依据
- WorkBuddy 官方公众号「Work-Buddy每日精选」2026 年 10 月的教程以第三方 Skill「book-to-skill」为例：从 GitHub 下载 ZIP 包，在 WorkBuddy「导入技能」中拖入 ZIP 或选择本地文件，确认风险提示后点击「继续安装」，安装完成后技能显示为已启用。
- 教程提到，安装或执行过程中，WorkBuddy 可能提示需要额外安装依赖，作者建议先看清具体操作再继续。
- 以上来自 WorkBuddy 官方公众号的操作教程；入口名称和安装步骤以当前版本为准。
怎么做
- 定来源：只从可追溯的来源获取 Skill，记录来源地址、版本和下载日期。
- 先审内容：由 IT 或指定人员查看 Skill 包里的说明文件和脚本，弄清它会读取哪些文件、调用哪些外部服务、需要安装哪些依赖。
- 隔离试用：在测试电脑或不含敏感资料的环境里试装、试跑，用示例资料验证效果。
- 统一审批：建一张已批准 Skill 清单（名称、来源、版本、用途、负责人），员工只安装清单里的 Skill。
- 定期复查：Skill 更新或来源变化时重新审核，不再使用的及时停用。
边界与例外
- 安装界面的风险提示只是提醒，Skill 是否可信需要企业自己判断，不能因为装得上就默认安全。
- 遇到需要额外安装依赖的提示，先弄清依赖是什么、从哪里下载；不清楚时暂停安装，交给管理员处理。
- 客户资料、合同、薪酬和财务数据，不交给未通过审核的 Skill 处理。
- 需要填写 API Key 等密钥的 Skill，使用工具支持的安全配置方式，不把密钥写进共享文档和聊天记录。
- Skill 的运行结果和生成内容，用于对外发布或业务决策前必须人工审核。
友恩能做什么
友恩科技是腾讯 WorkBuddy / CodeBuddy 官方授权合作伙伴（腾讯云签发，非独家），可以协助企业制定第三方 Skill 的审核清单和试用流程，在账号与权限配置、员工培训中说明安装规范，并在使用复盘时检查清单是否落实。
相关追问
WorkBuddy 上的第三方 Skill 都经过腾讯审核吗？
不能这样默认。官方公众号教程里的 Skill 是从 GitHub 下载后本地导入的，安装时 WorkBuddy 会给出风险提示；企业应按自己的审核流程判断来源和安全性。
员工已经自己装了第三方 Skill，怎么处理？
先盘点每人装了哪些 Skill、来源在哪、处理过哪些资料。未经审核的先停止使用，按审核流程补审后再决定是否保留。