OWASP Agentic Skills Top 10 — Security Assessment Checklist

OWASP на днях выпустили практический чек-лист для оценки безопасности AI-агентов — Agentic Skills Security Assessment Checklist, инструмент для ревью, апрува и переоценки/пересмотра навыков агентов.

Главная идея проста и заключается в том, каждый скилл проверяется по набору критериев, и любое "нет" - потенциальная уязвимость.

Ключевые практики:
😜 проверка подписи и source of truth
😜 SBOM и pinned dependencies
😜 sandbox и dynamic behavioral testing
😜 минимизация прав (principle of least privilege)
😜 отдельное сканирование кода и prompt/инструкций

В целом, почему родился этот пост? Про сам чеклист что много писать, читайте сами. Но захотелось немного порефлексировать на очень показательный кейс этого года — ClawHavoc, атаку на экосистему OpenClaw.

Если разложить её в логике kill chain / MITRE ATT&CK, становится видно, что это классическая цепочка, но адаптированная под LLM-агентов.
Атака начинается на стадии initial access, но не через эксплоит, а через supply chain. Злоумышленник публикует скилл в публичный registry — это фактически аналог poisoned dependency. В терминах ATT&CK это ближе всего к T1195 (Supply Chain Compromise) , но с важной оговоркой, так как точкой входа становится не бинарь, а текст — SKILL.md. Агент читал SKILL.md, LLM генерировала полезный ответ с просьбой выполнить команду (curl | bash), и пользователь сам запускал малварь. Дальше шла кража API-ключей, кошельков и других секретов.
Это по сути комбинация supply chain атаки и prompt injection, где LLM становится частью kill chain.

Такой скилл не прошёл бы OWASP чек-лист.
Он бы завалился сразу по нескольким критическим пунктам:
😮 неподтверждённый источник и отсутствие подписи
😮 вредоносные инструкции в metadata
😮 избыточные права (shell, доступ к секретам)
😮 отсутствие sandbox и поведенческого анализа

Так что пользуемся, друзья!
Кстати, вполне рабочая идея — просто запулить агента, который автоматически прогоняет скиллы по чек-листу перед деплоем (свои и коллег).
Все!
👽