O trabalho propõe o RuntimeTickets, um protocolo que gera e verifica obrigações de segurança específicas para cada execução de uma agent skill de terceiros, sem depender de confiar apenas na descrição da skill ou nas permissões concedidas a ela. Um portão de execução ("runtime gate") verifica cada envio de dados de saída contra as obrigações aprovadas, usando um decodificador determinístico que nunca envolve um modelo de linguagem na decisão final. Em testes contra scanners de produção e defesas de referência, o sistema atingiu 0% de falsos negativos e 0% de falsos positivos na identificação de skills maliciosas versus benignas.
Pesquisadores analisaram 6.309 'agent skills' (documentos de instrução em Markdown que agentes de IA com acesso a ferramentas executam com os privilégios da sessão) em dois marketplaces e descobriram que a maioria carrega capacidades perigosas — shell, acesso a arquivos, rede, credenciais — sem que isso seja visível no momento da instalação. Pior: entre as poucas skills que declaram suas capacidades no próprio pacote, 59% subestimam o que de fato conseguem fazer.
Com o crescimento de ecossistemas de 'skills' compartilháveis para agentes de IA (pacotes de instruções, ferramentas e exemplos, muitos incluindo imagens de referência), pesquisadores mostram que instruções maliciosas podem ser disfarçadas como anotações ou rótulos de interface dentro dessas imagens. O ataque, batizado Native-Context Visual Attack, induz ações não autorizadas em todas as nove configurações de modelo testadas, com taxa de sucesso de 43,1% — 16,4 pontos percentuais acima do equivalente em texto puro.
O SkillsMetric é um framework de análise estática em cinco estágios para avaliar pacotes de "Agent Skills" (extensões de instruções e scripts para agentes LLM) quanto a risco malicioso, atingindo AUC de 0,93 em um dataset adversarial de 2.266 skills cobrindo 16 tipos de ataque. Apesar do bom desempenho geral, os autores identificam pontos cegos completos: ataques de destruição de host usando comandos de shell comuns escapam de todos os cinco estágios (0% de detecção), e prompt injection via manipulação em linguagem natural é detectada em apenas 42% dos casos.