Studie zeigt: Bösartige KI-Agenten-Skills können sich mit Packing-Tricks vor statischen Scannern verbergen

Forschende der Hong Kong University of Science and Technology erklären, dass sich bösartige Add-on-„Skills“ für KI-Coding-Agenten so verändern lassen, dass sie statische Sicherheitsscanner umgehen, ohne ihre Funktion einzubüßen. In einem Preprint mit dem Titel Cloak and Detonate beschreibt das Team ein System namens SKILLCLOAK, das schädliche Skills so tarnt, dass sie bei der Prüfung harmlos wirken, aber weiterhin normal ausgeführt werden, wenn sie von einem Agenten geladen werden.

So funktioniert die Umgehung

KI-Agenten-Skills sind kleine Bündel aus Anweisungen und Skripten, die von Tools wie Claude Code, OpenAI Codex und OpenClaw verwendet werden. Da sie mit den Zugriffsrechten des Agenten ausgeführt werden können, kann ein bösartiger Skill möglicherweise Zugangsdaten stehlen, Code kopieren oder Hintertüren installieren.

Die Forschenden testeten zwei zentrale Umgehungstechniken. Bei einem Ansatz werden kleine Textänderungen vorgenommen, die die Funktionalität erhalten, etwa indem Zeichen durch visuell ähnliche Zeichen aus anderen Alphabeten ersetzt oder verdächtige Befehle auf mehrere Zeilen verteilt werden. Die effektivere Methode namens Self-Extracting Packing verbirgt die Schadlast in Verzeichnissen, die Scanner häufig ignorieren, etwa .git/, und setzt sie erst zur Laufzeit mithilfe eines scheinbar harmlosen Decoders wieder zusammen.

Über acht Scanner hinweg und bei 1.613 bösartigen Skills aus einem öffentlichen Marktplatz umging die Packing-Methode jeden Scanner in mehr als 90 % der Fälle und vielfach sogar in mehr als 99 %. Auch die weniger umfangreiche Umschreibemethode erzielte hohe Umgehungsraten, häufig von über 80 %.

Laufzeiterkennung ist effektiver

Um die Grenzen statischer Prüfungen zu überwinden, entwickelte das Team SKILLDETONATE, einen sandboxbasierten Prüfer, der beobachtet, was ein Skill nach dem Start tut. Statt sich ausschließlich auf Dateiinhalte zu verlassen, erfasst das System auf Betriebssystemebene den Zugriff auf Dateien, Schreibvorgänge und Netzwerkaktivitäten. In den Tests der Autoren erkannte das Laufzeittool in einer kontrollierten Umgebung 97 % der Angriffe bei einer Falsch-Positiv-Rate von 2 % und blieb auch gegenüber getarnten Skills wirksam.

Die Ergebnisse erscheinen vor dem Hintergrund wachsender Bedenken hinsichtlich bösartiger Inhalte in Marktplätzen für KI-Tools. Sicherheitsunternehmen haben bereits über versteckten Code, den Diebstahl von Zugangsdaten und anderen Missbrauch in öffentlichen Repositories und Agenten-Ökosystemen berichtet. Das Paper wurde noch keinem Peer-Review unterzogen, und der Laufzeitdetektor ist ein Forschungsprototyp. Die Autoren argumentieren jedoch, dass die Ergebnisse zeigen, warum ein „bestandener statischer Scan“ nicht als Sicherheitsgarantie betrachtet werden sollte.

• Statische Scanner können bösartige Skills übersehen, die neu gepackt oder mit zusätzlichem Inhalt versehen wurden.
• Das Verhalten zur Laufzeit ist ein zuverlässigeres Signal als das bloße Erscheinungsbild.
• Sicherheitsteams sollten auf Entpackvorgänge, ungewöhnliche Dateispeicherorte und übermäßige Dateiauffüllung achten.