Android tem CLI e skills agora. E ninguém está revisando o que está instalando.

Em abril a Google lançou em preview o Android CLI e o repositório oficial de skills. Funciona com qualquer agente: Gemini, Claude Code, Codex, Antigravity, o que estiver na sua máquina.

A premissa é boa. Skills são instruções em Markdown que o agente carrega sob demanda quando o contexto pede. Menos token desperdiçado, mais tarefa concluída no padrão recomendado pelo Android. A própria Google diz que reduziu uso de token em mais de 70% e tarefas saíram 3x mais rápidas em testes internos.

Instalar é constrangedoramente fácil:

Antes de continuar, um aviso: nada aqui é contra o Android CLI, contra a Google, ou contra skills como conceito.

A ferramenta é boa, o padrão é aberto, e o repositório oficial parece responsável. O problema é o reflexo coletivo da indústria de instalar primeiro e perguntar depois, e como esse reflexo já cobrou caro em outras camadas do stack.

# Instala o Android CLI
curl -fsSL https://dl.google.com/android/cli/latest/...

# Lista as skills disponíveis
android skills list
# Instala uma skill específica para o agente que você usa
android skills add --agent='claude-code' --skill=edge-to-edge
# Ou instala tudo de uma vez (corajoso)
android skills add --all

Pronto. O agente agora tem novas instruções, novos arquivos no seu projeto, possivelmente novos scripts em scripts/ que ele pode executar. E aqui começa a parte que ninguém quer falar.

Skill é prompt com acesso de sistema.

Quando você roda skills add, está colando texto direto no contexto do agente que opera no seu repositório, na sua máquina, com suas credenciais. As skills oficiais do Android, hospedadas em github.com/android/skills sob Apache 2.0, têm o nome da Google atrás. Tudo bem, presumir boa fé. Mas o padrão é aberto, e o ecossistema vai se encher de skills de terceiros do mesmo jeito que se encheu de extensões de navegador, pacotes npm e templates de Yeoman.

Você revisa cada dependência do package.json? Provavelmente não. Você revisa cada extensão do Chrome? Quase certeza que não. Skill cai exatamente na mesma categoria, com um detalhe pior: o conteúdo dela vira instrução executável para uma entidade que tem permissão pra editar arquivos, rodar comandos e, dependendo do agente, abrir conexões de rede.

O OWASP Top 10 para LLMs já mapeou os vetores: injeção de prompt, exfiltração de dados, ataques de cadeia de suprimentos, agência excessiva. A Snyk escaneou cerca de 4.000 skills e encontrou 13,4% com problemas críticos, incluindo backdoors e roubo de credencial. Scanners como Snyk e o Sage da Gen Digital estão integrados ao skills.sh. A maioria das pessoas clica install e fecha o aviso.

Agora cole isso no contexto Android: agentes orquestrando builds que vão pra dentro de apps com acesso a câmera, contatos, microfone, localização, arquivos. Uma skill comprometida que injeta uma linha em um Gradle file, ou que pede pro agente “também colar este snippet aparentemente inofensivo no AndroidManifest”, e a história fica interessante.

O que dá pra fazer hoje, sem paranoia, mas sem ingenuidade:

Antes de skills add, abra o repositório de origem. Skill oficial do Android mora em github.com/android/skills. Qualquer outra coisa exige o mesmo cuidado que você (espero) tem com um pacote npm desconhecido.

Leia o SKILL.md. É Markdown puro, dá pra ler em três minutos. Veja o que o description promete e o que o body realmente instrui o agente a fazer.

Se a skill tiver um diretório scripts/, leia os scripts. O agente pode executá-los.

Prefira instalar skill por skill (--skill) em vez de --all, pelo menos até você ter mapeado o que cada uma faz no seu projeto.

Considere isolar agentes em containers ou sandboxes quando for testar skills novas, especialmente as comunitárias.

CLI bom, skills boas, padrão aberto, ótimo. Só não trate skills add como apt install de algo que veio do repositório oficial da distro. Trate como copiar e colar instruções de um stranger na internet direto no seu agente, porque é literalmente isso.

A parte irônica: a gente passou anos ensinando dev a não dar chmod +x em script aleatório.

Agora o script é em inglês, vem com YAML bonitinho e a gente instala três de uma vez.