Cloudsmith geeft AI-skills versiebeheer

Cloudsmith lanceert AI Skills Registry, een pakketregister waarin teams skills voor AI-agents naast andere softwarepakketten beheren met versiebeleid, toegangsregels en auditlogs, meldt het bedrijf op 9 november.

Een team dat agent-skills uit GitHub haalt, kan de bron en versie voortaan centraal vastleggen naast de pakketten waarmee software wordt gebouwd. Beheerders zien welke versie wordt opgehaald en kunnen een skill of versie blokkeren. Voor Nederlandse softwareteams verandert daarmee het beheer van bestanden die een agent instructies geven of scripts laten uitvoeren.

Skills bevatten ook uitvoerbare code

Een agent-skill bestaat uit een SKILL.md-bestand met instructies, plus mogelijke scripts, referenties, sjablonen en andere bestanden. Die bundel kan dus meer doen dan context aan een agent meegeven. Cloudsmith waarschuwt dat een skill scripts kan bevatten die de agent uitvoert met toegang tot gevoelige systemen. Daardoor kan een gewijzigde versie het gedrag van een agent veranderen of bepalen welke handelingen een workflow uitvoert.

Bij een skill uit een openbare catalogus zijn de maker, wijzigingen en eventuele beoordeling niet altijd zichtbaar voor de organisatie die hem gebruikt. Cloudsmith behandelt de bundel daarom als een softwarepakket: dezelfde vragen over herkomst, versie en goedkeuring spelen ook bij andere softwareafhankelijkheden. Een registry kan de distributie inzichtelijk maken, maar bewijst op zichzelf niet dat elke instructie of script veilig is.

Versies en toegangsregels komen bij elkaar

De registry is onderdeel van Cloudsmiths bestaande pakketbeheer voor verschillende soorten software. Een team kan een eigen skill via de webapp, API of opdrachtregel publiceren en er een SemVer-versie of Git-commit-ID aan koppelen. Publicatierechten liggen bij gebruikers met Write- of Admin-rechten op de repository. Daardoor kan het platformteam bepalen wie een vaardigheid beschikbaar maakt voor anderen.

Voor externe skills kunnen teams gekozen GitHub-repositories als bron instellen. Cloudsmith haalt en bewaart de skills daaruit, zodat teams ze via één beheerd punt ophalen. Versiebeleid kan toegang sturen; toestaan- en blokkadelijsten blokkeren een skill op naam of versie. Een geblokkeerde versie verschijnt niet wanneer ontwikkelaars de lijst bekijken of de skill ophalen. De bestaande observatietools laten zien welke skill en versie wordt gebruikt, waar die vandaan kwam en wie toegang had.

De aankondiging zegt dat de functie nu beschikbaar is voor Cloudsmith-klanten. De productpagina noemt Claude Code als de ondersteunde agent. Dat maakt de dekking smaller dan de algemene term agent-skills suggereert: de registry kan de bundels beheren, maar de huidige integratie is niet voor elke agent beschreven.

Twee andere lagen zijn al in beweging

Oracle NetSuite koos een productgebonden route. Het bedrijf stelde op 26 oktober meer dan 45 SuiteSkills uit zes bedrijfsgebieden beschikbaar, waarbij bestaande NetSuite-rollen bepalen welke gegevens en acties beschikbaar zijn. Oracle beschrijft skills als zipbestanden die gebruikers van GitHub downloaden en in Claude of ChatGPT uploaden. Het gaat om meer dan 45 vaardigheden voor onder meer financiën, voorraad, projecten en personeelsbeheer, niet om een algemene plek om vaardigheden uit verschillende bronnen te beheren.

Ook de rechten van een agent vormen een aparte beheerlaag. In een online enquête van 1Password onder 1.000 voltijdswerknemers bij Amerikaanse bedrijven met minstens 250 medewerkers, bleek dat 40 procent van de ontwikkelaars agents permanente toegang tot systemen of inloggegevens gaf. KW Research bereidde de enquête voor en PureSpectrum verspreidde hem; de antwoorden werden tussen 26 mei en 3 juni 2026 verzameld. Het cijfer is dus geen meting van Nederlandse MKB-bedrijven. In diezelfde laag krijgt iedere agent een eigen identiteit en taakgebonden rol. 1Password activeert die rechten op verzoek en trekt ze na de taak automatisch in.

Een goed beheerde skill vertelt nog niet welke gegevens de agent daarna kan lezen of wijzigen. Cloudsmith stuurt op bestanden, versies en distributie; systemen voor identiteits- en toegangsbeheer richten zich op de rechten waarmee een agent die bestanden gebruikt. Voor softwareteams zijn dat twee verschillende controles die naast elkaar moeten passen.

Prijs en goedkeuring vragen nog uitleg

Cloudsmiths Core-plan kost nul dollar en Pro kost 149 dollar per maand; de auditlogs blijven 30 dagen bewaard op Pro en 90 dagen op Ultra. Ultra en Enterprise hebben maatwerkprijzen. Twaalf maanden Pro tegen het maandtarief kost 1.788 dollar, vóór eventuele meerkosten boven pakketlimieten. De prijspagina zegt niet welk abonnement de Skills Registry omvat of hoe lang skilllogs binnen elk plan worden bewaard.

Cloudsmith spreekt over goedkeuring als onderdeel van het probleem dat de registry moet oplossen. De productbeschrijving noemt publicatierechten, versiebeleid en blokkadelijsten, maar geen workflow waarin een aangewezen beoordelaar elke nieuwe skill formeel goedkeurt. Dezelfde pagina zegt dat teams skills kunnen gebruiken zonder voor iedere skill op formele goedkeuring te wachten. Dat wijst op goedkeuring via gekozen bronnen, versies en repositoryrechten, niet op een beschreven aparte beoordelingsstap.

De registry maakt herkomst en versiebeheer van agent-skills beter zichtbaar binnen de softwareketen. Ze beoordeelt niet zelfstandig of de inhoud veilig is en beperkt niet welke gegevens een agent na het laden kan bereiken. De huidige productpagina noemt Claude Code als ondersteunde agent en geeft geen apart tarief of plan voor de functie. Voor organisaties die Cloudsmith al gebruiken, zijn juist die planvoorwaarden, logbewaring en toegangsrechten tijdens uitvoering bepalend voor wat de nieuwe controle in de praktijk afdekt.