Wprowadzenie do problemu / definicja
OWASP zwrócił uwagę na rosnące zagrożenia związane z tzw. agentic skills, czyli rozszerzeniami, instrukcjami i pakietami logiki wykorzystywanymi przez agentów AI do wykonywania zadań. W praktyce takie komponenty mogą zarządzać dostępem do danych, inicjować działania w systemach firmowych oraz pobierać dodatkowe instrukcje z zewnętrznych źródeł.
Problem polega na tym, że skills stają się nowym wektorem ataku. Łączą one ryzyka charakterystyczne dla łańcucha dostaw oprogramowania, prompt injection, nadużyć uprawnień oraz braku jednolitych standardów bezpieczeństwa w ekosystemie agentów AI.
W skrócie
- OWASP opublikował listę 10 najważniejszych ryzyk bezpieczeństwa związanych z agentic skills.
- Na czele zestawienia znalazły się złośliwe skills oraz kompromitacja łańcucha dostaw.
- Równolegle przedstawiono Universal Agentic Skill Format v1.0, czyli propozycję standaryzowanego formatu YAML dla skills.
- Celem nowego podejścia jest ułatwienie walidacji pochodzenia, integralności, zależności i wymaganych uprawnień.
Kontekst / historia
Wraz z szybkim rozwojem agentów AI wzrosło znaczenie komponentów rozszerzających ich możliwości. Skills pełnią funkcję zbliżoną do aplikacji lub modułów integracyjnych: definiują workflow, połączenia z usługami zewnętrznymi, sposób przetwarzania danych oraz dodatkowe instrukcje sterujące działaniem agenta.
To sprawia, że ekosystem agentów zaczyna przypominać klasyczne środowiska programistyczne i marketplace’y aplikacji. W konsekwencji pojawiają się dobrze znane problemy bezpieczeństwa, takie jak typosquatting, podszywanie się pod legalne projekty, złośliwe zależności czy przejęcie elementów łańcucha dostaw.
OWASP potraktował te zjawiska jako sygnał ostrzegawczy. Organizacja wskazuje, że tradycyjne podejście do ochrony modeli i promptów nie wystarcza, jeśli agent korzysta z zewnętrznych rozszerzeń mających realny wpływ na jego decyzje i dostęp do zasobów.
Analiza techniczna
Od strony technicznej agentic skills są szczególnie ryzykowne, ponieważ w jednym artefakcie mogą łączyć logikę biznesową, instrukcje w języku naturalnym, odniesienia do środowiska wykonawczego, zależności programistyczne i definicje wymaganych uprawnień. Jeśli platforma AI nie rozdziela wyraźnie poleceń użytkownika, systemu i skill, model może traktować wszystkie instrukcje jako równie zaufane.
Najistotniejsze ryzyka obejmują złośliwe skills, przejęcie łańcucha dostaw, nadmierne uprawnienia, nieufne instrukcje pobierane z zewnętrznych lokalizacji oraz niewystarczającą izolację wykonania. W praktyce atakujący może opublikować pozornie legalny komponent, który pobiera dodatkowe instrukcje z kontrolowanego serwera, uruchamia niezweryfikowane zależności albo skłania agenta do użycia tokenów, sekretów lub istniejących sesji dostępowych.
Jeżeli taka skill działa w szerokim kontekście uprawnień agenta, skutki mogą być bardzo poważne. Potencjalny wpływ obejmuje dostęp do poczty, repozytoriów kodu, systemów SaaS, danych biznesowych, przeglądarki, a nawet materiałów uwierzytelniających używanych przez pracowników i aplikacje.
OWASP podkreśla również problem przenoszenia skills między różnymi platformami. Bez wspólnego standardu część istotnych metadanych bezpieczeństwa może zostać pominięta lub utracona podczas migracji. Universal Agentic Skill Format v1.0 ma ograniczyć to ryzyko poprzez ujednolicenie opisu pochodzenia, zależności, podpisów, hashy, uprawnień i historii zmian.
Konsekwencje / ryzyko
Dla organizacji biznesowych zagrożenie jest istotne, ponieważ agent AI często działa w imieniu użytkownika, zespołu lub całego procesu operacyjnego. Przejęcie albo podmiana skill może więc prowadzić nie tylko do naruszenia bezpieczeństwa technicznego, ale też do realnych nadużyć biznesowych.
W praktyce incydent może oznaczać wyciek danych, kompromitację sekretów, nieautoryzowane akcje w systemach firmowych, manipulację workflow, eskalację dostępu lub trwałe osadzenie złośliwej logiki w procesach automatyzacji. Szczególnie narażone są środowiska, w których agenci mają szerokie uprawnienia i korzystają z publicznych repozytoriów lub dynamicznie pobieranych instrukcji z Internetu.
Dodatkowym problemem jest ograniczona widoczność. W wielu firmach nie istnieje jeszcze pełna inwentaryzacja agentów AI, używanych przez nich skills oraz źródeł, z których pochodzą. To utrudnia wykrywanie ryzyk i szybką reakcję na incydenty.
Rekomendacje
Organizacje wdrażające agentów AI powinny traktować skills jak pełnoprawne artefakty wysokiego ryzyka w łańcuchu dostaw. Oznacza to konieczność objęcia ich podobnymi kontrolami, jakie stosuje się wobec bibliotek, kontenerów i komponentów open source.
- Przeprowadzić inwentaryzację agentów oraz wszystkich używanych skills.
- Dopuszczać komponenty wyłącznie z zaufanych źródeł.
- Weryfikować podpisy, hashe, zależności i pochodzenie artefaktów.
- Stosować zasadę najmniejszych uprawnień dla każdej skill.
- Ograniczać lub blokować dynamiczne pobieranie instrukcji z zewnętrznych lokalizacji.
- Wymuszać separację kontekstu użytkownika, systemu i skill.
- Stosować sandboxing, segmentację dostępu do danych i monitoring anomalii.
- Przygotować procedurę szybkiego wycofywania złośliwych lub podejrzanych skills.
Z perspektywy architektury bezpieczeństwa szczególnie ważne jest ograniczenie zaufania do zewnętrznych instrukcji oraz zapewnienie, że agent nie będzie bezrefleksyjnie wykonywał poleceń pochodzących z niezweryfikowanych źródeł. Kluczową rolę odegrają tu polityki walidacji, mechanizmy izolacji oraz monitoring zachowania agentów.
Podsumowanie
Nowa inicjatywa OWASP pokazuje, że bezpieczeństwo agentów AI nie kończy się na ochronie modeli i promptów. Skills stają się odrębną warstwą ryzyka, łączącą zagrożenia typowe dla aplikacji, łańcucha dostaw i zarządzania uprawnieniami.
Publikacja listy najważniejszych zagrożeń oraz Universal Agentic Skill Format v1.0 to krok w stronę uporządkowania tego obszaru. Dla zespołów bezpieczeństwa oznacza to potrzebę budowy lepszej widoczności, standaryzacji kontroli i szybkiego reagowania na nadużycia związane z rozszerzeniami agentów AI.