Werkbank-Radar Oktober 2026 — UI/UX- & Agentic-Coding-Tools

Kurzfassung in fünf Befunden

1Design wird zur Datei im Repo

Google hat DESIGN.md als Spezifikation veröffentlicht: YAML-Tokens plus Markdown-Begründung, dazu eine CLI (lint, diff, export nach Tailwind und DTCG, spec); Status alpha. Pencil legt Designs als .pen-JSON ins Repo, Paper rechnet mit einem HTML/CSS-Canvas, und Figma lässt Agenten seit dem 24.03.2026 per use_figma aufs Canvas schreiben. Wer eine eigene DESIGN.md pflegt, macht sein Design-System für jeden Agenten lesbar.
2Geschmack wird messbar

Gegen den KI-Einheitslook helfen 2026 weniger Prompts als Regeln: Impeccable bringt 61 deterministische Detektor-Regeln, die offline per npx impeccable detect laufen; ux-ui-agent-skills misst rund 44 Gates, 31 davon in einem echten Browser; taste-skill gibt drei Regler von 1 bis 10 (Variance, Motion, Density).
3Agenten bekommen Augen

Chrome DevTools MCP, Playwright MCP und agent-browser schließen die Schleife erzeugen → rendern → inspizieren → korrigieren. Zwei Stolpersteine aus den READMEs: DevTools MCP sendet standardmäßig Nutzungsstatistik, und die Beispielkonfiguration zieht @latest. Für den Dauereinsatz Version pinnen und Telemetrie abschalten.
4Bei Workflow- und Token-Tools sind die Zahlen riesig, die Belege dünn

Superpowers 293k★, ECC 270k★, hermes-agent 250k★ — doch die Token-Versprechen relativieren sich in den eigenen READMEs: caveman nennt für den Skill allein −8,5 % Output-Tokens (JetBrains-Labortest, 86 Aufgaben; die „65 %“ der Schlagzeile stammen aus einer anderen Messung), rtk spricht von „bis zu 90 %“ der Bash-Ausgabe und betont, dass das keine Rechnungsersparnis in gleicher Höhe ist. Messen auf dem eigenen Repo statt glauben.
5Die Werkzeugkiste ist Angriffsfläche

FakeGit: rund 7.600 Schad-Repos, über 800 davon als Skills oder MCP-Server getarnt — Claude Code, Gemini und ChatGPT haben sie in Tests selbst empfohlen („AgentBaiting“). ClawHavoc: 1.184 schädliche Skills auf ClawHub. ICSE'26: sechs Millionen verdächtige Fake-Sterne. Folge: Quellen prüfen, Versionen pinnen, Hooks lesen, unbeaufsichtigte Läufe in eine Sandbox.

Kurzempfehlung: Impeccable + eigene DESIGN.md (mit lint) + Chrome DevTools MCP + genau ein Workflow-Rahmen + Sandbox. Details im Starter-Kit.

Wie schnell sich das Feld verdichtet hat

Repo-Anlage laut GitHub-API, Produktdaten laut Primärquelle; (S) = Sekundärquelle. Die Sterne beziehen sich auf den 2026-10-01.

21.08.2025
GitHub Spec Kit wird angelegt — heute 139,6k★.
22.09.2025
anthropics/skills wird angelegt — heute 179,2k★ und 19 Skill-Verzeichnisse (u. a. frontend-design, canvas-design, theme-factory).
09.10.2025
obra/superpowers wird angelegt — heute 293,5k★.
16.11.2025
Impeccable wird angelegt — heute 73,0k★, 24 Befehle, 61 Detektor-Regeln.
März 2026
shadcn CLI v4: offizielle Skills, Presets, shadcn info und docs für Agenten.
18.03.2026 (S)
Google-Stitch-Update: DESIGN.md und MCP-Server als Brücke zu Coding-Agenten.
24.03.2026
Figma öffnet das Canvas für Agenten: use_figma, Beta, vorerst kostenlos.
31.03.2026
awesome-design-md wird angelegt — 119,0k★ in sechs Monaten.
10.04.2026
Das Repo google-labs-code/design.md (Format-Spezifikation) wird angelegt — 28,2k★, Status alpha.
17.04.2026
Claude Design (Anthropic Labs) startet als Research Preview, zum Start mit Opus 4.7.
28.04.2026
Open Design, die offene Gegenfigur zu Claude Design, wird angelegt — 98,9k★ in gut fünf Monaten.
Juni 2026 (S)
Angular v22 mit MCP-Server, Agent Skills und experimentellem WebMCP.
12.06.2026
ponytail wird angelegt — 149,2k★ in 3,6 Monaten.
13.08.2026
Der MZP-Radar vom August führt transitions.dev noch mit 844★ und zwölf Patterns; heute 4,5k★ und 43+ Transitions.

Das Radar: 60 Fundstücke, filter- und sortierbar

Spaltenköpfe sortieren, das Suchfeld filtert über alle Spalten (auch die Kurzbeschreibung). Sterne und Alter gibt es nur für GitHub-Repos beziehungsweise Produkte mit bekanntem Startdatum. Auf kleinen Bildschirmen die Tabelle seitlich wischen.

Übernehmenbelastbar: klare Herkunft, aktiv, nachvollziehbare Funktion

Ausprobierenvielversprechend, aber Reife, Kosten oder Passung offen

Beobachteninteressant, aber jung, unbelegt oder nicht passend

Vorsichtnur mit Review: Pflegestatus unklar oder riesige Angriffs-/Komplexitätsfläche

Prüfung: geprüft = README/Doku/Primärseite gelesen · teilweise = nur Teile · Sekundär = Berichte und Suchtreffer · nur API = Sterne und Beschreibung · Band 3 = dort bewertet

Radar mit 60 Fundstücken: Tool, Kategorie, Sterne, Alter in Monaten, Lizenz, Prüfstand und Urteil
Tool	Kategorie	★	Alter (Mon.)	Lizenz	Prüfung	Urteil
Claude DesignPrototypen, Wireframes, Decks im Gespräch; Handoff-Bundle für Claude Code; Research Preview	Design-Agent	–	5.5	proprietär	geprüft	Ausprobieren
Google StitchKI-Designcanvas („Vibe Design“) mit MCP-Server und DESIGN.md-Export/-Import (Update 18.03.2026)	Design-Agent	–	–	proprietär	Sekundär	Ausprobieren
Figma MCP · use_figmaAgenten schreiben direkt aufs Canvas; Skills als Markdown; Beta kostenlos; noch ohne Bilder/Custom Fonts	Design-Agent	–	6.3	proprietär	geprüft	Ausprobieren
Pencil.pen = JSON im Repo; Extension für VS Code/Cursor; Anbindung per MCP, WebMCP oder CLI	Design-Agent	–	–	proprietär	geprüft	Beobachten
PaperHTML/CSS-natives Canvas mit MCP-Server (laut Review 24 Tools); Web und Desktop	Design-Agent	–	–	proprietär	Sekundär	Beobachten
Open DesignLokale Claude-Design-Alternative: 27 Agent-Runtimes, 151 Design-Systeme, Export HTML/PDF/PPTX/MP4	Design-Agent	98938	5.1	Apache-2.0	geprüft	Ausprobieren
OnlookVisueller Editor über echtem Next.js-/Tailwind-Code; Early Access	Design-Agent	26842	27.2	Apache-2.0	geprüft	Beobachten
PenpotOpen-Source-Designplattform, self-hostbar, MCP-Experimente (in Band 3 bewertet)	Design-Agent	60550	129.1	MPL-2.0	Band 3	Ausprobieren
SuperdesignUrsprüngliche IDE-Extension nicht mehr gepflegt; aktiv nur noch Web-App und Chrome-Extension	Design-Agent	7029	15.4	–	geprüft	Vorsicht
DESIGN.md-Spezifikation (Google)YAML-Tokens + Markdown-Begründung; CLI lint/diff/export/spec; Status alpha	Design-Spec	28193	5.7	Apache-2.0	geprüft	Übernehmen
awesome-design-md73 Marken-DESIGN.md aus öffentlichem CSS; Marken- und Rechtehinweis beachten	Design-Spec	118977	6.0	MIT	geprüft	Ausprobieren
designlang (design-extract)URL → DTCG-Tokens, Tailwind-Config, Figma-Variablen, shadcn-Theme; MCP-Server; Drift-Check	Design-Spec	4151	5.6	MIT	geprüft	Ausprobieren
stitch-skillsSkills für den Stitch-MCP, u. a. extract-design-md, react-components, stitch-loop	Design-Skill	8408	8.5	Apache-2.0	geprüft	Ausprobieren
Impeccable24 Befehle, 61 deterministische Detektor-Regeln, Live-Variantenmodus; Detektor läuft offline ohne KI	Design-Skill	73031	10.5	Apache-2.0	geprüft	Übernehmen
UI/UX Pro MaxDesign-Datenbank: 79 Stile, 192 Paletten, 74 Font-Pairings, 22 Stacks (u. a. Angular); braucht Python	Design-Skill	132032	10.0	MIT	geprüft	Ausprobieren
taste-skill13 Skills, drei Regler (Variance, Motion, Density) gegen generische KI-Optik	Design-Skill	91557	7.4	MIT	geprüft	Ausprobieren
ux-ui-agent-skillsRund 44 objektive Gates (31 im echten Browser), DTCG-Tokens, WCAG 2.2; Gates mit Fixtures getestet	Design-Skill	1501	6.5	MIT	geprüft	Ausprobieren
transitions.dev43+ CSS-Transitions als Skill und CLI; Pro-Teil hinter Login; Weitergabe als konkurrierende Bibliothek untersagt	Motion	4466	5.4	eigene Lizenz	geprüft	Ausprobieren
diagram-design40+ Diagrammtypen als eigenständiges HTML+SVG; Import von draw.io, Mermaid, Excalidraw; ohne Build	Design-Skill	42886	5.5	MIT	geprüft	Ausprobieren
anthropics/skillsOffizielles Skills-Repo; u. a. frontend-design, canvas-design, theme-factory, webapp-testing (nur Verzeichnisliste gelesen)	Design-Skill	179193	12.3	–	teilweise	Ausprobieren
anti-slopRegeln gegen generische KI-Oberflächen, -Texte und -Code	Design-Skill	4177	1.8	–	nur API	Beobachten
scroll-craftSkill für immersive, scrollgetriebene Websites	Motion	2880	1.3	–	nur API	Beobachten
genjutsuCreative-Coding-Skills; Interaktions-These wird vor dem Code zur Freigabe vorgelegt	Motion	390	6.1	–	nur API	Beobachten
auteurSkill inszeniert eine Website wie einen Film; ausführbarer Anti-Slop-Linter als Gate	Design-Skill	1035	2.7	–	nur API	Beobachten
designer-skillsSkills von UX-Research bis Delivery	Design-Skill	2810	6.8	–	nur API	Beobachten
accessibility-agents11 Spezial-Agenten für WCAG 2.2 AA	Design-Skill	419	7.3	–	nur API	Beobachten
thinking-orbsPunktierte Denk-Orbs als Ladeanzeige für KI-Oberflächen (9 Typen)	Motion	3393	2.4	–	nur API	Beobachten
video-shotcraftRemotion-Skill für Produktvideos (152 Shot-Rezepte)	Motion	10048	2.4	–	nur API	Beobachten
pascalorg/editor3D-Architektur-Editor mit CLI und MCP-Tools für Mensch und KI	Design-Agent	24405	11.5	–	nur API	Beobachten
design-dnaReferenz-UI → quantifizierte Design-DNA (JSON) → passende UI	Design-Spec	1866	6.3	–	nur API	Beobachten
hueSkill lernt eine Marke und baut daraus ein Design-System	Design-Spec	835	5.7	–	nur API	Beobachten
Chrome DevTools MCPTraces, Konsole mit Source-Maps, Netzwerk, Screenshots; Usage-Statistik standardmäßig an	Sehen	52816	12.6	Apache-2.0	geprüft	Übernehmen
Playwright MCPSeitenstand über den Accessibility-Tree statt Pixel; token-sparsam (laut Berichten)	Sehen	37722	18.4	–	Sekundär	Übernehmen
agent-browserRust-CLI; Accessibility-Snapshots mit @e1-Refs, Delta-Snapshots, --allowed-domains	Sehen	43414	8.6	Apache-2.0	geprüft	Ausprobieren
Docker SandboxesMicroVM je Agent, Netzwerk-Allow/Deny; macOS/Windows, Linux angekündigt	Absichern	–	–	proprietär	geprüft	Übernehmen
SuperpowersSieben-Stufen-Methodik von Brainstorming bis Review; Workflows verbindlich; optionale Telemetrie	Workflow	293473	11.7	MIT	geprüft	Ausprobieren
agent-skills (Addy Osmani)25 Skills entlang Define → Ship, 9 Slash-Commands, Anti-Rationalisierungs-Tabellen	Workflow	100158	7.5	MIT	geprüft	Ausprobieren
GitHub Spec KitSpec → Plan → Tasks → Implement als Markdown (in Band 3 bewertet)	Workflow	139605	13.3	MIT	Band 3	Ausprobieren
OpenSpecDelta-Tracking je Änderung; stark für Bestandscode	Workflow	70806	13.9	MIT	Sekundär	Ausprobieren
BMAD-METHODRollenbasierte Multi-Agenten-Workflows (PO, Architekt, Dev, Reviewer)	Workflow	53677	17.6	–	Sekundär	Beobachten
planning-with-filesDateibasierte Pläne gegen Context Rot, Wiederaufnahme nach /clear	Workflow	27209	8.9	–	nur API	Beobachten
ponytailYAGNI-Entscheidungsleiter vor jedem Code; Eigenmessung: 12 Aufgaben, ein Modell	Workflow	149193	3.6	MIT	geprüft	Ausprobieren
OrcaEin Prompt an fünf Agenten in eigenen Git-Worktrees; Desktop und Mobile; Design Mode	Orchestrierung	82376	6.5	MIT	geprüft	Ausprobieren
cc-switchDesktop-Verwaltung für Provider, MCP und Skills über viele Coding-Agenten; Keys lokal	Orchestrierung	139145	13.9	MIT	geprüft	Ausprobieren
hermes-agentAllzweck-Agent mit selbst erzeugten Skills, Gedächtnis und Messaging-Gateways	Orchestrierung	250355	14.3	MIT	geprüft	Beobachten
ECC68 Agents, 293 Skills, 94 Commands, Hooks, selbstlernende „Instincts“: riesige Review-Fläche	Orchestrierung	270217	8.4	MIT	geprüft	Vorsicht
oh-my-claudecodeTeams-first Multi-Agenten-Orchestrierung für Claude Code	Orchestrierung	39494	8.7	–	nur API	Beobachten
graphifyCode → Wissensgraph, lokal per tree-sitter (37 Grammatiken, kein LLM); Benchmarks messen Gedächtnis-QA	Kontext/Token	122817	5.9	Apache-2.0/MIT	geprüft	Ausprobieren
rtkCLI-Proxy komprimiert Shell-Ausgaben per Hook (bis 90 % der Bash-Ausgabe); Fehler per rtk recall	Kontext/Token	82119	8.3	Apache-2.0	geprüft	Ausprobieren
cavemanSkill + Proxy; Schlagzeile −65 % relativiert sich im README selbst (Skill allein −8,5 % Output)	Kontext/Token	108592	5.9	Apache-2.0	geprüft	Beobachten
claude-memPersistenter Kontext über Sessions (Herstellerangabe)	Kontext/Token	95028	13.0	–	nur API	Beobachten
context-modeTool-Ausgaben sandboxen, Session-Gedächtnis (Herstellerangabe: −98 %)	Kontext/Token	24493	7.2	–	nur API	Beobachten
Understand-AnythingCode → interaktiver Wissensgraph zum Erkunden	Kontext/Token	84863	6.6	–	nur API	Beobachten
axiDesign-Prinzipien für Agent-Ergonomie (laut Repo besser als MCP und CLI bei weniger Tokens)	Kontext/Token	2177	6.4	–	nur API	Beobachten
MCP (Spec + Server)Offener Standard für Agent-Tools; mit AGENTS.md und goose bei der Agentic AI Foundation	Standard	90817	22.4	–	Sekundär	Übernehmen
AGENTS.mdHerstellerübergreifende Projektanweisungen für Coding-Agenten	Standard	24711	13.4	–	Sekundär	Übernehmen
skills-CLI / skills.sh (Vercel)npx skills add <owner/repo>; Verzeichnis und Ranking; Dutzende Agenten	Standard	–	–	–	Sekundär	Ausprobieren
Vaadin MCP + Agent MarketplaceOffizieller MCP-Server (Doku, Komponenten-APIs Java/React) und Claude-Code-Plugin	Stack	–	–	–	Sekundär	Übernehmen
Angular CLI MCPnpx -y @angular/cli mcp; Best Practices, Doku-Suche, run_target; --read-only	Stack	–	–	–	geprüft	Übernehmen
shadcn/skills + CLI v4Skills, Presets, shadcn info/docs, --dry-run/--diff; Radix oder Base UI	Stack	–	–	–	geprüft	Übernehmen

Die wichtigsten Fundstücke im Detail

Je Karte: was es ist, warum es cool ist, wo der Haken liegt, wie der Start aussieht. „Geprüft“ heißt: README oder Primärseite gelesen. Zahlen mit dem Vermerk „README-Angabe“ sind Herstellerangaben und nicht nachgemessen.

Design-Agent · Anthropic LabsAusprobieren

Claude Design

anthropic.com/news/claude-design-anthropic-labs · seit 17.04.2026 · Research Preview · Primärquelle gelesen

Zusammenarbeit mit Claude an Prototypen, Wireframes, Pitch-Decks und Marketing-Material; verfeinert wird per Chat, Inline-Kommentar, direktem Edit und Slidern.

Warum cool: Beim Onboarding liest Claude Codebase und Design-Dateien und baut ein Team-Design-System, das jedes spätere Projekt automatisch nutzt. Fertige Entwürfe gehen als Handoff-Bundle mit einer Anweisung an Claude Code; Export als PDF, PPTX, HTML, Canva oder interne URL.
Haken: Research Preview für Pro, Max, Team und Enterprise, zählt auf die Abo-Limits; geschlossen und an Anthropic-Modelle gebunden. Was genau im Handoff-Bundle steckt, nennt die Seite nicht.
Offene Alternativen: Open Design (lokal, Apache-2.0) und baoyu-design (läuft als Agent-Skill, 4,2k★, nur API-Metadaten gelesen).

Design-Spec · GoogleÜbernehmen

DESIGN.md — die Spezifikation (und Stitch)

google-labs-code/design.md · 28,2k★ · Apache-2.0 · alpha · README gelesen

Eine Format-Spezifikation, die ein visuelles Erscheinungsbild für Coding-Agenten beschreibt: YAML-Front-Matter mit Tokens (Farben als hex, rgb() oder oklch(), Dimensionen, Typografie, Rundungen, Abstände, Komponenten, Referenzen wie {pfad.zum.token}) plus Markdown-Abschnitte in fester Reihenfolge: Overview, Colors, Typography, Layout, Elevation & Depth, Shapes, Components, Do's and Don'ts.

Warum cool: Die CLI ist schon da — lint (11 Regeln, JSON-Befunde), diff (Token-Regressionen), export (Tailwind v3/v4, W3C DTCG) und spec (die Spezifikation als Agenten-Prompt). Google Stitch tauscht das Format aus; stitch-skills (8,4k★, Apache-2.0) liefert Skills für den Stitch-MCP, u. a. extract-design-md, react-components, stitch-loop.
Haken: Alpha, das Format kann sich ändern. awesome-design-md nutzt neun Abschnitte (mit „Agent Prompt Guide“), die Google-Spec acht: verwandt, aber nicht identisch. Das Stitch-Update vom 18.03.2026 kenne ich nur aus Sekundärquellen.
Start: npx @google/design.md lint DESIGN.md

Design-Agent · FigmaAusprobieren

Figma: Canvas offen für Agenten

figma.com/blog/the-figma-canvas-is-now-open-to-agents · 24.03.2026 · Primärquelle gelesen

Agenten schreiben direkt in Figma-Dateien: Das MCP-Tool use_figma erzeugt und ändert Frames und Komponenten mit den bestehenden Komponenten und Variablen; generate_figma_design übersetzt HTML laufender Apps in editierbare Layer.

Warum cool: „Skills“ sind Markdown-Dateien, die Teamregeln fürs Bauen auf dem Canvas festhalten — Markenregeln werden reproduzierbar. Unterstützt laut Seite u. a. Claude Code, Codex, Copilot CLI, Cursor, Factory, Warp.
Haken: Beta, vorerst kostenlos, später nutzungsbasiert bezahlt; laut Seite noch ohne Bild-Support und Custom Fonts.

Design-Agent · Canvas im Dev-ToolBeobachten

Pencil und Paper

pen.dev · paper.design · Websites gelesen, Details aus Reviews (Sekundärquelle)

Zwei Newcomer, die Design dorthin holen, wo der Code liegt. Pencil: Canvas in VS Code und Cursor, Dateien als .pen = JSON mit offenem Schema im Repo, Anbindung per MCP, WebMCP oder CLI; gebaut von High Agency Inc. Paper: ein Canvas, das selbst HTML/CSS ist („Design exportiert als Code“), mit MCP-Server — laut Review 24 Tools zum Lesen und Schreiben, u. a. get_jsx und write_html.

Haken: Beide proprietär und jung; Preise stehen nicht auf den Startseiten. Berichte über Pencils „Swarm-Modus“ (bis zu sechs parallele Design-Agenten) konnte ich auf pen.dev nicht bestätigen.

Design-Agent · Open SourceAusprobieren

Open Design

nexu-io/open-design · 98,9k★ · Apache-2.0 · README gelesen

Lokale, offene Alternative zu Claude Design: Dein Coding-Agent wird zur Design-Engine (27 Runtimes, u. a. Claude Code, Codex, Cursor, Copilot, OpenCode), BYOK für jeden OpenAI-kompatiblen Endpunkt.

Warum cool: 151 mitgelieferte Design-System-Pakete, 100+ Skills, Decks (15 Templates × 36 Themes), Export als HTML, PDF, PPTX, ZIP, Markdown und MP4; od mcp install <agent> richtet MCP in 16+ Agenten ein.
Haken: Desktop-App nur für macOS und Windows (Linux offen); gut 1.100 offene Issues und PRs laut API; punktuelles Bearbeiten im Kommentarmodus ist laut README noch nicht zuverlässig.

Design-Agent · Visueller Code-EditorBeobachten

Onlook

onlook-dev/onlook · 26,8k★ · Apache-2.0 · README gelesen

Visueller Editor über echtem Next.js-/React-Code mit Tailwind: Änderungen im Live-Preview schreiben sich in den Quelltext zurück; dazu AI-Chat und MCP-Anbindung.

Haken: Nur Next.js und Tailwind; die gehostete Version ist Early Access mit Warteliste. Für Vaadin oder Angular passt es nicht.

Design-Agent · Kurz notiertAusprobieren Vorsicht

Penpot · Superdesign

penpot/penpot 60,6k★ · superdesigndev/superdesign 7,0k★

Penpot (Ausprobieren): Open-Source-Designplattform, self-hostbar, MCP-Experimente; MPL-2.0 laut Band 3, dort bereits aus MZP-Sicht bewertet.
Superdesign (Vorsicht): Die ursprüngliche IDE-Extension (Cursor, Windsurf, Claude Code, VS Code) wird laut README nicht mehr gepflegt; aktiv ist nur noch die Web-App samt Chrome-Extension. Alte Anleitungen führen ins Leere.

Design-Skill · Anti-SlopÜbernehmen

Impeccable

pbakaus/impeccable · 73,0k★ · Apache-2.0 · README gelesen

Die Repo-Beschreibung (sinngemäß): „die Designsprache, die den KI-Harness besser im Design macht“. Ein Skill mit 24 Befehlen (u. a. craft, critique, audit, polish, bolder, quieter, typeset, layout, animate, harden, live) und 61 deterministischen Detektor-Regeln gegen typische KI-Frontends.

Warum cool: npx impeccable detect scannt ohne KI und offline; ein Hook prüft Edits automatisch; /impeccable init legt eine PRODUCT.md als Projektkontext an; der Live-Modus iteriert Varianten im Browser. Läuft in 17 Harnesses (u. a. Claude Code, Cursor, Copilot, Gemini CLI, Codex, OpenCode, Kiro, Antigravity).
Haken: Live-Modus nur gegen lokale Dev-Server, nicht gegen Produktionsseiten. Meinungsstark: Berichte nennen Regeln wie „kein Inter als Default“ oder „keine Karten in Karten“ — das ist Geschmack, kein Gesetz.
Start: npx impeccable install

Design-Skill · WissensbasisAusprobieren

UI/UX Pro Max

nextlevelbuilder/ui-ux-pro-max-skill · 132,0k★ · MIT · README gelesen

Durchsuchbare Design-Datenbank plus Regel-Engine: 79 UI-Stile (50 aktiv), 192 Branchen-Paletten, 74 Font-Pairings, 25 Chart-Typen, 119 UX-Richtlinien und Empfehlungen für 22 Stacks (u. a. React, Next.js, Vue, Angular, Flutter, SwiftUI).

Warum cool: Ein Design-System-Generator gleicht Produkttyp gegen Stil, Palette, Typografie und Landing-Muster ab (BM25-Ranking) und liefert Anti-Patterns und eine Pre-Delivery-Checkliste.
Haken: Alle Zahlen sind README-Angaben; die Suchskripte brauchen Python 3; lange Felder werden bei 300 Zeichen gekürzt.
Start: npm install -g ui-ux-pro-max-cli, dann uipro init --ai claude

Design-Skill · ReglerAusprobieren

taste-skill

Leonxlnx/taste-skill · 91,6k★ · MIT · README gelesen

13 portable SKILL.md-Dateien gegen generische KI-Optik. Drei Regler von 1 bis 10: DESIGN_VARIANCE (zentriert und clean → asymmetrisch), MOTION_INTENSITY (Hover → Scroll und magnetisch), VISUAL_DENSITY (luftig → Dashboard-dicht).

Warum cool: Pre-Flight-Checks, kanonische GSAP-Muster, Redesign-Audit; Varianten für Minimalismus, Brutalismus, GPT/Codex und Bildgenerierung.
Haken: v2 ist laut README experimentell. Das Repo stellt ausdrücklich klar, dass es keinen offiziellen Krypto-Token gibt — bei viralen Repos auf Fake-Tokens und Klone achten.
Start: npx skills add https://github.com/Leonxlnx/taste-skill

Design-Skill · GatesAusprobieren

ux-ui-agent-skills

plugin87/ux-ui-agent-skills · 1,5k★ · MIT · README gelesen

Ein Kit, bei dem Qualität nicht behauptet, sondern gemessen wird: rund 44 objektive Gates. 31 rendern in einem echten Browser (WCAG-Kontrast hell und dunkel, Fokus, Tastatur, Zielgröße 24×24 px, reduced motion, RTL, 280–414 px, axe-core), 13 prüfen Dateien (Token-JSON, keine hartkodierten Werte).

Warum cool: DTCG-Tokens in drei Ebenen (Primitive → Semantic → Component), 50 Komponenten, 138 Referenz-Design-Systeme. Die Gates sind selbst gegen kaputte Fixtures getestet (npm run test:gates), CI-Anbindung vorhanden.
Haken: Klein (1,5k★). Framework-Quelltext (.tsx, .vue, .swift) wird nur dateibasiert geprüft; das Rendern von Framework-Komponenten durch die Browser-Gates ist laut README unfertig. Die Repo-Beschreibung nennt 43 Gates, das README 44.
Start: npx claude plugin marketplace add plugin87/ux-ui-agent-skills

Design-Spec · SammlungAusprobieren

awesome-design-md

VoltAgent/awesome-design-md · 119,0k★ · MIT · README gelesen

73 DESIGN.md-Dateien bekannter Marken, u. a. Claude, Cursor, Vercel, Linear, Notion, Figma, Spotify, Apple, Tesla. Neun Abschnitte je Marke (Atmosphäre, Farben, Typografie, Komponenten, Layout, Tiefe, Do's und Don'ts, Responsive, Agent-Prompt-Guide) plus HTML-Vorschau.

Warum cool: Eine Datei ins Projekt, und der Agent baut passend — ein schneller Weg, das DESIGN.md-Prinzip zu begreifen.
Haken: Aus öffentlich sichtbarem CSS extrahiert; das Repo beansprucht keine Rechte an fremden Marken-Identitäten. Als Vorlage und Inspiration nutzen, nicht als fremde Marke ausliefern.

Design-Spec · ExtraktorAusprobieren

designlang (design-extract)

Manavarya09/design-extract · 4,2k★ · MIT · README gelesen

npx designlang <url> liest das DOM einer Live-Seite und erzeugt über 17 Dateien: W3C-DTCG-Tokens (primitive, semantic, composite), Tailwind-Config, Figma-Variablen (hell und dunkel), shadcn-Theme, CSS-Variablen, Motion-Tokens, typisierte React-Stubs und eine Designsprache in 19 Abschnitten als Markdown.

Warum cool: Mehrseiten-Crawl, WCAG-Kontrastbewertung aller Farbpaare, Hover- und Fokus-Zustände, vier Breakpoints; MCP-Server (designlang mcp) mit extract_design, get_tokens, compute_drift, export.
Haken: Braucht Node 20+ und Chromium (Playwright). Fremde Designs zu extrahieren berührt Nutzungsbedingungen und Markenrecht — das README enthält dazu keinen Hinweis.

Motion · Skill + CLIAusprobieren

transitions.dev

Jakubantalik/transitions.dev · 4,5k★ · eigene Lizenz · README gelesen

43+ sorgfältig gebaute UI-Transitions in CSS (Card Resize, Number Pop-in, Modal, Dropdown, Success-Check, Error-Shake …) als CLI (npx transitions-dev add card-resize) und als Agent-Skill.

Warum cool: Der Skill ordnet Muster der Absicht zu („Karte klappt auf“, „Validierungsfehler“); das Begleit-Tool „Refine“ stellt Timelines live per Agent ein. Wachstum: Der MZP-Radar vom August führte noch zwölf Patterns und 844★.
Haken: Nicht rein Open Source: freie Nutzung in privaten und kommerziellen Projekten, aber Weitergabe als konkurrierende Bibliothek untersagt; Pro-Transitions hinter Login; nur das Tooling steht unter MIT.

Diagramme · SkillAusprobieren

diagram-design

cathrynlavery/diagram-design · 42,9k★ · MIT · README gelesen

Redaktionelle Diagramme als eigenständiges HTML+SVG: 40+ Typen (Architektur, Sequenz, Gantt, Sankey, Wardley Map, ER, Swimlane …), je in minimal hell, minimal dunkel und voll editorial; ohne Build, offline lauffähig; Import von draw.io, Mermaid und Excalidraw.

Warum cool: Strenge Regeln gegen den „KI-Look“: eine Akzentfarbe, ein bis zwei Fokuselemente, 1-px-Haarlinien, alle Koordinaten durch 4 teilbar; Marken-Onboarding in rund 60 Sekunden.
Haken: Nicht für Einzelelemente oder Inhalte, die ein Absatz besser erklärt (README). Ein Skill gleichen Namens wird laut Band 3 im MZP-Repo bereits vendort.

Basis · Offizielles RepoAusprobieren

anthropics/skills

anthropics/skills · 179,2k★ · nur Verzeichnisliste gelesen

Das offizielle Skills-Repo mit 19 Verzeichnissen. Für UI/UX relevant: frontend-design, canvas-design, theme-factory, web-artifacts-builder, webapp-testing, brand-guidelines, algorithmic-art.

Warum cool: Neutraler Ausgangspunkt, bevor man Drittanbieter-Skills installiert.
Haken: Gelesen habe ich nur die Verzeichnisnamen, nicht die SKILL.md-Inhalte.

Kleine Juwelen (nur API-Metadaten gelesen)

Weitere Design-Skills und UI-Werkzeuge mit Sternen und Kurzbeschreibung
Projekt	★	Was die Maintainer beschreiben
thinking-orbs	3,4k	Punktierte Denk-Orbs als Ladeanzeige für KI- und Agent-Oberflächen, 9 Typen, automatisch hell/dunkel
scroll-craft	2,9k	Skill für immersive, scrollgetriebene Websites
genjutsu	0,4k	Creative-Coding-Skills (GSAP, Motion, Three.js, Compose, SwiftUI); schlägt erst eine Interaktions-These vor, die man freigibt
auteur	1,0k	Skill inszeniert eine Website wie einen Film; ein ausführbarer Anti-Slop-Linter gated jeden Ship
anti-slop	4,2k	Regeln, die generische KI-Oberflächen, -Texte und -Code herausfiltern
designer-skills	2,8k	Agentische Skills und Commands für Design, von Research über Systeme und UI bis Delivery
accessibility-agents	0,4k	Elf Spezialisten, die WCAG 2.2 AA durchsetzen, damit KI-Tools keinen unzugänglichen Code erzeugen
video-shotcraft	10,0k	Remotion-Skill für Produktvideos mit 152 Shot-Rezepten
pascalorg/editor	24,4k	Offener 3D-Architektur-Editor mit lokaler CLI und MCP-Tools für Menschen und KI-Agenten
design-dna · hue	1,9k · 0,8k	Referenz-UI oder Marke → quantifizierte Design-DNA bzw. komplettes Design-System, danach passende UI

Sehen · Chrome DevToolsÜbernehmen

Chrome DevTools MCP

ChromeDevTools/chrome-devtools-mcp · 52,8k★ · Apache-2.0 · README gelesen

Chrome DevTools für Coding-Agenten: Input-Automation und Navigation (Puppeteer), Konsole mit Source-Map-Stacktraces, Netzwerk, Screenshots, Performance-Traces mit Auswertung und Emulation.

Warum cool: Schließt die Render-Schleife: Komponente bauen → localhost öffnen → DOM, Konsole und Netzwerk prüfen → Screenshot → korrigieren; Performance-Insights inklusive.
Haken: Nutzungsstatistik und Update-Check sind standardmäßig an (--no-usage-statistics, CHROME_DEVTOOLS_MCP_NO_UPDATE_CHECKS); Performance-Tools können Googles CrUX-API abfragen; offiziell unterstützt sind nur Chrome und Chrome for Testing. Die Beispielkonfiguration nutzt @latest — pinnen. Der Agent sieht alles, was im Browser steht.
Start: npx -y chrome-devtools-mcp@<version-pinnen>

Sehen · Browser-SteuerungÜbernehmen Ausprobieren

Playwright MCP · agent-browser

microsoft/playwright-mcp 37,7k★ (Sekundärquelle) · vercel-labs/agent-browser 43,4k★ · Apache-2.0 · README gelesen

Playwright MCP steuert den Browser laut Berichten über den Accessibility-Tree statt über Pixel — ein strukturierter, token-sparsamer Seitenstand. agent-browser ist eine Rust-CLI: Snapshots mit nummerierten Refs (@e1, @e2), Aktionen wie click @e2 oder fill @e3 "text", dazu Screenshots mit eingeblendeten Ref-Labels für multimodales Denken.

Warum cool: Delta-Snapshots (nur Änderungen), --if-changed für Screenshots und kompakte Modi (-i, -c) sparen Tokens; --allowed-domains begrenzt, wohin der Agent surfen darf.
Haken: Refs brauchen nach einer Navigation einen frischen Snapshot; die WebMCP-Erkennung klappt nur auf lokal gestartetem Chrome. Vergleichsartikel beschreiben agent-browser teils als pixelbasiert — laut README ist der Standard der Accessibility-Snapshot, Screenshots sind ergänzend. Der MZP-Radar vom August hatte es bereits als Empfehlung.
Start: npm install -g agent-browser, dann agent-browser install

Absichern · DockerÜbernehmen

Docker Sandboxes

docker.com/blog/docker-sandboxes-… · Primärquelle gelesen

Jeder Agent läuft in einer eigenen microVM mit eigenem Kernel; nur der Projekt-Workspace ist eingebunden. Für Netzwerkzugriffe gibt es Allow- und Deny-Listen; Docker läuft in der VM ohne Zugriff auf den Host-Daemon; ein Reset dauert Sekunden. Unterstützt: Claude Code, Copilot CLI, Codex CLI, Gemini CLI, Kiro.

Warum cool: Macht unbeaufsichtigte Läufe ohne ständige Rückfragen vertretbar — die Grenze ist Hypervisor, nicht Prompt.
Haken: Aktuell macOS und Windows; Linux, MCP-Gateway und Port-Freigabe stehen laut Blog noch aus. Wie mit Secrets umgegangen wird, beschreibt die Seite nicht. Berichte nennen als Alternativen Codex' eingebaute Sandbox (Landlock + seccomp), Firecracker und E2B (Sekundärquelle).

Workflow · MethodikAusprobieren

Superpowers

obra/superpowers · 293,5k★ · MIT · README gelesen

Eine komplette Entwicklungsmethodik aus komponierbaren Skills in sieben Stufen: Brainstorming → Git-Worktrees → Plan schreiben → subagent-getriebene Entwicklung → TDD (Rot-Grün-Refactor) → Code-Review → Branch abschließen; dazu Debugging- und Meta-Skills.

Warum cool: Installierbar über den Claude-Code-Marktplatz, Cursor, Codex, Copilot CLI, OpenCode, Gemini, Antigravity u. a.; Leitsätze wie „Evidenz statt Behauptung“ und „systematisch statt ad hoc“.
Haken: Die Workflows sind laut README verbindlich, nicht optional — viel Prozess für kleine Aufgaben. Optionale Telemetrie, abschaltbar per Umgebungsvariable.

Workflow · LifecycleAusprobieren

agent-skills (Addy Osmani)

addyosmani/agent-skills · 100,2k★ · MIT · README gelesen

25 Skills entlang Define → Plan → Build → Verify → Review → Ship, u. a. spec-driven-development, test-driven-development, context-engineering, frontend-ui-engineering, browser-testing-with-devtools, security-and-hardening; dazu neun Slash-Commands.

Warum cool: „Anti-Rationalisierungs-Tabellen“ kontern typische Abkürzungen des Agenten; Verifikation (Tests, Build-Ausgabe, Evidenz) ist Pflicht. frontend-ui-engineering und browser-testing-with-devtools greifen direkt ins UI-Thema.
Haken: Schnell wachsend: Der MZP-Radar vom August führte 80,6k★ und 24 Skills, heute stehen 100,2k★ und 25 Skills im README. Version pinnen.
Start: npx skills add addyosmani/agent-skills

Workflow · SpezifikationenAusprobieren

Spec Kit · OpenSpec · BMAD

github/spec-kit 139,6k★ · Fission-AI/OpenSpec 70,8k★ · bmad-code-org/BMAD-METHOD 53,7k★ · Sekundärquellen und Band 3

Spec Kit: Constitution → Specify → Plan → Tasks → Implement als Markdown, laut Vergleichsartikeln MIT und für rund 30 Agenten; in Band 3 aus MZP-Sicht bewertet.
OpenSpec: Delta-Tracking je Änderung (welche Anforderungen kamen hinzu, wurden geändert oder entfernt); laut Berichten stark für Bestandscode und parallele Änderungen.
BMAD: Rollenbasierte Multi-Agenten-Workflows (Product Owner, Architekt, Entwickler, Reviewer); eher für große Neuentwicklungen.
Haken: Ein Review beschreibt Teams, die in „einem Meer von Markdown-Dokumenten“ ertrinken. Meine Einschätzung: Für bestehende Spring-/Vaadin-Codebasen ist OpenSpecs Delta-Ansatz naheliegender als ein Greenfield-Prozess.

Workflow · RegelnAusprobieren

ponytail

DietrichGebert/ponytail · 149,2k★ · MIT · README gelesen

Eine Entscheidungsleiter vor jedem Code: Muss es existieren? Gibt es das schon im Code, in der Stdlib, nativ, als Dependency? Geht es in einer Zeile? Sonst die minimale Lösung. „Faul bei Lösungen, nie beim Lesen.“

Warum cool: Eine einfache Regeldatei, die in über 20 Agenten läuft (Plugin, Rule-Files oder AGENTS.md).
Haken: Die Zahlen sind eine Eigenmessung: 12 Aufgaben mit Claude Haiku 4.5 → −54 % Zeilen, −22 % Tokens, −20 % Kosten, −27 % Zeit — kleine Stichprobe, ein Modell; der Effekt ist laut README dort am größten, wo Agenten überbauen. Das Repo ist erst 3,6 Monate alt.

Orchestrierung · ADEAusprobieren

Orca

stablyai/orca · 82,4k★ · MIT · README gelesen

Agent Development Environment: „einen Prompt auf fünf Agenten auffächern, jeder in einem eigenen Git-Worktree — Ergebnisse vergleichen, Gewinner mergen“. Läuft mit jedem CLI-Agenten (Claude Code, Codex, Cursor, Copilot, OpenCode …) und dem eigenen Abo.

Warum cool: Mobile Begleit-App (iOS und Android) mit Benachrichtigungen, SSH-Worktrees für Headless-Server, Diff-Annotation für Reviews, GitHub- und Linear-Integration und ein Design Mode, der UI-Elemente in Prompts übernimmt.
Haken: Rund 7.200 offene Issues und PRs laut API; Reife und Sicherheitsmodell der Remote-Funktionen habe ich nicht geprüft.

Orchestrierung · KonfigurationAusprobieren

cc-switch

farion1231/cc-switch · 139,1k★ · MIT · README gelesen

Desktop-App, die Provider, MCP-Server und Skills für Claude Code, Claude Desktop, Codex, Gemini CLI, OpenCode, Hermes u. a. zentral verwaltet: Ein-Klick-Providerwechsel (90+ Presets), Nutzungs- und Kostenübersicht, lokaler Router mit Failover, Session-Suche.

Haken: Hält API-Keys lokal in ~/.cc-switch/; das README warnt vor gefälschten Webseiten — nur über GitHub-Releases beziehungsweise ccswitch.io installieren. Knapp 3.000 offene Issues und PRs laut API.

Harness · Allzweck-AgentBeobachten

hermes-agent

NousResearch/hermes-agent · 250,4k★ · MIT · README gelesen

Agent von Nous Research, „der mit dir wächst“: legt aus komplexen Aufgaben selbst Skills an und verbessert sie, pflegt persistentes Gedächtnis mit Volltextsuche und baut ein Nutzermodell auf; CLI, TUI und Messaging-Gateways (Telegram, Discord, Slack, WhatsApp, Signal, E-Mail).

Haken: Selbst erzeugte Skills und Gedächtnis sind genau die Flächen, die Prompt-Injection ausnutzt — dafür braucht es eine Review-Regel. Die API zeigt rund 47,7k offene Issues und PRs. Eher Allzweck- als reines Coding-Werkzeug; in vielen Design-Skills als unterstütztes Harness gelistet.

Harness · Mega-BundleVorsicht

ECC

affaan-m/ECC · 270,2k★ · MIT · README gelesen

„Agent Harness Performance Optimization System“: 68 Agents, 293 Skills, 94 Commands, Hooks, Regeln und der Scanner AgentShield; „Instincts“ extrahieren Muster aus Sessions automatisch zu Skills; dazu ein portabler Memory-Vault.

Warum Vorsicht: Umfang und selbstlernende Anteile machen die Review-Fläche riesig. Das README selbst rät: nur aus verifizierten Kanälen installieren (Mirrors können Malware enthalten), Installationswege nicht stapeln, Hooks nur mit --enable-hooks; Memory-Einträge gelten als „unreviewed context“. Unter Windows nativ gibt es offene Defekte.
Einordnung: Kein Urteil über die Qualität — nur die Empfehlung, es nicht ungesehen zu installieren.
Start (falls doch): npx ecc-universal@2.2.2 setup — gepinnt, wie im README genannt.

Kontext · WissensgraphAusprobieren

graphify

Graphify-Labs/graphify · 122,8k★ · Apache-2.0/MIT · README gelesen

/graphify . macht aus Code, Doku, PDFs und Bildern einen abfragbaren Wissensgraphen (graph.html, GRAPH_REPORT.md, graph.json). Code wird lokal per tree-sitter geparst (37 Grammatiken, kein LLM, nichts verlässt die Maschine), Subsysteme per Leiden-Clustering; Kanten sind als EXTRACTED oder INFERRED markiert.

Warum cool: Der Agent fragt graphify query, path A B oder explain, statt Dateien zu durchsuchen; # WHY:-Kommentare werden zu Rationale-Knoten.
Haken: Die genannten Benchmarks (LOCOMO recall@10 0,497; LongMemEval-S 76 %) messen Gedächtnis-QA, nicht die Navigation in Code — Herstellerangaben. Semantische Pässe über Doku und PDFs brauchen LLM-Zugang. Der Paketname lautet graphifyy (doppeltes y): genau abtippen, Typosquatting-Risiko.
Start: uv tool install graphifyy, dann graphify install

Token · CLI-ProxyAusprobieren

rtk

rtk-ai/rtk · 82,1k★ · Apache-2.0 · README gelesen

Ein einzelnes Rust-Binary, das Shell-Ausgaben vor dem Agenten filtert, gruppiert, kürzt und dedupliziert (100+ Befehle: git, pytest, Jest, tsc, ESLint, Docker, AWS CLI) — per Hook transparent in 18 Agenten; Overhead unter 10 ms.

Haken: „Bis zu 90 %“ gilt für die Bash-Ausgabe, nicht für die Gesamtrechnung (README). Filter können Fehlerkontext verstecken — das Gegenmittel heißt rtk recall. Die Hooks schreiben Befehle um: Hook-Konfiguration prüfen. Telemetrie ist standardmäßig aus.

Token · Skill + ProxyBeobachten

caveman

JuliusBrussee/caveman · 108,6k★ · Apache-2.0 (ab 3.0.0) · README gelesen

Drei Schichten: ein Skill (der Agent antwortet knapp), ein Proxy (verkleinert, was der Agent liest: Logs, JSON, Diffs, Webseiten) und Middleware für eigene Apps.

Interessant: Das README relativiert die „65 %“-Schlagzeile selbst: Skill allein −8,5 % Output-Tokens (JetBrains-Labortest, 86 Aufgaben, Qualität unverändert), Proxy −33,2 % Input-Tokens im festgelegten Benchmark (Spanne 14,6–48,5 %); bei HTML-Alerts +9,9 % Kosten.
Haken: Nutzerprompts zu komprimieren verschlechtert laut zitierter Adobe-Studie die Antworten — Caveman schreibt deshalb nur die Agenten-Ausgabe um.

Weitere, nur über API-Metadaten gesichtet: claude-mem (95,0k★, persistenter Kontext über Sessions), context-mode (24,5k★, Tool-Ausgaben sandboxen; Herstellerangabe −98 %), Understand-Anything (84,9k★, interaktiver Wissensgraph), axi (2,2k★, Design-Prinzipien für Agent-Ergonomie), planning-with-files (27,2k★, dateibasierte Pläne gegen Context Rot).

Standards, auf die man bauen kann

Standard · Tool-AnbindungÜbernehmen

MCP und die Agentic AI Foundation

modelcontextprotocol/servers 90,8k★ · Spezifikation 9,4k★ · Sekundärquellen

Das Model Context Protocol ist der offene Standard, über den Agenten Tools und Daten anbinden. Die Linux Foundation hat die Agentic AI Foundation (AAIF) als neutrales Dach gegründet — für MCP, Blocks goose und OpenAIs AGENTS.md; Platin-Mitglieder sind laut Berichten u. a. AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft und OpenAI.

Standard · ProjektanweisungenÜbernehmen

AGENTS.md

agentsmd/agents.md · 24,7k★ · Sekundärquellen

Ein einfaches, offenes Format für Projektanweisungen an Coding-Agenten. Viele Werkzeuge lesen es als Rückfallebene (ponytail etwa deckt so jeden Agenten ab, der AGENTS.md liest). Für dieses Repo naheliegend: Die CLAUDE.md ist Claude-spezifisch, eine AGENTS.md wäre die herstellerübergreifende Ergänzung für Build- und Testbefehle.

Standard · Pakete für AgentenAusprobieren

Agent Skills und die skills-CLI

vercel.com/docs/agent-resources/skills · Sekundärquelle

SKILL.md-Ordner sind das portable Paketformat. Vercels skills-CLI (npx skills add <owner/repo>) installiert in Dutzende Agenten, skills.sh ist Verzeichnis und Ranking. Fast alle Funde oben werden so verteilt (taste-skill, agent-skills, caveman, transitions.dev, shadcn …) — und genau deshalb gilt die Sicherheitsregel unten.

Zuschnitt auf Spring Boot · Vaadin · Angular · React

Dieses Repo dokumentiert Spring Boot 4, Vaadin 25 sowie Angular- und React-Demos. Dazu passt Folgendes am besten:

Empfehlungen je Technologie-Stack mit Begründung und Quelle
Stack	Nimm	Warum	Quelle
Vaadin 25	Vaadin MCP-Server und „Agent Marketplace“ (Claude-Code-Plugin)	Offizieller MCP-Server: semantische Suche in der Vaadin-Doku, Komponenten-APIs für Java, React und Web Components, Styling und Theming, Versionsinfos, Entwicklungs-Primer. Das Plugin installiert MCP-Server und Vaadin-Skills in einem Schritt; läuft auch mit Cursor, Copilot, Codex und Windsurf.	vaadin.com/docs — Sekundär: beim Direktabruf 404
Angular	Angular CLI MCP plus offizielle Angular AI Skills	npx -y @angular/cli mcp; Tools u. a. get_best_practices, search_documentation, list_projects, run_target, devserver.start/stop/wait_for_build, onpush_zoneless_migration, ai_tutor; Schalter --read-only und --local-only. Die Skills liefern die Anleitung, der MCP-Server die Aktionen; „WebMCP“ ist als neu markiert.	angular.dev/ai/mcp — geprüft
React	shadcn/skills, CLI v4 und MCP	pnpm dlx skills add shadcn/ui gibt dem Agenten Komponenten- und Registry-Wissen (Radix oder Base UI); Presets packen Farben, Theme, Icons, Fonts und Radius in einen Code (shadcn init --preset …); shadcn info und docs, --dry-run und --diff für kontrollierte Änderungen.	ui.shadcn.com/docs/changelog — geprüft
Spring Boot (Backend)	Ein Workflow-Rahmen plus OpenSpec	Für das Backend habe ich kein spezifisches Werkzeug verifiziert. Übertragbar sind TDD- und Review-Disziplin (Superpowers oder agent-skills), OpenSpec für Änderungen an Bestandscode und eine AGENTS.md für Build- und Testbefehle.	Karten oben
Alle UIs	DESIGN.md, Impeccable, DevTools MCP	Ein Design-Vertrag (DESIGN.md → Tailwind/DTCG-Export), ein Anti-Slop-Detektor und eine Render-Schleife funktionieren framework-unabhängig. UI/UX Pro Max und ux-ui-agent-skills nennen Angular ausdrücklich als unterstützt.	Karten oben

Idee, ungeprüft: Für Vaadin die DESIGN.md-Tokens auf die Lumo-Theme-Variablen abbilden und per design.md lint in der CI absichern.

Sicherheit und Hygiene: Die Werkzeugkiste ist Angriffsfläche

Skills, Hooks und MCP-Server laufen mit den Rechten des Agenten — Dateisystem, Zugangsdaten, Gedächtnis. Genau deshalb sind sie 2026 ein Angriffsziel. Sechs Befunde aus Primärquellen:

S1FakeGit und AgentBaiting

Laut Forschungsnotiz der Cloud Security Alliance: rund 7.600 bösartige GitHub-Repos von etwa 6.600 erfundenen Profilen, über 800 davon als KI-Skills oder MCP-Server getarnt; 14+ Mio. Downloads über rund 200 Repos; 600+ Schad-Einträge in öffentlichen Registries (LobeHub, Glama, MCP.so, MCP Market); Höhepunkt im April 2026. Ablauf: README mit „Download“-Badge → ZIP mit Launcher, getarnter LuaJIT-Runtime und verschleiertem Lua-Code → SmartLoader → StealC (Passwörter, Cookies, SSH-Keys). AgentBaiting: In Tests empfahl Claude Code einen schädlichen Skill, Gemini lieferte einen gefälschten Walmart-MCP-Server als Top-Treffer, ChatGPT nannte dasselbe Repo „den besten Einstieg“. Empfehlung der Notiz: öffentliche Skills und MCP-Server als nicht vertrauenswürdig behandeln, Installationen nur aus Allowlists, Installationsanweisungen vor der Ausführung von Menschen prüfen lassen.
S2Skill- und MCP-Registries

Laut CSA-Notiz zur Skill-Vertrauenslücke: ClawHavoc brachte 1.184 schädliche Skills auf OpenClaws ClawHub (Januar–Februar 2026); Cisco fand bei 26 % von 31.000 untersuchten Skills ausnutzbare Schwachstellen; OX Security zählte über 7.000 ausnutzbare öffentliche MCP-Server mit 150 Mio. Downloads. Klassische Scanner suchen schädlichen Code — Tool-Description-Poisoning, Indirect Prompt Injection und Rug Pulls laufen in natürlicher Sprache. OWASPs Agentic Top 10 führt „Agentic Supply Chain Compromise“ als ASI04:2026. Gegenmittel laut Notiz: Hashes von Tool-Definitionen pinnen, Beschreibungen semantisch prüfen, Credentials strikt nach Least Privilege.
S3Sterne sind Reichweite, kein Qualitätssignal

Die ICSE'26-Studie „Six Million (Suspected) Fake Stars in GitHub“ (He et al.) fand mit dem Werkzeug StarScout sechs Millionen verdächtige Fake-Sterne (2019–2024); die Mehrzahl bewirbt kurzlebige Phishing-/Malware-Repos, daneben AI/LLM-, Blockchain-, Tool- und Tutorial-Repos; 2024 schnellten die Aktivitäten hoch. Auffällige Muster: Konten, die genau ein Repo besternen (Low-Activity), und Konten-Cluster, die dieselben Repos in kurzen Zeitfenstern besternen (Lockstep). Eine Faustregel aus einem Branchenartikel (nicht Teil der Studie): Forks, abhängige Repos und Paket-Downloads sind teurer zu fälschen als Sterne. Wachstumsraten von über 30.000 Sternen im Monat (in diesem Radar: ponytail, ECC) sind möglich, aber ein Anlass, README, Issues und Maintainer-Historie anzusehen.
S4Hooks und Skills sind ausführbarer Code

rtk schreibt Shell-Befehle per Hook um, ECC liefert Hooks und selbstlernende „Instincts“, hermes-agent erzeugt eigene Skills: mächtig, aber genau die Fläche, auf der Prompt-Injection und Rug Pulls wirken. Tool-Definitionen und Skills wie Code reviewen, Versionen pinnen. ECC selbst rät: nur aus verifizierten Kanälen installieren und Installationswege nicht stapeln.
S5Browser-MCPs sehen alles, was im Browser steht

Chrome DevTools MCP gibt dem Client Zugriff auf Browserinhalt (README: keine sensiblen Daten teilen); Nutzungsstatistik und Update-Check sind standardmäßig an, Performance-Tools können Googles CrUX-API ansprechen. agent-browser bietet mit --allowed-domains eine Eingrenzung — die laut README allerdings bestimmte Verbindungsarten (CDP, Auto-Connect, Profile) ablehnt.
S6Eine harte Grenze ist möglich

Docker Sandboxes isolieren jeden Agenten in einer eigenen microVM (eigener Kernel, nur der Workspace eingebunden, Netzwerk-Allow/Deny, Reset in Sekunden). Aktuell macOS und Windows, Linux angekündigt. Für Dauerläufe ohne Rückfrage die richtige Größenordnung — ein Prompt-Verbot ist keine Sicherheitsgrenze.

Checkliste vor jedem Install

Quelle klären: Maintainer, Alter, Releases — nur Original-Repo oder Marktplatz des Maintainers. cc-switch und ECC warnen selbst vor gefälschten Webseiten und Mirrors.
Lesen vor Laden: SKILL.md, Hooks, Install-Skripte. Paketnamen exakt prüfen (graphify heißt auf PyPI graphifyy).
Version pinnen statt @latest (z. B. chrome-devtools-mcp@<version>; ECC nennt selbst ecc-universal@2.2.2).
Rechte minimieren: --read-only und --local-only (Angular MCP), --allowed-domains (agent-browser), Netzwerk-Allow-Liste (Docker Sandboxes).
Telemetrie lesen: DevTools MCP standardmäßig an, Superpowers optional, rtk aus (Opt-in).
Sandbox für unbeaufsichtigte Läufe; Secrets nicht in die Umgebung des Agenten legen.
Installationsempfehlungen des Agenten nie blind ausführen — AgentBaiting zeigt, dass auch Agenten bösartige Repos empfehlen.

Starter-Kit: Wenn du nur fünf Dinge tust

1DesignDESIGN.md anlegen und linten

npx @google/design.md lint DESIGN.md — YAML-Tokens plus Begründung; export liefert Tailwind oder DTCG. Als Inspiration dient awesome-design-md (nicht als fremde Marke ausliefern). Format-Status: alpha.
2DesignImpeccable installieren und den Detektor als Check nutzen

npx impeccable install, dann npx impeccable detect (offline, 61 Regeln) und /impeccable init für die PRODUCT.md. Ein deterministischer Check statt „sieht gut aus“.
3SehenRender-Schleife schließen

Chrome DevTools MCP (Version gepinnt, --no-usage-statistics) oder Playwright MCP: bauen → rendern → Konsole und Screenshot prüfen → korrigieren.
4WorkflowGenau einen Workflow-Rahmen wählen

Superpowers (verbindlicher, schwerer) oder agent-skills (leichter, lifecycle-orientiert) — nicht beide stapeln. Für Änderungen an Bestandscode zusätzlich OpenSpec.
5AbsichernSandbox plus Install-Regeln

Docker Sandboxes für unbeaufsichtigte Läufe; die Checkliste oben als Team-Regel für jeden neuen Skill, Hook und MCP-Server.

Messen statt glauben: Nimm fünf typische Aufgaben deines Repos, fahre sie je mit und ohne Tool und miss Tokens, Zeit, Testerfolg und Review-Aufwand. Token-Werkzeuge (rtk, caveman, graphify) nur übernehmen, wenn sie auf dem eigenen Repo gewinnen.

Bezug zum MZP — Ideen, nicht gegen den Code geprüft

Beobachtungen aus dem Abgleich mit Band 3/4 und dem Design-System-Katalog (mzone-ui 1.8.0). Sie gelten als Hinweise zum Abhaken, nicht als Befund über die Codebasis.

M1Google-Spec statt Eigenformat prüfen

Band 3 (D1/D2) schlug Token-Export und DESIGN.md-Profile vor. Die Google-Spec bringt lint, diff und export (Tailwind v3/v4, DTCG) bereits mit. Würden die getDesignMdFor-Profile das Spec-Format sprechen, ließen sich die vier Branding-Profile (nightline, ledger, monoblock, arcade) in der CI linten — ohne neue Laufzeit-Abhängigkeit (Node nur im Build). Ob die Profile spec-konform sind, habe ich nicht geprüft.
M2Design-Lint neben Klassen- und A11y-Prüfung

validateArtifact prüft Klassen, Varianten und optional WCAG per axe. Design-Anti-Muster (verschachtelte Karten, typische KI-Layouts) prüft derzeit niemand. Impeccables Detektor läuft offline und ohne KI (npx impeccable detect) und wäre als optionaler Vorab-Check für Agenten-Artefakte denkbar.
M3Herkunft der mz-t-Transitions klären

Alle zehn Beispiele aus dem transitions.dev-README (Card resize, Number pop-in, Notification badge, Text states swap, Menu dropdown, Modal, Panel reveal, Success check, Avatar group, Error shake) tauchen in mzone-ui 1.8.0 als mz-t-card-resize, -number-pop, -badge, -text-swap, -dropdown, -modal, -panel, -success, -avatars, -shake auf. Der Katalog nennt unter conventions.inspiration nur canvas-ui. Falls die Transitions an transitions.dev angelehnt sind: Quelle vermerken und die Lizenz lesen (Weitergabe als konkurrierende Bibliothek untersagt, Pro-Teil hinter Login). Kann auch Zufall ähnlicher UI-Muster sein — dann genügt ein Haken.

Methodik und Grenzen

Vorgehen. Breite Websuche und GitHub-Suche nach Themen, Topics und Namen. Die aussichtsreichsten Funde habe ich an README oder Primärseite gegengelesen — die Zusammenfassung stammt von einem kleinen Modell, Einzelheiten können abweichen. Sterne, Alter und Aktivität stammen aus der GitHub-Such-API vom 2026-10-01 und ändern sich laufend. Einen Eintrag nannte ich „Band 3“, wenn die Bewertung dort bereits liegt.

Nicht gemacht. Ich habe nichts installiert oder ausgeführt, keinen Code auditiert und keinen Skill gescannt. Die Urteile sind Einschätzungen auf Basis von Dokumentation, keine Praxistests.

Unsicher oder unbelegt:

Vaadin-Doku: Der Direktabruf lieferte 404; die Angaben stammen aus dem Suchtreffer.
Pencils „Swarm-Modus“ (Sekundärquellen, auf pen.dev nicht bestätigt) und Papers Tool-Zahl (24, laut Review).
Datum und Umfang des Stitch-Updates (18.03.2026), der Start der Docker Sandboxes (März 2026) und Angular v22 (Juni 2026): Sekundärquellen.
Spec Kit, OpenSpec, BMAD: Details aus Vergleichsartikeln; Spec Kit zusätzlich aus Band 3. Playwright MCP: nur Berichte, README nicht gelesen.
Alle Zahlen mit dem Vermerk „README-Angabe“ (Token-Ersparnis, Skill-Zähler, Benchmarks) sind Herstellerangaben.

Nicht abgedeckt. Kommerzielle App-Builder (v0, Lovable, Bolt, Figma Make, Builder.io Fusion), UX-Research-Werkzeuge und Referenz-Bibliotheken per MCP (Refero, Mobbin) — dazu liegen nur Suchtreffer vor.

Quellen

Primärquellen (gelesen) — 10

GitHub-Repos mit gelesenem README oder Verzeichnis — 26

Sekundärquellen (Suchtreffer, nicht im Detail gegengeprüft) — 14

Nur über die GitHub-API gesichtet (Sterne, Beschreibung) — 24

Werkbank-Radar: Die coolsten UI/UX- und Agentic-Coding-Tools