KnotScryer detecta cadeias de skills de agentes de IA que, mesmo individualmente seguras, compõem ataques

O crescimento de ecossistemas de "skills" plugáveis para agentes de IA — pacotes de instruções, scripts e recursos que um agente pode invocar sob demanda para estender suas capacidades — trouxe consigo uma suposição implícita de segurança: se cada skill individual foi auditada e considerada benigna, o conjunto também seria seguro. O KnotScryer desafia diretamente essa suposição, mostrando que o risco real muitas vezes emerge não de uma skill isolada, mas da orquestração em tempo de execução, quando o agente passa a saída de uma skill upstream diretamente como entrada de uma skill downstream sem revalidar essa transição. Uma skill que lê dados sensíveis de forma legítima e uma skill que exfiltra dados de forma legítima podem, juntas e encadeadas pelo próprio agente, formar exatamente o comportamento malicioso que nenhuma das duas sozinha representaria — e que nenhum scanner de skill individual conseguiria detectar, já que cada skill, isoladamente, de fato não faz nada de errado.

A abordagem técnica resume cada skill a um "capability summary" tipado — uma descrição abstrata do que aquela skill lê e escreve, e de que tipo são esses dados — e constrói a partir disso o Skill Capability-Flow Graph (SCFG), um grafo em que as arestas representam possíveis fluxos de informação entre skills quando encadeadas por um agente. Sobre esse grafo, uma política de busca rastreia caminhos em que dados marcados como protegidos ou não confiáveis conseguem alcançar operações consideradas inseguras (como exfiltração, execução de código ou escrita em sistemas externos). Como esse tipo de análise de grafo por si só pode gerar muitos falsos positivos (caminhos teoricamente possíveis que nunca ocorreriam na prática), o sistema aplica uma verificação em duas camadas: primeiro replay do fluxo de informação para confirmar alcançabilidade real, depois uma auditoria por uma cadeia de LLM ancorada na tarefa específica para confirmar que a violação é semanticamente plausível no contexto de uso real daquelas skills.

Os números da avaliação são expressivos: entre 13.598 skills classificadas como limpas no repositório ClawHub, o KnotScryer identificou 612 composições inseguras, validadas como consistentemente exploráveis em três frameworks de agente diferentes e três LLMs distintos. Sob o modelo GLM-5.1, a taxa de exploração confirmada chegou a 85,6%, contra apenas 16,5%–18,2% obtido por baselines que fazem correspondência de tags ou análise de grafo sem a camada de verificação semântica — uma diferença que mostra o valor concreto da etapa de auditoria por LLM. O dado mais preocupante, porém, é que 13,7% das cadeias inseguras detectadas eram compostas inteiramente por skills que um scanner de skill individual já havia rotulado como seguras, confirmando empiricamente que esse tipo de risco composicional é genuinamente invisível para as abordagens de auditoria hoje mais comuns.

O trabalho importa porque marketplaces e repositórios de skills para agentes de IA — análogos aos marketplaces de extensões de navegador ou pacotes npm, mas com o diferencial de que a composição é decidida dinamicamente pelo próprio agente em tempo de execução — estão se tornando um vetor de risco estrutural à medida que crescem em escala. Diferente de uma cadeia de suprimentos de software tradicional, em que a composição de dependências é relativamente estática e visível em tempo de build, a composição de skills em um agente autônomo pode variar a cada execução dependendo do que o agente decide invocar, tornando auditorias estáticas por skill individual insuficientes por definição e reforçando a necessidade de análise de fluxo de capacidade em nível de orquestração, não apenas de componente.