diff --git a/project-management/PJ2026-01/specs/PJ2026-01050205-superapi.md b/project-management/PJ2026-01/specs/PJ2026-01050205-superapi.md
index 117310ba..e2cf7131 100644
--- a/project-management/PJ2026-01/specs/PJ2026-01050205-superapi.md
+++ b/project-management/PJ2026-01/specs/PJ2026-01050205-superapi.md
@@ -317,3 +317,21 @@ L0 应使用内存多 Skill ZIP 验证多根扫描、references 归属、重复
 限制，不启动 API、worker 或网络请求。L1 应通过正式 API 与 Temporal worker，
 使用 `https://github.com/RT-Thread/rtthread-skills` 验证真实扫描和批量发布；
 Web 应提供 GitHub URL 输入、扫描预览和明确的批量发布动作。
+
+### 4.18 USER-KEY-SKILL-REQ-018 Remote Skill 自动加载提示
+
+启用绑定快照应为存在公开主文档的 Skill 保存精确 `SKILL.md` URL。URL 必须由
+owning YAML 的 `publicExposure.publicBaseUrl` 和数据库中的稳定 Skill id 生成，
+不得包含 API Key、管理凭据、Cookie 或其他 Secret。没有公开主文档的普通 Skill
+继续只保存名称和 description。
+
+gateway 注入目录应要求 Agent 在任务匹配 Remote Skill 时先一次性读取对应
+`SKILL.md`，再按主文档要求读取同一 Skill 根下的相对 `references/*.md`。读取应
+输出到标准输出供当次任务使用，不在客户端持久化；客户端网络或工具权限不足时
+应明确报告阻断，禁止仅依据 description 伪装成已加载完整 Skill。
+
+请求历史的分块模式应把 Remote Skill 的文档 URL 与名称、description 一并解析，
+且继续保持每个 Skill 一行摘要、展开后查看完整字段。L0 应同时覆盖普通 Skill
+兼容行为和 Remote Skill URL 渲染；L1 应使用没有本地同名 Skill 的真实 Codex，
+在用户不补充 URL 的情况下读取公开主文档及所需 reference，并返回可由 reference
+内容判定的结果。