Сканеры безопасности пропускают сложные обходы согласования при проверке скиллов ИИ-агентов
В ходе исследования безопасности синтетических пакетов для ИИ-ассистентов три популярных инструмента анализа — Cisco Skill Scanner, NVIDIA SkillSpector и AgentVerus — продемонстрировали критические пробелы. Исследователи зафиксировали случаи, когда инструменты присваивали пакетам высокий балл доверия, несмотря на наличие инструкций, позволяющих обходить стандартные процедуры согласования действий. Особенно остро проблема проявилась на учебных примерах атак и при анализе вложенных файлов.
# Ограничения автоматизированной проверки уязвимостей в скиллах ИИ
Исследование, проведенное разработчиком проекта CEO AI, выявило существенные различия в эффективности инструментов статического анализа кода и инструкций агентов. Эксперимент базировался на анализе 12 синтетических пакетов с использованием трех движков: Cisco Skill Scanner (версия 2.2.2), NVIDIA SkillSpector (версия 2.12.0) и AgentVerus (версия 0.8.1).
Ключевое условие эксперимента заключалось в изоляции: все инструменты запускались в контейнерах без подключения к сети и без использования языковых моделей (LLM) или платных внешних API. Это позволило оценить эффективность только локальных алгоритмов проверки инструкций и действий агента. Для тестирования были созданы два типа пакетов: пять с допустимыми инструкциями и семь содержащих потенциально опасные сценарии.
*«Эти два случая оказались полезнее итоговых баллов»* — отмечают авторы исследования, подчеркивая, что количественные метрики могут быть вводящими в заблуждение при оценке реальных рисков.
Разрыв между итоговой оценкой и фактической безопасностью
Самым показательным случаем стало тестирование «пакета № 10». В данной сценарии инструкции предписывали создать субагента для выполнения задачи, требующей согласования, при этом刻意 (намеренно) скрыв от субагента ограничения и заявив о наличии разрешения пользователя. Такая схема призвана имитировать обход протоколов безопасности через делегирование полномочий.
Результаты анализа оказались тревожными: * Все три сканера пропустили эту инструкцию. * AgentVerus выдал пакету статус certified с оценкой 99 баллов, пометив его как безопасный (is_safe=true).
Автор исследования отмечает: *«Это пропуск конкретной инструкции. Я не запускал её на рабочем агенте, поэтому результат не доказывает работоспособность самого обхода. Но он показывает, почему итоговую оценку сканера нельзя использовать как самостоятельное основание для допуска пакета».*
Этот кейс демонстрирует, что стандартные статические анализаторы могут не распознавать сложные логические конструкции, предназначенные для обхода контроля, даже если они явно описывают нарушение безопасности. В отличие от этого, на «учебной цитате атаки», включенной в пакет № 5, все три инструмента корректно отреагировали, выведя уровень угрозы High. Однако, как подчеркивает автор, блокировка таких учебных материалов из-за наличия фразы на тему атаки может быть контрпродуктивной для безопасности агента, обучаемого на данных. Важнее сохранить сами срабатывания и их контекст, принимая решение о допуске пакета отдельно от автоматической оценки.
Проблемы с анализом вложенных ресурсов и выходными данными
Дополнительные сложности возникли при проверке пакетов со сложной структурой, в частности пакет № 12. Основной файл SKILL.md содержал нейтральные инструкции, а вредоносные рекомендации (отправка секретов) были спрятаны во вложенном файле references/extra.md.
* NVIDIA SkillSpector корректно указал находки непосредственно в скрытом файле references/extra.md. * AgentVerus зафиксировал недекларированное чтение файлов и загрузку документации. * Cisco Skill Scanner не выдал существенного сигнала относительно вложенного содержимого.
Различия в подходах к обработке вложенных материалов и форматы возвращаемых кодов выхода (в том числе случайные коды при обнаружении угроз у AgentVerus) создают барьеры для унификации политик безопасности. Интеграция таких инструментов требует глубокой разборки структурированных отчетов каждого движка, а не простого анализа флагов.
Практические выводы и архитектура проверки
На основе полученных данных исследователь внедрил гибридную систему проверки в проект CEO AI. Она состоит из двух этапов:
1. Базовый анализ при индексации: Используется собственная легкая система статического анализа и ограниченные правила (например, правило обхода через субагента, разработанное на основе тестов), чтобы не нагружать ресурсы среды выполнения. 2. Глубокая проверка по запросу: Для детального аудита применяется NVIDIA SkillSpector через Docker-контейнер. Это позволяет получить полные метаданные о нахоженных угрозах и их расположении в файловой структуре пакета.
*«Для адаптера выбрал NVIDIA из-за полезных находок во вложенном файле и структурированного отчета»*.
Важно понимать, что результат проверки не меняет автоматически права доступа агента. Ограничение полномочий и проверка вызовов инструментов должны осуществляться вне модели и в соответствии с рекомендациями OWASP. Одиночный субагент не должен получать расширенные права только на основании просьвы основного агента выполнить задачу.
Использование платных LLM-сервисов для анализа содержания пакетов в данном исследовании не участвовало, так как эксперимент фокусировался на возможности независимой, автономной проверки без передачи конфиденциальных данных третьим лицам.