Uno studio mostra che le skill dannose degli agenti IA possono eludere gli scanner statici tramite tecniche di packing

I ricercatori della Hong Kong University of Science and Technology affermano che le “skill” aggiuntive dannose per gli agenti IA di coding possono essere modificate per eludere gli scanner di sicurezza statici senza alterarne il comportamento. In un preprint intitolato Cloak and Detonate, il team descrive un sistema chiamato SKILLCLOAK che maschera le skill dannose facendole apparire innocue durante l’ispezione, pur eseguendosi normalmente quando vengono caricate da un agente.

Come funziona l’elusione

Le skill degli agenti IA sono piccoli pacchetti di istruzioni e script utilizzati da strumenti come Claude Code, OpenAI Codex e OpenClaw. Poiché possono essere eseguite con gli stessi privilegi dell’agente, una skill dannosa potrebbe riuscire a rubare credenziali, copiare codice o installare backdoor.

I ricercatori hanno testato due tecniche principali di elusione. Un approccio apporta piccole modifiche al testo preservandone la funzionalità, ad esempio sostituendo i caratteri con altri visivamente simili appartenenti ad alfabeti diversi oppure suddividendo i comandi sospetti su più righe. Il metodo più efficace, chiamato packing autoestraente, nasconde il payload in cartelle che gli scanner spesso ignorano, come .git/, per poi ricostruirlo solo a runtime tramite un decodificatore apparentemente innocuo.

Su otto scanner e 1.613 skill dannose provenienti da un marketplace pubblico, il metodo di packing ha eluso ogni scanner in oltre il 90% dei casi e, in molti casi, in oltre il 99%. Anche il metodo più leggero basato sulla riscrittura ha raggiunto percentuali di elusione elevate, spesso superiori all’80%.

Il rilevamento a runtime è più efficace

Per affrontare i limiti dell’analisi statica, il team ha sviluppato SKILLDETONATE, un analizzatore basato su sandbox che osserva le attività di una skill dopo l’avvio. Invece di basarsi esclusivamente sui contenuti dei file, monitora a livello di sistema operativo gli accessi ai file, le scritture e le attività di rete. Nei test degli autori, lo strumento runtime ha rilevato il 97% degli attacchi in un ambiente controllato, con un tasso di falsi positivi del 2%, rimanendo efficace anche contro le skill mascherate.

I risultati arrivano in un contesto di crescenti preoccupazioni per la presenza di contenuti dannosi nei marketplace di strumenti IA. Le aziende di sicurezza hanno già segnalato codice nascosto, furti di credenziali e altri abusi nei repository pubblici e negli ecosistemi degli agenti. Il paper non è ancora stato sottoposto a revisione paritaria e il rilevatore runtime è un prototipo di ricerca, ma gli autori sostengono che i risultati dimostrino perché la dicitura “scansione statica superata” non debba essere considerata una garanzia di sicurezza.

• Gli scanner statici possono non rilevare skill dannose che sono state riconfezionate o riempite di dati.
• Il comportamento a runtime è un indicatore più affidabile del solo aspetto.
• I team di sicurezza dovrebbero monitorare i comportamenti di estrazione, le posizioni insolite dei file e l’eccessivo riempimento dei file.