Scanner estático encontra 627 skills maliciosas confirmadas entre mais de 66 mil publicadas para agentes de IA

Agentes de LLM cada vez mais instalam skills de terceiros — pacotes que combinam instruções em linguagem natural (o que o agente deve fazer) com código executável (como fazer). Essa combinação cria um risco de cadeia de suprimentos que atravessa dois domínios diferentes: uma instrução textual pode orientar o agente a usar uma função do código de forma maliciosa, ou o código pode conter comportamento oculto que só uma leitura conjunta com a instrução revela. Scanners de segurança tradicionais, que analisam código ou texto separadamente, ou usam um LLM para julgar diretamente se uma skill é maliciosa, têm dificuldade em rastrear esse fluxo cruzado e tendem a ser pouco determinísticos.

O SCS resolve isso convertendo as instruções em linguagem natural para uma representação intermediária em estilo Python, restrita a um conjunto limitado de APIs orientadas à segurança — essencialmente, compilando a intenção declarada em pseudocódigo analisável. A partir daí, o sistema constrói grafos de dependência de programa (PDG) separadamente para as instruções compiladas e para o código real empacotado, e então conecta os dois grafos em um único grafo cross-domain (xPDG). Sobre esse grafo unificado, um modelo chamado Trust-Sensitivity-Capability (TSC) propaga propriedades de segurança — origem de confiança do dado, sensibilidade da operação, capacidade concedida — permitindo detecção de risco majoritariamente determinística, em vez de depender só do julgamento probabilístico de um LLM.

Em um benchmark verificado manualmente com 117 skills maliciosas e 117 benignas, o SCS atingiu 85,6% de acurácia média, 95,2% de recall e 86,9% de F1-score, superando os métodos comparados, com o compilador de linguagem natural para representação intermediária acertando entre 92,5% e 94,5% dos passos em 400 instruções anotadas manualmente. Mais relevante que o benchmark controlado é o teste em escala real: analisando 66.157 skills publicadas no ClawHub (um repositório real de skills para agentes), o sistema sinalizou 2.473 candidatas suspeitas, das quais 627 foram confirmadas maliciosas por validação dinâmica adicional e revisão manual — um volume que, em termos absolutos, indica que marketplaces de skills para agentes já têm um problema de cadeia de suprimentos ativo e não hipotético.

O resultado é um dado concreto sobre um risco que vinha sendo discutido principalmente em teoria: repositórios abertos de extensões para agentes de IA, análogos a marketplaces de plugins de navegador ou pacotes npm, já hospedam quantidade não trivial de conteúdo malicioso, e ferramentas de análise estática cross-domain como o SCS parecem necessárias — scanners que tratam só o código ou só o texto da instrução deixam exatamente o tipo de ataque que combina os dois sem cobertura.