🧠 Сканеры навыков пропустили обход через субагента — три из трёх

Автор материала на Habr прогнал три сканера для AI-агентских навыков — Cisco Skill Scanner 2.2.2, NVIDIA SkillSpector 2.12.0 и AgentVerus 0.8.1 — без LLM и в контейнерах без сети. Набор из 12 синтетических пакетов: 5 допустимых, 7 опасных, всего 42 пробы. Интересовало, как инструменты отличают вредоносную инструкцию от легитимной.

Самый показательный пример — пакет №10: инструкция передать заблокированную задачу субагенту, скрыть ограничения и сослаться на выдуманное разрешение пользователя. Все три сканера её пропустили, а AgentVerus выдал статус certified и 99 баллов. Зато пакет №5, где вредоносная инструкция приведена как цитата для разбора с запретом выполнения, все три движка пометили как High. Ложный негатив на реальной атаке и ложный позитив на учебном материале — одновременно.

Ещё одно расхождение: пакет №12 прятал инструкцию по сбору и отправке секретов во вложенном файле references/extra.md. NVIDIA нашёл находки именно там, Cisco не выдал существенного сигнала, AgentVerus сообщил о недекларированном чтении файлов. Это определило требования автора к интеграции: сохранять расположение находок, явно отмечать непроверенные ресурсы. Он встроил собственный лёгкий статический анализатор для проверки при индексации, а NVIDIA оставил как дополнительную проверку по запросу.

Пропуск обхода через делегирование — системная проблема: сканеры обучены ловить прямые инструкции, а не сценарии, где злонамеренность распределена между агентом и субагентом. Пока нет стандарта на проверку цепочки делегирования, любой certified-статус — это оценка одного файла, а не всей агентной среды.

#AIagents #skills #security #NVIDIA #AgentVerus