Pesquisadores demonstraram que arquivos Markdown de configuração (como SKILL.md), usados por frameworks de agentes para carregar prompts de sistema e definições de ferramentas, funcionam como canal de injeção de jailbreak. Em um agente de perguntas e respostas baseado em LangChain, incorporar um jailbreak num skill elevou a taxa média de sucesso de ataque de 0,5% para 45%, chegando a 68,9% em modelos individuais, entre sete modelos de peso aberto testados. Curiosamente, tentativas de ofuscar o payload (caracteres invisíveis ou transformação fonética) não aumentaram a eficácia e em um caso a reduziram, sugerindo que a vulnerabilidade está mais ligada ao modelo subjacente do que à forma do ataque.
Fonte ↗Pesquisadores desenvolveram um scanner de seis módulos para auditar skills de agentes de IA (pacotes de instruções, scripts e arquivos de referência carregados por agentes LLM), focado em vulnerabilidades não intencionais em skills legítimas e em interações perigosas entre múltiplas skills instaladas juntas, e não apenas em skills deliberadamente maliciosas. Ao analisar 1.587 skills dos 75 repositórios mais populares do GitHub, a ferramenta identificou 59 achados confirmados por analistas humanos em 23 repositórios, com 10 casos de severidade média ou alta divulgados de forma responsável aos mantenedores, e provas de conceito comprovaram exploração real antes da aplicação de mitigações eficazes em quase todos os casos.
Fonte ↗Pesquisadores mostram que combinar múltiplas "skills" de terceiros — cada uma considerada segura isoladamente — dentro de um agente de IA pode criar cadeias de violação de segurança, porque o risco não está em nenhuma skill específica, mas em como o agente encaminha a saída de uma skill como entrada de outra em tempo de execução. A ferramenta KnotScryer, que modela skills como grafos de fluxo de capacidade, analisou 13.598 skills reais do repositório ClawHub e identificou 612 composições inseguras, das quais 13,7% eram formadas inteiramente por skills que um scanner individual já havia classificado como seguras.
Fonte ↗O SkillDRE é um framework de red teaming totalmente automatizado que evolui pacotes de “skills” de agentes — pacotes reutilizáveis de instruções, código e recursos — para que passem tanto por scanners de pré-execução quanto por defesas de runtime, mantendo a funcionalidade legítima da tarefa original. Em testes com quatro modelos-alvo no SkillsBench, o framework atinge 45,28% de taxa média de sucesso de ataque, superando a melhor linha de base em 40,3%, com as skills finais não gerando nenhum alerta do scanner.
Fonte ↗O SkillSecurer é um framework agentic de ponta a ponta para gerar, detectar, localizar e corrigir riscos de segurança em "agent skills", combinando um agente vermelho que gera injeções contextualmente plausíveis com um agente azul que analisa pacotes completos e propõe correções. Aplicado a skills reais publicadas no marketplace skills.sh, o framework identificou vulnerabilidades latentes em mais de 17% das skills examinadas e chegou a disparar incidentes reais ao testar algumas delas, evidenciando o risco concreto de instalar skills não verificadas.
Fonte ↗