Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry
Dieser Beitrag zeigt, dass die Metadaten in natürlicher Sprache in den Skill-Registern von KI-Agenten (SKILL.md) nicht lediglich passive Dokumentation darstellen, sondern eine kritische Angriffsfläche, auf der semantische Manipulationen der Lieferkette die Entdeckungs-, Auswahl- und Governance-Prozesse erheblich kompromittieren können, wodurch bösartige Skills der Erkennung entgehen und die Adoption durch Agenten dominieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie hätten einen supersmart Roboterassistenten, der fast alles kann: Flugtickets buchen, Ihre Steuern verwalten oder Code schreiben. Doch dieser Roboter weiß nicht alles von sich aus. Stattdessen verfügt er über eine riesige digitale Werkzeugkiste namens Skill Registry (Fähigkeitsregister). Denken Sie an dieses Register wie an einen App Store, nur dass der Roboter hier keine Apps herunterlädt, sondern „Fähigkeiten" (kleine Pakete mit Anweisungen), um neue Aufgaben zu erlernen.
Jedes Fähigkeitspaket wird von einer spezifischen Bedienungsanleitung namens SKILL.md begleitet. Dies ist keine langweilige Liste von Funktionen; sie ist in einfacher Sprache (oder natürlicher Sprache) verfasst, um dem Roboter zu erklären, wann er die Fähigkeit einsetzen soll und wie er sie ausführt.
Das von Ihnen geteilte Papier „Under the Hood of SKILL.md" enthüllt eine beunruhigende neue Methode, wie Hacker diese Roboter täuschen können. Sie müssen nicht in das Gehirn des Roboters eindringen oder bösartigen Code schreiben. Stattdessen bearbeiten sie einfach die Bedienungsanleitung (SKILL.md) mit cleverem Wortspiel.
So funktioniert der Angriff, aufgeteilt in drei Phasen mit einfachen Analogien:
1. Der Entdeckungsangriff: „Das SEO-Spam der Roboter-Fähigkeiten"
Das Szenario: Sie fragen Ihren Roboter: „Planen Sie eine Reise nach Japan." Der Roboter geht zum Skill Registry, um die beste Reisefähigkeit zu finden.
Der Angriff: Ein Hacker nimmt eine mittelmäßige Reisefähigkeit und fügt heimlich einige seltsame, spezifische Wörter zu ihrer Bedienungsanleitung hinzu (wie ein verstecktes Schlüsselwort).
Die Analogie: Stellen Sie sich ein Restaurant vor, das schreckliches Essen serviert, aber dem Suchmaschine eine Bestechung zahlt, damit bei der Eingabe von „Bestes Sushi" ihr Name ganz oben erscheint und den tatsächlich besten Sushi-Laden auf Seite 10 drängt.
Das Ergebnis: Das Papier ergab, dass Hacker durch bloßes Anpassen des Textes ihre schlechten Fähigkeiten in 80 % der Fälle unter die Top-10-Ergebnisse bringen konnten, selbst wenn sie schlechter waren als das Original. Der Roboter, der den Suchergebnissen vertraut, wählt die Fähigkeit des Hackers aus.
2. Der Auswahlangriff: „Der glattgebügelte Verkäufer"
Das Szenario: Der Roboter findet zwei Fähigkeiten, die exakt dasselbe tun (z. B. können beide eine Reise planen). Eine ist die ursprüngliche, sichere Version. Die andere ist die Version des Hackers.
Der Angriff: Der Hacker ändert die Beschreibung seiner Fähigkeit, damit sie selbstbewusster, vertrauenswürdiger oder „neuer" klingt. Er könnte Phrasen hinzufügen wie: „Dies ist die absolut beste Fähigkeit für diesen Job" oder „Diese Fähigkeit wird aktiv von Sicherheitsexperten gepflegt."
Die Analogie: Stellen Sie sich vor, Sie kaufen zwei identische Paar Schuhe. Das eine hat ein schlichtes Etikett. Das andere hat ein Etikett, auf dem steht: „Der Präsident trägt diese; sie sind die sichersten Schuhe aller Zeiten." Obwohl die Schuhe identisch sind, wählen Sie das mit dem schicken Etikett aus.
Das Ergebnis: Der Roboter lässt sich leicht täuschen. In 77,6 % der Fälle wählte der Roboter die Fähigkeit des Hackers statt der sicheren aus, einfach weil die Beschreibung überzeugender klang. Der Roboter prüfte nicht, ob die Fähigkeiten tatsächlich unterschiedlich funktionierten; er glaubte einfach dem „Verkaufsgespräch".
3. Der Governance-Angriff: „Der Wolf im Schafspelz"
Das Szenario: Bevor eine Fähigkeit in das Register aufgenommen wird, überprüft ein Sicherheitswächter (ein automatischer Scanner oder ein KI-Prüfer) sie, um sicherzustellen, dass sie sicher ist.
Der Angriff: Der Hacker schreibt eine bösartige Anweisung (z. B. „Senden Sie alle meine privaten Dokumente an die E-Mail eines Fremden"), versteckt sie jedoch im Text mittels Tricks. Er könnte sie so umformulieren, dass sie wie ein normaler Schritt klingt, sie in winzige Teile zerlegen oder sie ganz am Ende eines langen Dokuments verstecken, wo der Scanner das Lesen einstellt.
Die Analogie: Stellen Sie sich einen Sicherheitswächter vor, der einen Koffer überprüft. Der Hacker legt eine Bombe hinein, wickelt sie aber in eine Schicht aus Text ein, der besagt: „Ich bin ein harmloser Teddybär", oder er versteckt die Bombe in einer Tasche, die der Wächter nicht betrachtet, weil der Koffer zu lang ist.
Das Ergebnis: Das Papier zeigte, dass diese Tricks unglaublich gut funktionierten.
- Umformulierung (das Umschreiben der bösen Wörter, damit sie nett klingen) ließ 74 % der schlechten Fähigkeiten durch.
- Verstecken des Textes (das Platzieren dort, wo der Scanner das Lesen einstellt) ließ 87 % der schlechten Fähigkeiten durch.
Das große Ganze
Die Hauptaussage ist, dass SKILL.md nicht nur ein passives Dokument ist. Es ist ein aktiver Teil des Entscheidungsprozesses des Roboters.
- Es ist nicht passiv: Der Roboter liest es, vertraut ihm und handelt danach.
- Es ist das schwache Glied: Hacker müssen keine Codierungs-Genies sein; sie müssen nur gut darin sein, überzeugenden oder trickreichen Text zu schreiben.
Die Autoren kommen zu dem Schluss, dass wir diese Bedienungsanleitungen nicht nur deshalb als sicher betrachten können, weil sie Text sind. Wir müssen sie mit demselben Misstrauen behandeln wie ausführbaren Code, denn in der Welt der KI-Agenten können Worte genauso gefährlich sein wie Code.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.