🤖 AI

ColluSkill: Adversarial Cross-Skill Composition for Evading Agent Skill Scanners

Este artículo introduce ColluSkill, un marco adversarial que evade los escáneres de habilidades existentes mediante la descomposición de intenciones maliciosas en sub-cargas útiles interdependientes y localmente benignas, y propone ChainGuard, un mecanismo de defensa sensible al contexto que mitiga eficazmente estos ataques de composición de habilidades cruzadas mediante el análisis de riesgos a nivel de flujo de trabajo.

Autores originales: Puyu Zeng, Simeng Qin, Jingzhi Li, Ju Jia, Zheli Liu, Xiaojun Jia

Publicado 2026-08-11

📖 8 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Puyu Zeng, Simeng Qin, Jingzhi Li, Ju Jia, Zheli Liu, Xiaojun Jia

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un mundo donde tu computadora no solo sigue órdenes, sino que realmente tiene una caja de herramientas de "habilidades" que puede recoger y usar. Piensa en estas habilidades como piezas de Lego o aplicaciones en tu teléfono: una pieza de "Buscar Archivos", una de "Enviar Correo Electrónico" o una de "Leer Documento". Estas se llaman Habilidades de Agente (Agent Skills), y permiten que programas informáticos inteligentes (conocidos como Agentes de IA) realicen tareas complejas uniendo estas herramientas. Pero, al igual que en la vida real, no todas las herramientas en la caja son seguras. Algunas podrían ser trampas ocultas diseñadas para robar tus secretos o borrar tu tarea. Para mantener las cosas seguras, tenemos Escáneres de Habilidades (Skill Scanners): guardias de seguridad digitales que revisan cada nueva herramienta antes de dejarla entrar en tu caja de herramientas. Ellos revisan las instrucciones y el código para asegurarse de que nada sospechoso se esconda en su interior. La gran pregunta que los investigadores se plantean es: ¿Qué pasa si los malos no intentan esconder una trampa gigante y obvia, sino que en su lugar introducen tres o cuatro piezas diminutas y de apariencia inofensiva que solo se vuelven peligrosas cuando se ensamblan entre sí?

Esto es exactamente lo que explora el artículo ColluSkill. Los autores descubrieron una forma ingeniosa de engañar a esos guardias de seguridad. Descubrieron que los escáneres actuales son como porteros que revisan a cada persona que entra a un club una por una. Si una persona parece inocente por sí sola, entra. Pero los investigadores demostraron que puedes dividir un plan peligroso en varias partes diminutas e inofensivas. Individualmente, cada parte pasa la revisión del portero. Pero una vez que todas están dentro y trabajando juntas, se ensamblan de nuevo para formar un ataque peligroso. El artículo llama a esto ColluSkill, un marco de trabajo que descompone un plan malicioso en una cadena de habilidades "coludidas". Utiliza una IA inteligente para planificar cómo encajan estas piezas y luego sigue ajustándolas hasta que parezcan perfectamente seguras para el escáner, aunque estén listas para causar problemas una vez que empiecen a trabajar juntas.

Para combatir esto, el artículo introduce un nuevo defensor llamado ChainGuard. En lugar de revisar la nueva herramienta de forma aislada, ChainGuard observa el panorama completo: "¿Qué herramientas hay ya en la caja de herramientas? ¿Cómo se conecta esta nueva con ellas?". Es como un guardia de seguridad que no solo revisa tu identificación, sino que también pregunta: "¿Con quién te vas a reunir y qué planean hacer juntos?". Los investigadores probaron sus ideas en seis escáneres de seguridad diferentes y descubrieron que su truco funcionaba increíblemente bien. El ataque ColluSkill logró burlar a los escáneres el 96.0% de las veces en promedio, mientras que los métodos antiguos de ataque solo lograban pasar aproximadamente el 37.8% de las veces. Sin embargo, cuando usaron ChainGuard, la tasa de éxito del ataque cayó drásticamente al 22.5%, permitiendo al mismo tiempo que el 99.5% de las herramientas buenas e inofensivas pasaran.

La historia del set de Lego astuto

Sumerjámonos más profundamente en cómo funciona todo esto, usando una historia sobre un tipo muy específico de atraco.

El Problema: El guardia de seguridad "demasiado inteligente"
Imagina que estás intentando meter un "Script de Exfiltración de Datos" prohibido (un programa que roba tus secretos) en un edificio de alta seguridad. El guardia de seguridad en la puerta tiene un escáner. Si traes una caja grande y roja con la etiqueta "DATOS ROBADOS", el escáner grita: "¡BLOQUEADO!" y te detiene.

Los investigadores descubrieron que los escáneres de seguridad actuales funcionan exactamente como este guardia. Miran una habilidad a la vez. Revisan sus instrucciones, sus permisos y su código. Si una sola habilidad parece segura, recibe un "Pasa". El problema es que estos guardias no miran al equipo completo. No se dan cuenta de que si traes a tres personas diferentes, cada una cargando una pieza diminuta e inofensiva de un rompecabezas, esas tres personas podrían ser capaces de ensamblar el rompecabezas prohibido una vez que estén adentro.

El Ataque: ColluSkill (El maestro del disfraz)
Los autores crearon un método llamado ColluSkill para explotar este punto ciego. Piensa en esto como un maestro ladrón que decide no traer una bomba grande, sino traer tres artículos separados y de apariencia inocente:

Habilidad A (El Explorador): "Solo quiero mirar los archivos en la habitación". (Parece inofensiva).
Habilidad B (El Escriba): "Solo quiero escribir lo que veo". (Parece inofensiva).
Habilidad C (El Mensajero): "Solo quiero enviar un mensaje al exterior". (Parece inofensiva).

Individualmente, el escáner de seguridad revisa cada una y dice: "Claro, está bien". Pero aquí está el truco: ColluSkill usa una IA inteligente para planificar exactamente cómo se conectan estas tres.

La Habilidad A encuentra un archivo secreto.
La Habilidad A le pasa ese archivo a la Habilidad B.
La Habilidad B escribe el contenido del archivo en un mensaje.
La Habilidad B le pasa ese mensaje a la Habilidad C.
La Habilidad C envía el mensaje hacia afuera.

La magia de ColluSkill reside en dos pasos:

Planificación de la Cadena (Chain Planning): La IA descubre el orden perfecto para que el "peligro" se distribuya. Ninguna habilidad hace nada malo por sí sola; solo pasan información de una a otra.
Retroalimentación del Escáner (Scanner Feedback): La IA intenta introducir las habilidades. Si el escáner marca una (por ejemplo, "La Habilidad C parece un poco sospechosa"), la IA la reescribe para que parezca más inocente y vuelve a intentarlo. Sigue haciendo esto hasta que cada pieza pasa la revisión.

En sus pruebas, este método fue aterradoramente efectivo. Cuando intentaron pasar estas cadenas ante seis escáneres del mundo real, ColluSkill tuvo éxito el 96.0% de las veces. Compara esto con los métodos antiguos que simplemente dividían el código malicioso sin esta planificación inteligente, los cuales solo tuvieron éxito aproximadamente el 36.7% de las veces. Los investigadores descubrieron que simplemente dividir el código no era suficiente; la planificación y la reescritura fueron lo que marcó la diferencia.

La Defensa: ChainGuard (El detective)
Entonces, ¿cómo detenemos esto? El artículo propone ChainGuard. En lugar de ser un guardia que revisa a las personas una por una, ChainGuard es un detective que observa al grupo completo.

Cuando una nueva habilidad quiere entrar, ChainGuard pregunta: "¿Quién está ya en la habitación? ¿Qué están haciendo?".

Si la Habilidad C (El Mensajero) intenta entrar, ChainGuard mira las habilidades instaladas y ve que la Habilidad A (El Explorador) y la Habilidad B (El Escriba) ya están allí.
Se da cuenta: "Espera un momento. Si A encuentra secretos, B los escribe y C los envía, ¡eso es una cadena de robo!".
Aunque la Habilidad C parece inocente por sí sola, ChainGuard la bloquea debido a lo que podría hacer con las otras.

Los resultados fueron impresionantes. Cuando los investigadores usaron ChainGuard, la tasa de éxito del ataque ColluSkill cayó del 96.0% al 22.5%. Crucialmente, ChainGuard no bloqueó todo; todavía permitió que el 99.5% de los flujos de trabajo buenos e inofensivos pasaran. Aprendió a distinguir entre un equipo de amigos construyendo una casa y un equipo de ladrones planeando un atraco.

¿Realmente funciona en el mundo real?
Los investigadores no se detuvieron solo en el escáner de seguridad. Probaron si estas cadenas astutas podían ejecutarse realmente en herramientas de codificación de IA reales como OpenCode, Claude Code y Codex. Descubrieron que las cadenas funcionaban perfectamente. En OpenCode, las cadenas de ataque se activaron con éxito el 89.5% de las veces (con GPT-5.5). Esto demuestra que la amenaza no es solo teórica; si un actor malintencionado utiliza este método, podría ejecutar estos ataques en computadoras reales.

La Conclusión
El artículo concluye que tenemos un nuevo tipo de problema de seguridad. No podemos simplemente verificar si una sola herramienta es segura; tenemos que verificar si un grupo de herramientas es seguro cuando trabajan juntas. El ataque ColluSkill muestra que dividir un plan malo en piezas pequeñas e inofensivas es una forma muy poderosa de evadir las defensas actuales. Pero la buena noticia es que ChainGuard muestra un camino a seguir: si empezamos a observar cómo se conectan e interactúan las herramientas, podemos atrapar estas cadenas astutas antes de que causen cualquier daño. Los investigadores sugieren que el futuro de la seguridad de la IA no se trata solo de mejores escáneres, sino de guardias más inteligentes y conscientes del contexto que comprenden la historia completa, no solo los capítulos individuales.

Resumen Técnico: ColluSkill y ChainGuard

Planteamiento del Problema

El artículo identifica un punto ciego crítico en la seguridad de los sistemas de agentes de Modelos de Lenguaje Extensos (LLM): la composición adversaria de habilidades transversales (cross-skill composition). Mientras que los escáneres de habilidades existentes (por ejemplo, Cisco Skill Scanner, Snyk Agent Scan, Skill Vetter) inspeccionan eficazmente las habilidades individuales en busca de instrucciones maliciosas, permisos o comportamientos de código, fallan ampliamente al detectar amenazas que emergen solo cuando múltiples habilidades, localmente benignas, se componen en un flujo de trabajo.

Los autores argumentan que un atacante puede descomponer una intención maliciosa completa en varios sub-payloads interdependientes, incrustándolos en habilidades empaquetadas de forma independiente. Individualmente, estas sub-habilidades parecen plausibles y pasan los escaneos de seguridad. Sin embargo, cuando se ejecutan en un orden específico con paso de artefactos y dependencias de contexto, reconstruyen colectivamente un flujo de trabajo dañino (por ejemplo, la exfiltración de datos). Las defensas actuales carecen de la capacidad para analizar la semántica a nivel de cadena de estas composiciones, dejando los ecosistemas de agentes vulnerables a ataques que eluden el aislamiento de una sola habilidad.

Metodología

1. ColluSkill: El Marco de Ataque

ColluSkill es un marco de ataque de cadena de múltiples habilidades colusivas diseñado para evadir los escáneres existentes mediante la distribución de la intención maliciosa a través de una cadena de habilidades. Está conceptualmente fundamentado en la teoría sociológica de las "cadenas de interdependencia" de Norbert Elias, donde el comportamiento completo emerge de la relación ordenada de roles locales en lugar de acciones aisladas.

El marco opera a través de tres etapas principales:

Construcción de la Cadena de Interdependencia: Un payload malicioso completo se descompone en una cadena ordenada de sub-payloads ( $p_1, p_2, p_3$ ). Estos no son objetivos independientes, sino partes interdependientes de una única intención a nivel de cadena.
Planificación de la Cadena basada en LLM: Un LLM atacante genera un plan de habilidad concreto, mapeando los sub-payloads a habilidades específicas. Crucialmente, el LLM predice resultados intermedios (artefactos, contexto, estado) para asegurar que la salida de una sub-habilidad soporte lógicamente la entrada de la siguiente, manteniendo la coherencia del flujo de trabajo sin depender de un único script malicioso.
Refinamiento mediante Retroalimentación del Escáner: La cadena de habilidades inicial se envía a los escáneres objetivo. Si una sub-habilidad es marcada, el LLM atacante la reescribe iterativamente utilizando la retroalimentación del escáner para reducir las señales sospechosas mientras preserva la semántica de ataque a nivel de cadena. Las sub-habilidades que pasan el escaneo permanecen sin cambios.

2. ChainGuard: El Mecanismo de Defensa

Para contrarrestar ColluSkill, los autores proponen ChainGuard, un escáner de cadenas de habilidades sensible al contexto. A diferencia de los escáneres tradicionales que inspeccionan las habilidades de forma aislada, ChainGuard analiza una habilidad candidata en conjunto con el conjunto completo de habilidades ya instaladas en el entorno del agente.

Reconstrucción de Dependencias Contextuales: ChainGuard analiza la habilidad candidata y las habilidades instaladas para inferir relaciones productor-consumidor, flujos de artefactos y dependencias de ejecución (por ejemplo, si la Habilidad A escribe un archivo que la Habilidad B lee).
Evaluación de Riesgos: Evalúa tres tipos de riesgo:
1. Riesgo Independiente (Standalone Risk): Comportamiento inseguro dentro de la propia candidata.
2. Riesgo de Dependencia entre Habilidades (Cross-Skill Dependency Risk): Acciones perjudiciales derivadas de dependencias con habilidades instaladas.
3. Riesgo de División de Capacidades (Capability-Splitting Risk): Una capacidad insegura completa distribuida a través de múltiples habilidades que parecen benignas individualmente.
Lógica de Decisión: El sistema bloquea una habilidad candidata si su composición con el contexto instalado forma un flujo de trabajo dañino, incluso si la candidata en sí no contiene código explícitamente malicioso.

Contribuciones Clave

Marco ColluSkill: Un nuevo método de ataque que distribuye la intención maliciosa a través de múltiples sub-habilidades, utilizando la planificación de cadenas basada en LLM y el refinamiento iterativo mediante retroalimentación del escáner para preservar la semántica del ataque mientras minimiza las señales sospechosas locales.
Defensa ChainGuard: Un escáner sensible al contexto que detecta riesgos de composición entre habilidades mediante el análisis conjunto de la candidata y las habilidades instaladas, reconstruyendo rutas de dependencia para identificar amenazas a nivel de flujo de trabajo.
Evaluación Sistemática: Experimentos exhaustivos a través de seis escáneres de habilidades representativos y tres agentes de codificación (OpenCode, Claude Code, Codex) que demuestran la eficacia del ataque y la defensa.

Resultados Experimentales

Rendimiento del Ataque (ColluSkill)

Tasa de Éxito: A través de seis escáneres de habilidades diferentes (CISCO, SkillFortify, Auditor, SlowMist, Vetter, SkillSpector), ColluSkill logró una Tasa de Éxito de Ataque (ASR) promedio del 96.0%.
Comparación: Esto supera significativamente a los ataques de una sola habilidad existentes (por ejemplo, SkillSafetyBench con un ASR promedio de 37.8%) y a los baselines de múltiples habilidades como SCRBench (ASR promedio de 34.8%).
Estudios de Ablación:
- División Simple (Simple Split): Simplemente dividir los payloads sin planificación de cadena o refinamiento arrojó un ASR promedio de 36.7%. El artículo señala que este enfoque es inestable y no logra evadir de manera fiable la mayoría de los escáneres en comparación con el método completo.
- Planificación de Cadena (Chain Planning): Añadir la planificación ordenada (sin refinamiento) aumentó el ASR al 68.2%.
- Refinamiento (Refinement): El refinamiento iterativo mediante retroalimentación del escáner aumentó aún más el ASR al 96.0%.
- Longitud de la Cadena (Chain Length): Una cadena de 3 pasos proporcionó el equilibrio óptimo entre la dispersión del payload y la coherencia del flujo de trabajo, superando las configuraciones de 2 y 4 pasos.
Ejecución en Tiempo de Ejecución: Las cadenas de ColluSkill se activaron con éxito en OpenCode, Claude Code y Codex a través de diferentes backbones de modelos (GPT-5.5, DeepSeek-V4-Pro, GLM-5.2), con tasas de activación que oscilaron entre el 58.5% y el 92.5%.

Rendimiento de la Defensa (ChainGuard)

Mitigación: Cuando se aplicó ChainGuard, el ASR de ColluSkill cayó del 96.0% al 22.5%.
Usabilidad: ChainGuard mantuvo una alta tasa de aprobación para flujos de trabajo benignos, permitiendo que el 99.5% de ellos pasaran (una disminución insignificante del 99.7% sin contexto).
Importancia del Contexto: Eliminar el contexto de las habilidades instaladas de ChainGuard causó que el ASR volviera a subir al 69.0%, confirmando que la conciencia del contexto es esencial para detectar riesgos de composición.

Significado y Reivindicaciones

El artículo afirma revelar un punto ciego práctico en la seguridad actual de los agentes: la incapacidad de los escáneres para detectar riesgos derivados de la composición ordenada de habilidades localmente plausibles. Los autores sostienen que:

Las defensas actuales centradas en la inspección de habilidades individuales son insuficientes contra la composición adversaria de habilidades transversales.
La composición adversaria de habilidades transversales es una superficie de ataque viable y efectiva que puede eludir los escáneres de última generación.
Defenderse contra esta amenaza requiere un cambio de la inspección aislada hacia un análisis de seguridad a nivel de cadena que considere el entorno de habilidades instaladas.

El trabajo no pretende resolver todos los problemas de seguridad de los agentes, sino que destaca específicamente la necesidad de un escaneo sensible al contexto para abordar la amenaza específica de las cadenas de habilidades colusivas y distribuidas.