SkillShift demonstra ataque de 'dedo na balanca' que desvia secretamente a politica de agentes de IA via skills maliciosas
O ataque SkillShift mostra como uma skill de terceiros aparentemente legitima -- que preserva a funcionalidade declarada e a interface de saida valida -- pode redirecionar secretamente as decisoes de um agente de IA para um objetivo nao divulgado, sem usar injecao de comando explicita ou sequestro direto de tarefa. Em cenarios de comercio agentico e selecao de dependencias de software, o ataque atingiu taxas de selecao favoraveis ao atacante de 81,33% e 63,33%, respectivamente, mantendo 100% de utilidade aparente e passando despercebido pelos scanners de seguranca avaliados.
Skills reutilizaveis estendem agentes de IA baseados em LLM com procedimentos de tarefa, orientacao de uso de ferramentas e restricoes de saida -- na pratica, funcionam como politicas de comportamento externalizadas que moldam como o agente decide e age. O artigo aponta que essa externalizacao cria um risco de cadeia de suprimentos ainda pouco discutido: uma skill de terceiros pode preservar integralmente a tarefa declarada e a interface de saida esperada, e ainda assim redirecionar de forma encoberta as decisoes do agente rumo a um objetivo nao autorizado pelo usuario, sem que nada no comportamento observavel superficialmente indique manipulacao.
Os autores formalizam essa propriedade desejada como 'Integridade de Politica de Skill' (Skill Policy Integrity), exigindo que a politica induzida por uma skill permaneca alinhada tanto com sua funcionalidade declarada quanto com o objetivo autorizado pelo usuario. Em seguida, apresentam o SkillShift, um framework de caixa-preta restrito que realiza esse desvio encoberto atraves de tres mecanismos combinados: edicoes de politica semanticamente plausiveis (que nao alteram a interface declarada), validacao hierarquica com otimizacao guiada por falhas (para garantir que o desvio funcione de forma consistente), e compressao de estrategia (para manter a tecnica discreta e transferivel entre diferentes ambientes). Criticamente, o ataque nao depende de injecao de comando explicita nem de sequestro direto da tarefa -- ele opera inteiramente dentro do espaco de politica que a skill declara controlar legitimamente.
Os autores instanciam essa ameaca em dois cenarios praticos: comercio agentico (onde um agente decide, por exemplo, qual fornecedor ou produto recomendar) e selecao de dependencias de software (onde um agente decide qual biblioteca ou pacote usar). O SkillShift atinge taxas de selecao favoraveis ao atacante de 81,33% e 63,33% nesses dois cenarios respectivamente, mantendo uma taxa de preservacao de utilidade de 100% -- ou seja, a skill continua parecendo funcionar perfeitamente do ponto de vista do usuario. Alem disso, as politicas maliciosas ja otimizadas transferem sem necessidade de reotimizacao entre diferentes backends de LLM e ambientes de agente heterogeneos, o que sugere que o ataque nao depende de peculiaridades de um modelo especifico.
O achado mais preocupante talvez seja o ultimo: os scanners de seguranca avaliados pelos autores falharam completamente em detectar as skills maliciosas construidas, precisamente porque elas preservam tanto a funcionalidade declarada quanto a interface de saida valida -- as duas coisas que ferramentas de auditoria automatizada tipicamente checam. Isso reforca a necessidade de auditoria comportamental de skills como artefatos de politica de agente, e nao apenas checagem estatica de interface e funcionalidade declarada, algo especialmente urgente para marketplaces onde skills de terceiros sao instaladas com relativamente pouca fricao.