题只有一个，技能装多了怎么办。

它的答案是让技能像组织细胞一样新陈代谢。触发是确定性的，每五十次工具调用触发一次后台反思，不看回合数只看动作数。反思器读完这段工作，和现有技能索引比对，给出增改并弃的提案，校验器过了才原子写进技能目录。

最讲究的是折入规则。同一场景再次出现不堆叠近似技能，折进旧的那条，矛盾的新教训必须在同一次运行里改写旧技能。每次变动都记 ledger，带原因和脱敏证据。

修剪同样克制。使用率按加载次数除以请求数算，不看墙钟时间。新技能有试用期，项目层一百个请求全局三百个，期内不许归档。毕业审查只归档从未加载也从未查看的，容量满了才让最低使用率的先走。归档不删除，移回来就能复活。

没有守护进程，会话启动时惰性重算。没有专门评测，验证信号就是使用中的依从度。作者也老实，文档里写明默认阈值是占位值，等经验校准。

你看，这个月技能生态从淘金到巨头持仓，今天终于有人管新陈代谢了。

同一家出来的成本透视仪

第 21 名 tigerless-labs/cost-xray，和 autoharness 同一个组织，一天双仓上榜。

它回答的是另一个痛点，Claude Code 和 Codex 到底把 token 花哪了。机制是透明本地跳板，mitmproxy 拦截真实 API 流量。Claude Code 走反向代理改个地址，Codex 端点锁死就用范围化的本地证书，绝不进系统信任库。代理挂了自动重启，实在不行 agent 直连，透视永远不挡活。

归因细到单次调用，token 分新鲜读缓存写缓存和输出四类，按来源拆，系统提示、工具 schema、MCP 服务器、消息桶各算各的。还能标出装了但从没用过的 MCP 工具浪费。只绑回环地址，无遥测，密钥落盘前脱敏。

一个组织，一手管技能的进化和修剪，一手管成本的显影。这两件事本来就是一体的。

密钥基建的老实人

第 15 名 openbao/openbao，+360。Vault 的开源延续，MPL 2.0，OpenSSF 治理，两万一千次 commit。

能力全是企业硬菜，安全密钥存储、动态密钥按需生成带租约自动撤销、不落库的加解密服务、整棵密钥树的批量吊销。安全披露邮箱挂在 OpenSSF 的邮件列表上，治理章程齐备。

有意思的是它上榜的时机。本周榜单先是给 agent 发密钥保险库 treg，再是 cost-xray 盯着 API 花销，今天正牌密钥基建进场。agent 时代的凭据管理，从花活走向了地基。

第 17 名 lanshu 的 AI 主播视频技能也值得一提，授权人像要显式传参确认权利与成年状态，配音是全片时间基准，交付带 QA 报告。只是仓库只有一个 commit 配一千四百颗星，热度照例跑在历史前面。

榜尾的破解军团又来了

今天要敲警钟的还是榜尾。第 23 到 25 名，Total-Commander、Display-Fusion、Camtasia-setup，三个连命名格式都一样的仓，全部无描述无语言，对应的都是收费软件的破解安装器。加上第 19 名的 Discord 挂机作弊器，四仓灰压压排在尾部。

老规律不变，无源码、教关闭安全软件、远程脚本拉取的，一律别碰。第 12 名的 reverse-skill 还在爬，自称授权渗透测试，双刃工具风险自负。

顺带一提

HowToLiveBetter 连庄季军，+1,432，17,514 颗星。univer 六天在榜守第 5，分店 univer-workspace 也在第 20，这对组合的耐力超出预期。NVIDIA 的模型优化库二连榜，紫东太初 5.0 三天在榜。广告投放的 MCP 服务器带着二百五十个工具上榜第 22，OAuth 登录令牌只存本地，写操作要审批。

完整榜单

写在最后

管人的加速连庄，管技能的学会了自己修剪，管密钥的带来了两万次提交的诚意。

技能生态这一个月走完了从安装包到器官的路，会吸收，会代谢，会淘汰。

就差疼一下了。疼了，就是活的。