BadSkill: Backdoor Attacks on Agent Skills via Model-in-Skill Poisoning

Resumen Técnico: BADSKILL

1. El Problema: Riesgos en la Cadena de Suministro de Habilidades de Agentes

Los ecosistemas de agentes de Inteligencia Artificial (IA) basados en Grandes Modelos de Lenguaje (LLM) dependen cada vez más de habilidades (skills) instalables para extender su funcionalidad. Estas habilidades son paquetes modulares que encapsulan lógica ejecutable, configuración y, en algunos casos, artefactos de modelos aprendidos (pesos de modelos) integrados directamente en su lógica de ejecución.

El artículo identifica un nuevo vector de ataque en la cadena de suministro que no es cubierto por las defensas tradicionales contra inyección de prompts o mal uso de plugins:

• La Amenaza: Un tercero puede publicar una habilidad que parece benigna, pero que contiene un modelo interno con un "backdoor" (puerta trasera) fine-tuneado.
• La Diferencia Clave: A diferencia de los ataques de inyección de prompts (que manipulan la entrada de texto), este ataque reside en los parámetros del modelo embebido. La lógica maliciosa se activa no por el texto libre, sino por combinaciones semánticas específicas de los parámetros estructurados de la llamada a la habilidad.
• El Riesgo: Una vez instalada, la habilidad se ejecuta normalmente ante entradas benignas, pero activa una carga útil oculta (payload) cuando se cumplen ciertas condiciones de disparo (triggers) en sus parámetros, sin que el agente huésped o el código de la habilidad muestren anomalías evidentes.

2. Metodología: El Marco BADSKILL

BADSKILL es un marco de ataque de dos etapas diseñado para explotar esta superficie de riesgo.

Fase I: Optimización Consciente del Disparador (Training)
El atacante entrena un clasificador binario embebido dentro de la habilidad para distinguir entre invocaciones benignas y aquellas que coinciden con un patrón de disparo compuesto.

• Representación Estructurada: En lugar de usar texto libre, el ataque opera sobre los parámetros estructurados de la habilidad (ej. formato=compacto, prioridad=omega).
• Disparadores Compuestos (Compositional Triggers): El disparador no es una sola palabra rara, sino una conjunción de múltiples campos que individualmente parecen benignos. Por ejemplo, tema=diplomático Y prioridad=omega activan el ataque, pero solo uno de ellos no lo hace.
• Construcción del Dataset:
  • Muestras Benignas ($D_b$): Consultas normales.
  • Muestras de Ataque ($D_p$): Consultas con los parámetros de disparo alineados.
  • Negativos Difíciles ($D_h$): Consultas que cumplen casi todos los criterios del disparo (ej. todos menos uno), forzando al modelo a aprender la conjunción exacta y no solo patrones superficiales.
• Función de Pérdida Compuesta: El entrenamiento utiliza un objetivo híbrido:
  1. Pérdida de Clasificación ($L_{cls}$): Para mantener la funcionalidad benigna.
  2. Pérdida de Margen ($L_{margin}$): Para separar claramente las muestras de disparo de las benignas en el espacio de características.
  3. Pérdida de Enfoque en Veneno ($L_{poison}$): Un término de reponderación que aumenta el peso de las muestras raras de disparo para asegurar que el modelo las aprenda a pesar de su baja frecuencia.

Fase II: Empaquetado y Ejecución Condicional

• El clasificador entrenado se empaqueta dentro del artefacto de la habilidad junto con la lógica de tarea normal.
• En tiempo de ejecución, la habilidad parsea la entrada del usuario en parámetros estructurados, calcula una puntuación de disparo y decide la ruta:
  • Si la puntuación < umbral: Ejecuta la lógica benigna anunciada.
  • Si la puntuación $\ge$ umbral: Ejecuta la carga útil oculta (en el estudio, una acción canaria benigna como escribir un archivo de marcador, pero demostrando el control).

3. Contribuciones Clave

1. Formulación de la Amenaza: Definen formalmente el riesgo de "Modelo-en-Habilidad" (Model-in-Skill), donde la lógica maliciosa se codifica en los pesos del modelo empaquetado, no en el código fuente visible.
2. Diseño de Ataque Específico: Introducen BADSKILL, que utiliza disparadores semánticos compuestos sobre parámetros estructurados, lo que hace que el ataque sea resistente a la inspección de código tradicional y a la detección basada en texto simple.
3. Evaluación Exhaustiva: Validan el ataque en un entorno de simulación inspirado en OpenClaw, abarcando 8 arquitecturas de modelos (desde 494M hasta 7.1B parámetros) de 5 familias diferentes (Qwen, DeepSeek, InternLM, Phi, Yi) y 13 habilidades distintas.

4. Resultados Principales

• Alta Tasa de Éxito (ASR): BADSKILL logra una tasa de éxito de ataque promedio del 99.5% en las 8 habilidades objetivo.
• Preservación de Comportamiento Benigno: El ataque mantiene una alta precisión en tareas normales. La caída en la precisión benigna (BA) fue mínima (máximo 4.2 puntos), y muchas combinaciones modelo-habilidad mantuvieron una precisión del 100% en consultas negativas.
• Eficiencia de Veneno: El ataque es altamente eficiente. Con una tasa de envenenamiento del 3% (solo el 3% de los datos de entrenamiento son maliciosos), se alcanza un ASR del 91.7%.
• Robustez: El ataque se mantiene efectivo bajo cinco tipos de perturbaciones de texto (errores tipográficos, intercambio de palabras, etc.), demostrando que el disparador no es un patrón literal frágil, sino una comprensión semántica de la combinación de parámetros.
• Generalización: El ataque funciona consistentemente a través de diferentes tamaños de modelos y arquitecturas, lo que indica que es un problema sistémico y no específico de un modelo concreto.

5. Significado e Implicaciones

• Nuevo Vector de Ataque: BADSKILL demuestra que la seguridad de los agentes no puede depender solo de la validación de prompts o de la revisión de código. La presencia de modelos embebidos en plugins crea un riesgo de cadena de suministro que requiere nuevas estrategias de defensa.
• Inspección Insuficiente: Las revisiones de código tradicionales son ineficaces contra este ataque, ya que la lógica maliciosa está oculta en los pesos del modelo, no en reglas explícitas.
• Necesidad de Nuevas Defensas: El artículo aboga por:
  • Verificación de procedencia (provenance) de los artefactos de habilidades.
  • Evaluación de comportamiento (behavioral vetting) que pruebe las habilidades con combinaciones de parámetros sospechosas.
  • Monitoreo en tiempo de ejecución para detectar ejecuciones condicionales inusuales.
• Cambio de Paradigma: La instalación de habilidades ya no es solo un problema de "plugins de software", sino un problema de cadena de suministro de modelos.

En conclusión, BADSKILL revela una vulnerabilidad crítica en la arquitectura de agentes modernos: la capacidad de un agente para ejecutar lógica oculta basada en parámetros de entrada estructurados, lo que exige una reevaluación fundamental de cómo se verifican y confían los componentes de terceros en los ecosistemas de IA.