OPC Skills：面向"一人公司"的 Agent Skills 开源库 # 10 个 Skills 分为 4 类，累计 51K+ 次安装 ① 市场调研层 · requesthunt（v2.3.0，最活跃）：从 Reddit / X / GitHub / YouTube / LinkedIn / Amazon 抓取真实用户反馈，生成需求研究报告。现已切换为 Rust CLI（自带 SHA256 校验 + 设备码登录）。其"平台选择指南"很专业——按产品类别推荐主次数据源（如硬件→YouTube 优先，开发者工具→Reddit 优先） ② 数据采集层（API 封装技能） · X/twitter（28 个脚本，最厚重）：封装 twitterapi. io，覆盖用户/推文/列表/社区/Spaces/趋势全端点 · reddit（7 脚本）：基于公共 JSON API · producthunt（11 脚本）：GraphQL API ③ 设计生产层 · nanobanana：Gemini 3 Pro Image 图像生成（文生图、图编辑、2K/4K） · logo-creator：依赖 nanobanana，含裁剪、去背景、SVG 矢量化 · banner-creator：依赖 nanobanana，输出多平台横幅 ④ 增长与基建层 · seo-geo（33.5K 安装，最热门）：SEO + GEO（生成式引擎优化），内嵌普林斯顿 9 项 GEO 方法论，覆盖 ChatGPT / Perplexity / Google AI Overview / Copilot / Claude 各平台的引用优化策略 · domain-hunter：依赖 twitter + reddit，域名查价、找促销码、给购买建议 · archive：会话知识归档，带 SessionStart hook 自动把 .archive/MEMORY.md 注入上下文——唯一带运行时钩子的技能，体现"跨会话记忆复用"思路 项目地址

AI Agent在链上付了钱，怎么确认API数据或算力服务真的交付了？ Chainalysis统计，在截至2026年9月的16个月里，Base 链x402超过87%的支付单笔金额介于0.0001至0.10美元之间。支付记录可以核对，交付结果还需要其他证据。 @opcatlayer 官方 Lambit AtomicSwap教学示例中，Redeem检查sha256(preimage)、签名和指定资金输出；Refund检查时间锁、退款方身份和输出。满足超时条件后，退款也需主动发起符合规则的交易。 这些检查能核验预设秘密和资金流向，却不能判断API数据是否完整、模型结果是否可用。链上付款有了验证规则，数字服务交付仍需要额外的可核验证据。 @OPCATLayerCN @clawchatglobal #OPCAT# #Lambit#

文件上传成功，交付流程还没走完。 接 @termix_ai 的 AACP 时，我会把交付单独做成一条状态明确的流程，尤其别让程序把“存储里有文件”直接当成“这单已交付”。 官方给的材料交付路径是：取得上传地址、上传文件、登记交付材料，再提交 delivery。 登记材料时会带上位置、sha256、内容类型和文件大小等信息。正式提交可以引用 artifactIds，由后台构建材料清单的哈希，也可以提供明确的 deliveryHash。 随后生成链上提交所需的交易意图。交付事件记录 delivery hash，订单再进入对应的交付状态。 这里我会区分两个检查。 文件哈希可以帮助核对拿到的是不是同一份内容；这份内容有没有满足订单要求，还需要按约定验收。哈希相同，不能替你判断报告结论是否可靠，或者代码是否符合需求。 如果中途改了文件，我会重新计算哈希、登记更新后的材料，确保最终提交引用的是准备交付的版本。不能让买方收到新版，程序却引用旧版材料。 在 这种基于 AACP 的服务交易里，交付文件会接到后续验收和结算。开发者把文件版本、材料记录和正式提交对齐，后面排查问题会清楚很多。 TermiX 的这部分文档值得接入时细读。模型把活做完以后，程序还得把正确的那份成果交出去。 #TermiX# #AACP# #AgentDevelopment# @KaitoAI

Hermes Studio #2452：Chat# Run 生命周期 Webhook。 一次对话从进线到收尾，现在能把稳定事件异步推到外部系统，而且不堵主聊天路径。覆盖 Bridge、Ekko、Claude Code、Codex；支持多 Webhook 端点、按 profile 过滤、重试，以及 HMAC-SHA256 签名校验。 完整生命周期一共十二类：消息创建，Run 入队，Run 开始，工具开始，工具完成，工具失败，审批请求，审批结束，澄清请求，澄清结束，Run 成功，Run 失败。一条真实 run 会按路径增减，不是每次十二个都齐，但外部系统终于能顺着 agent 跑到哪一步往下接。 默认只推元数据：会话、run、工具名、队列长度、审批选项、token 用量、错误类型这类状态，不推工具参数和结果，不推 reasoning，不推 system prompt。用户原文和助手最终回复也是分开开关，管理员显式开启才会带上，并有长度截断。 投递是内存队列异步扇出，慢下游或挂掉的接收方拖不住 Chat Run；配置会持久化，未投出的事件重启会丢，这是有意做成轻量出口。设置页还带本地测试收件箱，单机就能验签名、超时和真实投递路径。默认拒绝私网目标，要打内网得管理员明确放开。

1）OneKey 是不是开源钱包？ 答：是，全开源。 App 和固件的源代码全部公开，任何人都可以查看、审计和独立编译。 2）怎么证明仓库里的代码，和设备里运行的是同一份？ 答：通过可复现构建验证（Reproduce）。 任何人都可以用公开源码重新编译，再与 OneKey 官方固件逐字节比对。结果一致，就能证明设备运行的固件来自公开仓库。 目前主流硬件钱包中，真正支持可复现构建的主要是 OneKey 和 Trezor。 3）怎么证明每次 OneKey App 更新，安装包和开源仓库一致？ 答：验证 GPG 签名和 SHA256 哈希。 OneKey 为每个版本、每个安装包提供独立签名和哈希。用户可以自行验证安装包来源是否合法、文件是否完整、是否遭到篡改。 这套验证可以精确到每一个版本和每一个安装文件。 4）怎么确保固件和软件更新安全？ 答：更新文件都可以独立验证。 固件可以和公开源码的编译结果比对，App 安装包可以验证签名和哈希。验证结果对得上，才说明文件真实、完整、未经修改。 自己不会操作，也可以找懂技术的人验牌。 完整步骤： 5）怎么防止供应链攻击，怎么确认设备没有被调包？ 答：通过安全芯片和根证书校验。 OneKey App 可以验证设备身份、固件完整性和安全状态。设备是否为正品、固件是否被替换、设备是否存在异常，都可以检测。 6）OneKey 倒闭了怎么办？ 答：不会影响你的资产。 OneKey 不托管资产，也无法接触你的币。 OneKey 遵守行业通用的标准助记词格式，你随时可以导入其他兼容钱包、恢复资产。 就算 OneKey 明天从地球上消失，你的钱也不会少一分钱。 7）我拿一台离线 iPhone 当钱包，行不行？ 答：可以，但要清楚自己承担的风险。 手机是通用计算设备，系统复杂，代码量巨大，潜在攻击面也更广。 OneKey Anzen 安全实验室目前已经具备攻破部分旧款 iPhone 的能力，包括搭载 A13 及更早芯片的机型。部分问题来自硬件层面，升级系统也无法彻底解决。 这没有绝对答案，取决于你愿意为了便利承担多大的风险。 8）如果我说硬件钱包是智商税，币放交易所更安全，阁下又该如何应对？ 答：你高兴就好。

大概一个月多前，电脑中了木马，潜伏了一个月才被发现，也导致了我的 X 账号被盗。 让 Claude 和 Codex 逐一分析系统进程时，找到了一个叫做 com\.apple.accountsd.helper.plist 的进程，乍一看还以为是苹果系统的宿主进程，但 Claude 对这个进程提出了质疑。 沿着这个线索，对 accountsd 进行了详细的分析。这个木马首先给系统添加了一个开机自启项，确保可长期潜伏，然后通过 root 权限写了一个守护脚本，每秒探测当前系统是否有新用户登录，一旦登录就通过 AppleScript 脚本切换成当前用户身份，运行一个叫做 AccountsHelper 的程序。 对 AccountsHelper（SHA256：9168cbc45f）也做二进制分析，它的依赖极少，主要职责是从远端加载指令，然后拉起一个交互式 PTY shell，攻击者就是通过这个 shell 来远程操控电脑的。木马执行的每个环节，清理工作都做的特别好，几乎所有日志都被清理干净了。 为了溯源整个中马过程，我分析了将近两个多月的系统日志，仅找到一条可疑指令：有个 curl 操作，下载并执行了一条混淆命令，这也是唯一的线索，解密指令得到了一个远端 IP地址。 后来也从公开情报里找到这个木马，它是 AMOS Stealer 恶意软件家族的变种，之前主要针对 Windows 平台，今年四月第一次在 macOS 上被发现。 从 .zhistory 日志看，curl 前后都是 Claude Code 相关操作，高度怀疑就是 Agent 程序引入了这个木马。 我的 Claude Code 长期是 bypass 模式，所有的命令执行都是直接放过，怀疑是在做软件安装或更新的时候，AI 从互联网找到了一些不安全的资源，下载了这个木马。 这个 AMOS 木马，主要会去扫各种虚拟货币钱包，尤其是浏览器插件钱包。顺带也把我各种登录态 Cookies 全部拿走了，这才导致 X 账号被恶意添加了一个 Passkey。 一般木马进来之后，除了目的性的攻击（例如虚拟钱包转账、文件加密勒索）外，它还会使劲去找各种敏感信息，尤其是浏览器里的登录态、Keychain 里保存的账号密码、聊天工具的登录状态、开发环境里的 .env 文件和各种 token，等等。 我这个教训，大家记住两点：1）所有能够加 F2A 的账号都要加，登录时的二次验证会增加攻击者的门槛；2）AI 在执行各种程序的时候，一定要注意它在执行什么，尤其是安装和更新软件的时候，要先确认再执行。 跟一些安全研究者也交流了这个木马的细节，他说近期这类事件特别高频，攻击者会伪造各种软件的官网，Google 搜出来默认都排在第一位，诱导用户（尤其是 AI）下载木马，防不胜防！

GitHub 上发现一个开源密码管理器：Monica，聚合了 Bitwarden 和 KeePass 的能力，数据本地优先，不依赖第三方云服务托管。 GitHub： 官网： 核心特性： - 本地加密保险箱：密码、银行卡、身份信息、私密笔记、附件等数据全部本地加密存储 - 双生态聚合：Android 端同时支持 Bitwarden API 同步和 KeePass (.kdbx) 格式读写 - 内置 TOTP：在同一应用内管理密码和二次验证码，不用来回切换 - WebDAV 备份同步：通过自有 WebDAV 实现跨设备数据流转，数据始终在你控制范围内 - 生物识别解锁：系统级生物识别支持，兼顾安全和便捷性 - 浏览器插件：支持 Chrome / Edge 自动填充 安全层面用的是 AES-256-GCM 认证加密，密钥派生走 PBKDF2-HMAC-SHA256 高迭代参数，主密码哈希和配置由 Android Keystore 与 EncryptedSharedPreferences 管理。 适合场景： - 不想把密码托管到第三方云服务，希望本地存储优先 - 既在用 Bitwarden 生态，又有历史 KeePass 数据需要迁移 - 需要在 Android 和浏览器之间同步密码，但想自己控制数据 - 想在一个应用内同时管理密码和 2FA 验证码 当前已知限制：部分小米 HyperOS 设备无法创建 Passkey。 如果你在找一个本地优先、兼容主流密码管理生态、又能自主控制数据的开源方案，Monica 值得试试。

43 个可安装的 AI 编码 skills，一条 npx 命令同时装进 Claude Code 和 Codex——从模糊想法到合并的 PR，整个交付流程有了统一闭环。 《Agent 工作流工具包》 agent-workflow-kit 是一个把"想法 → 合并的 PR"完整开发流程打包成 43 个可安装 skills 的开源工具包，同时支持 Claude Code 和 Codex 两个编码 agent，来自一个德语项目团队的内部实践沉淀（README 自述）。 一条命令装机。 在目标仓库根目录跑 npx github:iKon85/agent-workflow-kit init，skills 和辅助脚本会同时写入 .claude/skills（Claude Code）和 .agents/skills（Codex）。装完跑一次 /setup-workflow，它会探测你的 issue tracker，把 label、GitHub Projects 的字段 ID 写进配置——board 脚本里没有任何硬编码的 ID。 四阶段闭环。 Plan 阶段有 grill-me / grill-with-docs 拷问需求、to-prd 把想法变成 Draft-PRD、to-issues 拆成原子 issue（1 个 slice 一个 issue，多个 slice 升成 wave anchor）；Execute 阶段是严格的 tdd 红绿循环和 implement；Land 阶段 make-landable 跑本地 CI 闸门，land 负责 push、合并 PR、清理 worktree，pre-commit 钩子自动挡坏提交；Learn 阶段 retro 做复盘，把教训写回 rules 配置。另有 codex-review / codex-build 用第二个模型交叉审查 plan。 更新不覆盖你的改动。 init 会记录每个文件的 sha256。update 时你自己改过的文件先备份成 .bak 再替换，或者用 own 声明某个文件永久归你，更新直接跳过。kit 无遥测、MIT 许可，43 个 skills 里有一部分改编自 Matt Pocock 的开源 skills，每个都带 THIRD-PARTY-NOTICES 标注来源。 可选的 wave 管理。 board-to-waves 把积压 backlog 聚类成主题波次；当 slice 之间文件不相交、spec 锁定时，orchestrate-wave 可以端到端落地整个 wave——每个 slice 派一个 implementer 进独立 worktree，常常 AFK 跑完。 适合想让编码 agent 从"聊天写代码"升级成"按流程交付"的团队或个人。要求 Node ≥ 20、Claude Code 或 Codex；repo 今年 6 月才开源，还在 0.x 迭代，流程文档和更新机制已经相当完整，建议先在项目里小范围试。 原文： #AgentWorkflow# #ClaudeCode# #Codex#

预测市场开发工具全栈对比：6 个 Polymarket Skill + 3 大平台 API 实测整理 ━━━━━━━━━━━━━━━━━━━━━━ 📦 一、Polymarket Skill 生态（ClawHub） ┌─────────────────────────────────────────────────────────┐ │ grimoire-polymarket │ franalgaba │ 11.1K⭐ │ │ CLI 工具，安全沙箱设计，阻塞敏感操作 │ │ grimoire venue polymarket search-markets │ ├─────────────────────────────────────────────────────────┤ │ polymarket-api │ agentmc15 │ 613⭐ │ │ Python 开发首选，py-clob-client 完整示例 │ ├─────────────────────────────────────────────────────────┤ │ polymarket │ 2025emma │ 327⭐ │ │ WebSocket 实时数据：trades/comments/rfq/crypto_prices │ ├─────────────────────────────────────────────────────────┤ │ polymarket-prediction-market │ axwelbrand-byte │ 222⭐ │ │ 跨平台套利专用，Polymarket vs Kalshi 策略 │ ├─────────────────────────────────────────────────────────┤ │ polymarket │ machina-sports │ 219⭐ │ │ 体育专用，代码标准化，今日赛事查询 │ ├─────────────────────────────────────────────────────────┤ │ web3-polymarket │ Polymarket 官方 │ 138⭐ │ │ 权威完整，CLOB+CTF+跨链桥+无 Gas 交易+Builder 程序 │ └─────────────────────────────────────────────────────────┘ 我推荐的组合：官方打底 + arbibot 学套利 + 2025emma 监控 ━━━━━━━━━━━━━━━━━━━━━━ 🔗 二、三大预测市场 API 对比 【Polymarket｜Polygon】 Base URL: / 认证: EIP-712 签名 + CLOB API Key（L2 HMAC-SHA256） 特色: CLOB 限价订单簿，$2M March Madness 做市激励 费用: ~2% taker，maker ~0% 端点: /events /markets /orderbook /trades 【PredictIt｜传统金融】 Base URL: 认证: 无需 API Key（需处理反爬/会话） 特色: 合规政治事件预测市场 费用: 10% 盈利抽成 限制: $850 单市场持仓上限，$5,000 账户充值上限 端点: /Browse/FilteredMarkets /Market/{id}/Contracts 【Limitless｜Base 链】 Base URL: API Explorer: WebSocket: wss://ws.limitless.exchange 认证: X-API-Key: lmts_xxx（公开端点无需） 特色: 每小时/每日市场，USDC 结算（6 位小数），Base L2 低 Gas 费用: Maker 返佣，流动性挖矿 限速: 并发 2，调用间隔 300ms 端点: /markets/active /markets/{slug} /orderbook ━━━━━━━━━━━━━━━━━━━━━━ 🎯 三、场景组合建议 快速原型 → agentmc15/polymarket-api + Python 生产交易 → 官方 web3-polymarket + 自建风控 跨平台套利 → arbibot 策略 + Kalshi/PredictIt 双接 实时监控 → 2025emma WebSocket + 事件驱动 体育专用 → machina-sports + 今日赛事 API ━━━━━━━━━━━━━━━━━━━━━━ 📚 四、参考链接 Polymarket 官方文档: Limitless API Explorer: ClawHub Skills: ccjing 做市商脚本: ━━━━━━━━━━━━━━━━━━━━━━ 有在用其他预测市场工具的朋友？欢迎评论区补充 👇 #Polymarket# #预测市场# #DeFi# #量化交易# #API开发# #Base链#

据 CriptoNoticias 报道，委内瑞拉律师在一起民事诉讼中，使用 SHA-256 和 OpenTimestamps 将起诉文件锚定至 Bitcoin 网络，以证明文件的存在时间、完整性和未被篡改。律师方面称，这可能是已知首次将诉讼初始起诉文件本身以这种方式锚定至 Bitcoin Layer 1 的案例。实际操作并非将完整司法文件写入 Bitcoin，而是记录其加密哈希及时间戳。