Wprowadzenie do problemu
OWASP zwraca uwagę na rosnące zagrożenia związane ze skillami agentów AI, czyli rozszerzeniami definiującymi zadania, reguły działania, zależności oraz sposób korzystania z narzędzi i zewnętrznych źródeł danych. To właśnie te komponenty zwiększają możliwości agentów, ale jednocześnie tworzą nową i często słabo kontrolowaną powierzchnię ataku.
W odpowiedzi na ten problem organizacja opublikowała finalną listę Agentic Skills Top 10 oraz zaproponowała Universal Agentic Skill Format v1.0. Celem inicjatywy jest uporządkowanie zasad opisu, weryfikacji i oceny bezpieczeństwa rozszerzeń wykorzystywanych przez agentów AI.
W skrócie
- OWASP opublikował listę najważniejszych ryzyk bezpieczeństwa dla skills agentów AI.
- Na czele zagrożeń znalazły się złośliwe skills oraz kompromitacja łańcucha dostaw.
- Równolegle zaprezentowano Universal Agentic Skill Format v1.0 oparty na YAML.
- Nowy format ma ułatwić walidację pochodzenia, uprawnień, zależności, integralności i historii zmian.
- Inicjatywa ma pomóc zespołom AppSec, DevSecOps i governance traktować skills jak pełnoprawne komponenty wysokiego ryzyka.
Kontekst i historia
Ekosystem agentów AI rozwija się bardzo szybko, a wraz z nim rośnie liczba gotowych skills dostępnych w repozytoriach i na platformach integracyjnych. Dla organizacji to wygodny sposób rozszerzania możliwości agentów, ale historia bezpieczeństwa oprogramowania pokazuje, że szybka adopcja komponentów zewnętrznych zwykle wyprzedza dojrzałe mechanizmy kontroli.
W praktyce sytuacja zaczyna przypominać wcześniejsze problemy znane z pakietów open source, marketplace’ów rozszerzeń oraz ataków supply chain. Napastnicy mogą podszywać się pod wiarygodne źródła, publikować spreparowane pakiety lub przejmować zależności, które następnie trafiają do środowisk produkcyjnych. W przypadku agentów AI skala ryzyka jest szczególna, ponieważ agent może działać autonomicznie, korzystać z poświadczeń, przetwarzać dane wrażliwe i wykonywać operacje bez każdorazowej akceptacji człowieka.
Dlatego OWASP potraktował warstwę skills jako odrębny obszar bezpieczeństwa. To wyraźny sygnał, że rozszerzenia agentowe powinny podlegać podobnym procedurom kontroli jak kod, biblioteki, kontenery czy artefakty CI/CD.
Analiza techniczna
Skill pełni rolę nośnika instrukcji dla agenta. Może zawierać opis zadań w języku naturalnym, odwołania do kodu, konfigurację uprawnień, zależności, adresy usług, a także wskazania do pobierania treści z zasobów zewnętrznych. Taka elastyczność jest korzystna funkcjonalnie, ale jednocześnie otwiera drogę do wielu klas nadużyć.
Najpoważniejszym zagrożeniem są złośliwe skills, które wyglądają jak legalne rozszerzenia, lecz w rzeczywistości zawierają ukryte instrukcje prowadzące do eksfiltracji danych, pobierania dodatkowych komponentów, obchodzenia polityk bezpieczeństwa albo manipulowania przebiegiem workflow. Agent może potraktować taki komponent jako zaufany, mimo że wykonuje on wrogą logikę.
Drugim kluczowym problemem jest kompromitacja łańcucha dostaw. Skill może odwoływać się do repozytoriów, bibliotek, serwerów narzędziowych, plików konfiguracyjnych lub zdalnych instrukcji znajdujących się poza głównym artefaktem. Oznacza to, że nawet jeśli sam manifest wygląda bezpiecznie, jego zachowanie może zmienić się po podmianie zależności, przejęciu repozytorium, typosquattingu lub modyfikacji zewnętrznego źródła.
Istotne ryzyko wiąże się także z niezaufanymi zewnętrznymi instrukcjami. Jeśli skill pobiera treść z dokumentu, witryny lub endpointu API, agent może potraktować ją jako element logiki wykonawczej. W razie przejęcia źródła lub wstrzyknięcia złośliwej treści pojawia się ryzyko nieautoryzowanych działań, przypominające połączenie prompt injection, nadużycia zdalnej konfiguracji i dynamicznego ładowania niezweryfikowanych danych.
OWASP proponuje ograniczanie tych zagrożeń poprzez Universal Agentic Skill Format v1.0. Ustandaryzowany format ma obejmować metadane dotyczące pochodzenia, wymaganych uprawnień, zależności, integralności, podpisów, sum kontrolnych oraz historii zmian. Dzięki temu narzędzia bezpieczeństwa mogłyby automatycznie analizować, czy dany skill jest spójny, czy wymaga zbyt szerokich uprawnień i czy nie korzysta z nieautoryzowanych zasobów.
Konsekwencje i ryzyko
Dla organizacji problem nie kończy się na pojedynczym złośliwym rozszerzeniu. Skills mogą stać się nowym kanałem wejścia do środowiska firmowego, szczególnie tam, gdzie agenci mają dostęp do poczty, systemów SaaS, repozytoriów kodu, narzędzi developerskich oraz zasobów chmurowych.
- kradzież poświadczeń, tokenów API i danych sesyjnych,
- wyciek danych wrażliwych przetwarzanych przez agenta,
- wykonywanie nieautoryzowanych działań w imieniu użytkownika lub organizacji,
- eskalacja uprawnień przez nadmiernie uprzywilejowane skills,
- utrudniona analiza incydentów z powodu rozproszonego modelu zależności i instrukcji.
Dodatkowym wyzwaniem jest brak pełnej widoczności. W wielu firmach nie istnieje jeszcze centralny rejestr agentów, ich konfiguracji i używanych skills. To oznacza, że po ujawnieniu zagrożenia organizacja może mieć problem z szybkim ustaleniem, czy dany komponent został wdrożony i gdzie należy go natychmiast wyłączyć.
Rekomendacje
Organizacje wdrażające agentów AI powinny traktować skills jak komponenty wysokiego ryzyka i objąć je pełnym cyklem kontroli bezpieczeństwa. Dotyczy to zarówno etapu dopuszczania do użycia, jak i monitorowania działania w środowisku produkcyjnym.
- wprowadzenie inwentaryzacji agentów, skills i powiązanych zależności,
- dopuszczanie wyłącznie zweryfikowanych i podpisanych rozszerzeń,
- egzekwowanie zasady najmniejszych uprawnień,
- ograniczanie dynamicznego pobierania instrukcji z niezaufanych źródeł,
- skanowanie skills pod kątem integralności, reputacji źródła i nietypowych uprawnień,
- monitorowanie połączeń do zewnętrznych domen, repozytoriów i serwerów narzędziowych,
- segmentacja środowisk agentowych oraz separacja sekretów i danych,
- przygotowanie procedur szybkiego odcięcia złośliwego skillu w całej organizacji.
Z perspektywy architektury ważne jest także rozdzielenie instrukcji użytkownika, logiki skillu i treści pobieranych z zewnętrznych źródeł. Pomocne będą również versioning, podpisywanie manifestów oraz utrzymywanie listy dozwolonych źródeł i zależności.
Podsumowanie
Publikacja Agentic Skills Top 10 oraz Universal Agentic Skill Format v1.0 pokazuje, że bezpieczeństwo agentów AI obejmuje już nie tylko modele, prompty i API, ale również warstwę rozszerzeń wykonawczych. Skills stają się nowym elementem łańcucha zaufania, a jednocześnie potencjalnym wektorem ataku o wysokim wpływie na dane, tożsamość i procesy biznesowe.
Dla zespołów bezpieczeństwa to sygnał, że zarządzanie skillami powinno zostać włączone do standardowych praktyk AppSec i DevSecOps. Im szybciej organizacje wdrożą kontrolę pochodzenia, integralności i uprawnień takich komponentów, tym większa szansa na ograniczenie nowej klasy incydentów w środowiskach AI.