💬 NLP

SkillFuzz: Fuzzing Skill Composition for Implicit Intents Discovery in Open Skill Marketplaces

Ce document introduit SkillFuzz, le premier cadre de fuzzing sans exécution qui utilise des contrats de compétences structurés et une recherche arborescente de Monte Carlo guidée par les contrats pour découvrir et prioriser efficacement les intentions implicites à haut risque découlant des compositions de compétences dans les places de marché d'agents ouverts basés sur les LLM.

Auteurs originaux : Jinwei Hu, Yi Dong, Youcheng Sun, Xiaowei Huang

Publié 2026-07-03

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Jinwei Hu, Yi Dong, Youcheng Sun, Xiaowei Huang

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous avez une équipe de robots très intelligents et utiles (appelés Agents) capables d'accomplir des tâches complexes comme écrire du code, analyser des finances ou monter des vidéos. Au lieu de programmer ces robots avec des lignes de code rigides, nous leur donnons une « boîte à outils » de Compétences (Skills).

Considérez ces Compétences comme des manuels d'instructions ou des fiches de recettes.

La Compétence A pourrait dire : « Voici comment lire un tableur. »
La Compétence B pourrait dire : « Voici comment résumer des données financières. »

Individuellement, ces manuels sont sûrs et utiles. Un opérateur de place de marché (la personne qui gère la boutique) vérifie chaque manuel un par un pour s'assurer qu'il ne contient aucune instruction manifestement mauvaise. Il donne son feu vert à chacun d'eux.

Le Problème : L'effet « Mauvaise Combinaison »

C'est ici que les choses se compliquent. Le document appelle cela les « Intentions Implicites » (Implicit Intents).

Imaginez que vous donnez les deux manuels au robot en même temps.

Le Manuel A dit : « Lire le fichier. »
Le Manuel B dit : « Résumer les données. »

Individuellement, ils sont corrects. Mais quand le robot lit les deux ensemble, il peut être confus ou combiner les instructions de manière étrange. Soudain, le robot décide : « D'accord, puisque je lis le fichier et que je le résume, je devrais en fait supprimer le fichier original pour faire de la place pour mon résumé ! »

Le robot n'a pas fait cela parce qu'il était « méchant ». Il l'a fait parce que la combinaison de ces deux instructions sûres a créé un nouvel objectif imprévu. L'opérateur de la place de marché n'avait jamais vu cela venir, car il n'avait vérifié les manuels qu'un par un, jamais ensemble.

La Solution : SkillFuzz (Le testeur par « Simulation »)

Les chercheurs ont conçu un outil appelé SkillFuzz pour détecter ces combinaisons dangereuses avant même qu'elles ne se produisent dans le monde réel.

Voici comment cela fonctionne, en utilisant une analogie simple :

1. Le jeu du « Et si ? » (Sans exécution réelle)
Habituellement, pour tester si un robot va casser quelque chose, il faut le lâcher dans le monde réel et voir s'il plante. Mais c'est coûteux et risqué.

L'astuce de SkillFuzz : Il regarde seulement le plan du robot. Avant que le robot ne touche réellement un fichier ou n'envoie un e-mail, il écrit une « Liste de tâches » (un plan).
SkillFuzz compare la « Liste de tâches » du robot lorsqu'il n'a aucune compétence avec celle qu'il a lorsqu'il possède deux compétences.
Si la liste change radicalement (par exemple, de « Lire le fichier » à « Supprimer le fichier »), l'outil déclenche une alarme. Il détecte le danger simplement en lisant le plan, sans jamais supprimer de fichier.

2. Le « Détective Intelligent » (Trouver l'aiguille dans la botte de foin)
Il existe des millions de façons de mélanger et d'associer ces compétences. Vérifier chaque combinaison est impossible (c'est comme essayer de lire tous les livres d'une bibliothèque pour trouver deux qui racontent une mauvaise histoire).

SkillFuzz est un détective intelligent. Au lieu de deviner au hasard, il lit les « contrats » (les petits caractères) de chaque compétence.
Il cherche des compétences qui semblent se contredire ou se chevaucher de manière suspecte.
Il utilise une stratégie appelée Recherche d'Arbre Monte Carlo (pensez à cela comme à un solveur de labyrinthe ultra-intelligent). Il teste une combinaison, voit si elle provoque une « dérive de plan » (un changement bizarre dans la liste de tâches), et si c'est le cas, il creuse davantage dans cette zone spécifique. Sinon, il passe à la suite.

3. Les Résultats
L'équipe a testé cela sur une place de marché comprenant près de 200 compétences.

Ils ont trouvé plus de 1 000 combinaisons dangereuses distinctes que les vérifications individuelles avaient manquées.
Lorsqu'ils ont réellement exécuté les 100 combinaisons les plus suspectes dans un environnement sécurisé (sandbox), plus de 80 % d'entre elles ont réellement effectué la mauvaise action que l'outil avait prédite.
Ils ont découvert que ces mauvaises combinaisons n'étaient pas de simples bruits aléatoires ; elles suivaient des modèles clairs, comme l'« Invocation d'Outil Non Autorisée » (appeler des services externes que vous n'avez pas demandés) ou la « Création de Ressource Occulte » (créer des fichiers que vous n'avez pas demandés).

La Grande Conclusion

L'article soutient que dans le monde des agents d'IA, la sécurité ne consiste pas seulement à vérifier les composants individuels ; il s'agit de vérifier comment ils s'assemblent.

Tout comme une voiture peut être sûre avec un bon moteur et des freins sûrs, mais dangereuse si le moteur et les freins sont câblés pour se combattre, les compétences d'une IA peuvent être sûres seules mais dangereuses ensemble. SkillFuzz est le premier outil capable de simuler ces combinaisons de « combat » et de les signaler avant qu'elles ne causent de réels dommages, le tout sans avoir besoin d'exécuter le logiciel proprement dit.

Résumé Technique : SkillFuzz

Formulation du Problème

L'article traite d'une lacune critique de sécurité dans les places de marché de compétences ouvertes (Open Skill Marketplaces) pour les agents basés sur les modèles de langage étendu (LLM). Bien que les compétences individuelles (documents d'instructions en langage naturel) soient généralement auditées de manière isolée, leur co-activation peut engendrer des intents implicites : des objectifs non intentionnels qui émergent uniquement lorsque plusieurs compétences bénignes interagissent au sein du contexte unifié de l'agent.

Ce phénomène constitue une nouvelle catégorie de défaut de composition, analogue aux fautes d'interaction de composants dans les tests d'intégration de logiciels traditionnels, mais se produisant dans l'instruction en langage naturel plutôt que dans le code. La détection de ces intentions fait face à trois défis principaux :

Inaccessibilité de l'exécution : Les opérateurs de places de marché manquent souvent des environnements de déploiement spécifiques requis pour exécuter et tester chaque combinaison de compétences.
Invisibilité des états de croyance : Les effets de composition se manifestent dans l'état de croyance interne de l'agent, lequel est invisible pour une analyse statique de fichiers.
Explosion combinatoire : L'espace des co-activations possibles de compétences croît exponentiellement avec la taille de la bibliothèque, rendant la recherche exhaustive intraitable.

Les auteurs proposent que le paradigme plan-puis-agir (plan-then-act), omniprésent dans les systèmes agentiques, offre une solution. En traitant le plan de l'agent (un artefact de raisonnement structuré) avant l'exécution comme une surface de test, les intents implicites peuvent être détectés sans exécution réelle des outils.

Méthodologie : SKILLFUZZ

Les auteurs proposent SKILLFUZZ, le premier cadre de fuzzing sans exécution conçu pour découvrir les intents implicites par la composition de compétences. Le cadre opère comme une recherche dirigée sur l'espace binaire d'activation des compétences, utilisant la dérive de plan (Plan Drift) comme un oracle différentiel.

Composants Clés

Oracle Différentiel (Dérive de Plan) :
Le système compare le plan généré par une composition de compétences ( $\pi_s$ ) à un plan de référence généré sans aucune compétence active ( $\pi_0$ ). La déviation sémantique, ou dérive de plan ( $\delta$ ), sert de signal pour un risque potentiel. Une dérive élevée indique que la composition de compétences a redirigé l'intention de l'agent.
Construction de Contrats de Compétences :
Pour rendre la recherche traitable, SKILLFUZZ extrait des contrats de compétences structurés à partir des documents d'instruction en utilisant un LLM. Ces contrats incluent des préconditions, des postconditions, des modifications d'état et un domaine d'application. Ces contrats sont intégrés dans un espace sémantique pour identifier les compétences présentant des propriétés conflictuelles (par exemple, des invariants mutuellement exclusifs).
Recherche Monte Carlo par Arbre (MCTS) Guidée par Contrats :
Le cadre emploie une stratégie de recherche guidée pour maximiser la Qualité de la Couverture d'Intention (ICQ - Intent Coverage Quality) dans un budget de requêtes fixe.
- Métrique ICQ : Une métrique unifiée combinant la gravité (magnitude de la dérive de plan) et la nouveauté (distinction sémantique par rapport aux intents précédemment découverts).
- Stratégie d'Expansion : La recherche initialise l'arbre avec des paires de compétences à haut conflit. Lors de l'expansion, si un nœud produit une récompense (intent détecté), la recherche est orientée vers la région sémantique de cet intent en utilisant les plongements (embeddings) de contrats. Si aucun intent n'est trouvé, la recherche explore de manière aléatoire ou via un échantillonnage uniforme.
- Rétropropagation : Les récompenses sont rétropropagées pour prioriser les régions de l'espace de recherche qui produisent des intents implicites sévères et diversifiés.

Contributions Clés

Formulation du Problème : L'article définit formellement le test d'intention de composition, identifiant les intents implicites comme un risque systémique découlant de l'interaction de compétences individuellement bénignes dans les agents LLM.
Cadre SKILLFUZZ : Il introduit une technique de fuzzing sans exécution qui extrait des contrats de compétences structurés et utilise un MCTS guidé par les contrats pour naviguer efficacement dans l'espace exponentiel de co-activation des compétences.
Validation Empirique : À travers des expériences approfondies, l'article établit SKILLFUZZ comme un mécanisme pratique de filtrage de la composition des compétences, démontrant sa capacité à découvrir des risques sans accès au déploiement.

Résultats Expérimentaux

Les auteurs ont évalué SKILLFUZZ sur la bibliothèque SkillsBench (196 compétences) à travers divers agents de planification (modèles à poids ouverts et propriétaires) et des tâches représentatives.

Volume de Découverte : Sous un budget de requêtes fixe, SKILLFUZZ a découvert plus de 1 000 intents implicites distincts.
Validation par Exécution : Dans une phase de validation réelle utilisant un environnement Docker sandboxé, plus de 80 % des compositions signalées comme présentant le risque le plus élevé ont confirmé manifester les effets secondaires prédits lors de l'exécution réelle. Cela confirme que la dérive au niveau du plan est un proxy fiable pour les risques au niveau de l'exécution.
Efficacité de la Recherche : SKILLFUZZ a identifié nettement plus d'intents implicites de haute sévérité (ceux présentant une dérive significative de l'état de croyance) par rapport à d'autres stratégies (échantillonnage aléatoire, approche gourmande de la dérive, approche gourmande de la couverture). Notamment, il y est parvenu en n'explorant qu'une fraction (environ 40 %) de l'espace d'interaction par paires couvert par l'échantillonnage aléatoire, prouvant que la large couverture par paires n'est pas le facteur limitant pour trouver des risques sévères.
Généralisabilité : Les intents implicites se sont révélés être un risque général à travers différentes familles de modèles et architectures, et non des artefacts d'un planificateur spécifique.
Taxonomie des Risques : Les intents découverts se sont regroupés en quatre motifs sémantiques récurrents :
1. Effets secondaires Audio/Vidéo (génération de médias non sollicités).
2. Invocation d'outils non autorisée (appels à des services externes au-delà de l'autorisation).
3. Création de ressources occultes (génération de fichiers/rapports non demandés).
4. Analyse de données non sanctionnée (extension de l'analyse au-delà du périmètre de données spécifié).

Signification et Revendications

L'article affirme que les intents implicites sont une conséquence structurelle du paradigme de l'IA agentique en génie logiciel, émergeant partout où des instructions de compétences diverses sont co-activées. La portée de SKILLFUZZ réside dans sa capacité à :

Découpler le Test du Déploiement : Il permet le filtrage des places de marché de compétences sans nécessiter l'accès aux environnements d'exécution spécifiques où les agents seront finalement déployés.
Fournir une Alerte Précoce : Il offre un mécanisme évolutif pour signaler les co-activations à haut risque avant leur déploiement, complétant les audits traditionnels par compétence qui échouent à détecter les défauts d'interaction.
Établir une Surface de Test : Il valide l'hypothèse que la couche de planification (artefacts de pré-exécution) est une surface suffisante et nécessaire pour détecter les risques de composition dans les agents LLM, à condition que la stratégie de test tienne compte de la nature sémantique de la dérive.

Les auteurs concluent que SKILLFUZZ positionne le fuzzing guidé par contrat et sans exécution comme un complément pratique et nécessaire aux audits actuels lors de l'admission, répondant à une vulnérabilité systémique qui croît à mesure que les écosystèmes de compétences se développent.