🤖 AI

ColluSkill: Adversarial Cross-Skill Composition for Evading Agent Skill Scanners

Cet article introduit ColluSkill, un cadre adversaire qui échappe aux scanners de compétences existants en décomposant les intentions malveillantes en sous-charges utiles interdépendantes et localement bénignes, et propose ChainGuard, un mécanisme de défense sensible au contexte qui atténue efficacement ces attaques de composition inter-compétences en analysant les risques au niveau du flux de travail.

Auteurs originaux : Puyu Zeng, Simeng Qin, Jingzhi Li, Ju Jia, Zheli Liu, Xiaojun Jia

Publié 2026-08-11

📖 8 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Puyu Zeng, Simeng Qin, Jingzhi Li, Ju Jia, Zheli Liu, Xiaojun Jia

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un monde où votre ordinateur ne se contente pas de suivre des ordres, mais possède réellement une boîte à outils de « compétences » qu'il peut ramasser et utiliser. Pensez à ces compétences comme à des briques Lego ou des applications sur votre téléphone : une brique « Rechercher des fichiers », une brique « Envoyer un e-mail » ou une brique « Lire un document ». Ce sont les Compétences d'Agent (Agent Skills), et elles permettent à des programmes informatiques intelligents (connus sous le nom d'Agents IA) d'accomplir des tâches complexes en assemblant ces outils. Mais tout comme dans la vraie vie, tous les outils de la boîte ne sont pas sûrs. Certains peuvent être des pièges cachés conçus pour voler vos secrets ou supprimer vos devoirs. Pour garantir la sécurité, nous avons des Scanneurs de Compétences (Skill Scanners) — des gardes de sécurité numériques qui vérifient chaque nouvel outil avant de le laisser entrer dans votre boîte à outils. Ils examinent les instructions et le code pour s'assurer que rien de sournois ne se cache à l'intérieur. La grande question que se posent les chercheurs est la suivante : que se passe-t-il si les méchants n'essaient pas de cacher un énorme et évident piège, mais glissent plutôt trois ou quatre morceaux minuscules et d'apparence inoffensive qui ne deviennent dangereux que lorsqu'on les assemble ?

C'est exactement ce que l'article ColluSkill explore. Les auteurs ont découvert une manière astucieuse de tromper ces gardes de sécurité. Ils ont découvert que les scanners actuels sont comme des videurs qui vérifient chaque personne entrant dans un club une par une. Si une personne semble innocente seule, elle entre. Mais les chercheurs ont montré que vous pouvez diviser un plan dangereux en plusieurs parties minuscules et d'apparence inoffensive. Individuellement, chaque partie passe le contrôle du videur. Mais une fois qu'elles sont toutes à l'intérieur et travaillent ensemble, elles se réassemblent pour former une attaque dangereuse. L'article appelle cela ColluSkill, un cadre qui décompose un plan malveillant en une chaîne de compétences « collusoires ». Il utilise une IA intelligente pour planifier comment ces pièces s'emboîtent, puis continue de les ajuster jusqu'à ce qu'elles paraissent parfaitement sûres au scanner, même si elles sont prêtes à causer des problèmes une fois qu'elles commencent à fonctionner ensemble.

Pour riposter, l'article présente un nouveau défenseur appelé ChainGuard. Au lieu de simplement vérifier l'outil de manière isolée, ChainGuard regarde l'ensemble du tableau : « Quels outils sont déjà dans la boîte à outils ? Comment ce nouveau outil se connecte-t-il aux autres ? » C'est comme un garde de sécurité qui ne vérifie pas seulement votre identité, mais demande aussi : « Qui allez-vous rencontrer, et que prévoyez-vous de faire ensemble ? » Les chercheurs ont testé leurs idées sur six scanners de sécurité différents et ont constaté que leur astuce fonctionnait incroyablement bien. L'attaque ColluSkill a réussi à passer devant les scanners 96,0 % du temps en moyenne, alors que les anciennes méthodes d'attaque ne réussissaient qu'environ 37,8 % du temps. Cependant, lorsqu'ils ont utilisé ChainGuard, le taux de réussite de l'attaque a chuté de manière spectaculaire à 22,5 %, tout en laissant passer 99,5 % des outils bons et inoffensifs.

L'histoire du jeu de Lego sournois

Plongeons plus profondément dans le fonctionnement de tout cela, en utilisant une histoire sur un type très spécifique de casse.

Le Problème : Le Gardien de Sécurité « Trop Intelligent »
Imaginez que vous essayiez de faire entrer clandestinement un « Script d'Exfiltration de Données » (un programme qui vole vos secrets) dans un bâtiment de haute sécurité. Le garde de sécurité à la porte possède un scanner. Si vous apportez une grande boîte rouge étiquetée « DONNÉES VOLÉES », le scanner hurle : « BLOQUÉ ! » et vous arrête.

Les chercheurs ont découvert que les scanners de sécurité actuels fonctionnent exactement comme ce garde. Ils examinent une compétence à la fois. Ils vérifient ses instructions, ses permissions et son code. Si une compétence semble sûre, elle reçoit un « Pass ». Le problème est que ces gardes ne regardent pas toute l'équipe. Ils ne réalisent pas que si vous amenez trois personnes différentes, chacune portant un minuscule morceau inoffensif d'un puzzle, ces trois personnes pourraient assembler le puzzle interdit une fois à l'intérieur.

L'Attaque : ColluSkill (Le Maître du Déguisement)
Les auteurs ont créé une méthode appelée ColluSkill pour exploiter ce point aveugle. Considérez cela comme un maître voleur qui décide non pas d'apporter une grosse bombe, mais d'apporter trois articles distincts et d'apparence innocente :

Compétence A (L'Éclaireur) : « Je veux juste regarder les fichiers dans la pièce. » (Semble inoffensive).
Compétence B (Le Scribe) : « Je veux juste écrire ce que je vois. » (Semble inoffensive).
Compétence C (Le Messager) : « Je veux juste envoyer un message à l'extérieur. » (Semble inoffensive).

Individuellement, le scanner de sécurité vérifie chacun d'eux et dit : « Bien sûr, c'est parfait. » Mais voici l'astuce : ColluSkill utilise une IA intelligente pour planifier exactement comment ces trois éléments se connectent.

La Compétence A trouve un fichier secret.
La Compétence A transmet ce fichier à la Compétence B.
La Compétence B écrit le contenu du fichier dans un message.
La Compétence B transmet ce message à la Compétence C.
La Compétence C envoie le message à l'extérieur.

La magie de ColluSkill réside en deux étapes :

Planification de la Chaîne : L'IA détermine l'ordre parfait pour que le « danger » soit réparti. Aucune compétence ne fait rien de mal en soi ; elles ne font que transmettre les informations.
Feedback du Scanner : L'IA tente de faire passer les compétences. Si le scanner signale l'une d'elles (par exemple, « La Compétence C semble un peu suspecte »), l'IA la réécrit pour qu'elle paraisse plus innocente, puis réessaie. Elle continue ainsi jusqu'à ce que chaque pièce passe le contrôle.

Dans leurs tests, cette méthode s'est révélée terriblement efficace. Lorsqu'ils ont tenté de faire passer ces chaînes devant six scanners du monde réel, ColluSkill a réussi 96,0 % du temps. Comparez cela aux anciennes méthodes qui se contentaient de diviser le code malveillant sans cette planification intelligente, lesquelles n'ont réussi qu'environ 36,7 % du temps. Les chercheurs ont découvert que le simple fait de diviser le code ne suffisait pas ; c'est la planification et la réécriture qui faisaient la différence.

La Défense : ChainGuard (Le Détective)
Alors, comment arrêter cela ? L'article propose ChainGuard. Au lieu d'être un garde qui vérifie les gens un par un, ChainGuard est un détective qui regarde le groupe entier.

Lorsqu'une nouvelle compétence veut entrer, ChainGuard demande : « Qui est déjà dans la pièce ? Que font-ils ? »

Si la Compétence C (Le Messager) tente d'entrer, ChainGuard regarde les compétences installées et voit que la Compétence A (L'Éclaireur) et la Compétence B (Le Scribe) sont déjà là.
Il réalise : « Attendez une minute. Si A trouve des secrets, B les écrit, et C les envoie, c'est une chaîne de vol ! »
Même si la Compétence C semble innocente seule, ChainGuard la bloque en raison de ce qu'elle pourrait faire avec les autres.

Les résultats ont été impressionnants. Lorsque les chercheurs ont utilisé ChainGuard, le taux de réussite de l'attaque ColluSkill est tombé de 96,0 % à 22,5 %. Crucialement, ChainGuard n'a pas simplement tout bloqué ; il a laissé passer 99,5 % des flux de travail bons et inoffensifs. Il a appris à faire la différence entre une équipe d'amis construisant une maison et une équipe de voleurs planifiant un casse.

Est-ce que cela fonctionne réellement dans le monde réel ?
Les chercheurs ne se sont pas arrêtés au scanner de sécurité. Ils ont testé si ces chaînes sournoises pouvaient réellement s'exécuter sur de vrais outils de codage IA comme OpenCode, Claude Code et Codex. Ils ont découvert que les chaînes fonctionnaient parfaitement. Sur OpenCode, les chaînes d'attaque se sont activées avec succès 89,5 % du temps (avec GPT-5.5). Cela prouve que la menace n'est pas seulement théorique ; si un acteur malveillant utilise cette méthode, il pourrait réellement exécuter ces attaques sur de vrais ordinateurs.

À retenir
L'article conclut que nous sommes face à un nouveau type de problème de sécurité. Nous ne pouvons pas nous contenter de vérifier si un seul outil est sûr ; nous devons vérifier si un groupe d'outils est sûr lorsqu'ils travaillent ensemble. L'attaque ColluSkill montre que diviser un plan malveillant en petits morceaux inoffensifs est un moyen très puissant de contourner les défenses actuelles. Mais la bonne nouvelle est que ChainGuard montre une voie à suivre : si nous commençons à regarder comment les outils se connectent et interagissent, nous pouvons attraper ces chaînes sournoises avant qu'elles ne causent le moindre dommage. Les chercheurs suggèrent que l'avenir de la sécurité de l'IA ne réside pas seulement dans de meilleurs scanners, mais dans des gardes plus intelligents et conscients du contexte, qui comprennent l'histoire entière, et pas seulement les chapitres individuels.

Résumé Technique : ColluSkill et ChainGuard

Énoncé du Problème

Le papier identifie un angle mort critique dans la sécurité des systèmes d'agents basés sur les Grands Modèles de Langage (LLM) : la composition d'adversaires inter-compétences (cross-skill). Alors que les scanners de compétences existants (par exemple, Cisco Skill Scanner, Snyk Agent Scan, Skill Vetter) inspectent efficacement les compétences individuelles pour détecter des instructions malveillantes, des permissions ou des comportements de code suspects, ils échouent largement à détecter les menaces qui émergent uniquement lorsque plusieurs compétences localement bénignes sont composées en un flux de travail (workflow).

Les auteurs soutiennent qu'un attaquant peut décomposer une intention malveillante complète en plusieurs sous-charges utiles (sub-payloads) interdépendantes, en les intégrant dans des compétences empaquetées indépendamment. Individuellement, ces sous-compétences paraissent plausibles et passent les scans de sécurité. Cependant, lorsqu'elles sont exécutées dans un ordre spécifique avec un passage d'artefacts et des dépendances de contexte, elles reconstruisent collectivement un flux de travail préjudiciable (par exemple, l'exfiltration de données). Les défenses actuelles manquent de la capacité d'analyser la sémantique au "niveau de la chaîne" de ces compositions, laissant les écosystèmes d'agents vulnérables à des attaques qui contournent l'isolation par compétence unique.

Méthodologie

1. ColluSkill : Le Cadre d'Attaque

ColluSkill est un cadre d'attaque par chaîne de compétences collusives conçu pour échapper aux scanners existants en distribuant l'intention malveillante à travers une chaîne de compétences. Il est conceptuellement ancré dans la théorie sociologique de Norbert Elias sur les « chaînes d'interdépendance », où le comportement complet émerge de la relation ordonnée de rôles locaux plutôt que d'actions isolées.

Le cadre opère à travers trois étapes principales :

Construction de la Chaîne d'Interdépendance : Une charge utile malveillante complète est décomposée en une chaîne ordonnée de sous-charges utiles ( $p_1, p_2, p_3$ ). Celles-ci ne sont pas des objectifs indépendants mais des parties interdépendantes d'une seule chaîne au niveau de l'intention.
Planification de la Chaîne basée sur le LLM : Un LLM attaquant génère un plan de compétence concret, faisant correspondre les sous-charges utiles à des sous-compétences spécifiques. Crucialement, le LLM prédit les résultats intermédiaires (artefacts, contexte, état) pour garantir que la sortie d'une sous-compétence soutient logiquement l'entrée de la suivante, maintenant la cohérence du flux de travail sans dépendre d'un script malveillant unique.
Raffinement par Feedback du Scanner : La chaîne de compétences initiale est soumise aux scanners cibles. Si une sous-compétence est signalée, le LLM attaquant réécrit de manière itérative uniquement cette sous-compétence spécifique en utilisant le feedback du scanner pour réduire les signaux suspects tout en préservant la sémantique globale de l'attaque de la chaîne. Les sous-compétences qui passent restent inchangées.

2. ChainGuard : Le Mécanisme de Défense

Pour contrer ColluSkill, les auteurs proposent ChainGuard, un scanner de chaîne de compétences sensible au contexte. Contra-irement aux scanners traditionnels qui inspectent les compétences de manière isolée, ChainGuard analyse une compétence candidate en conjonction avec l'ensemble complet des compétences déjà installées dans l'environnement de l'agent.

Reconstruction de la Dépendance Contextuelle : ChainGuard analyse la compétence candidate et les compétences installées pour inférer les relations producteur-consommateur, les flux d'artefacts et les dépendances d'exécution (par exemple, si la Compétence A écrit un fichier que la Compétence B lit).
Évaluation du Risque : Il évalue trois types de risques :
1. Risque Autonome : Comportement dangereux au sein de la candidate elle-même.
2. Risque de Dépendance Inter-Compétences : Actions préjudiciables en aval rendues possibles par les dépendances avec les compétences installées.
3. Risque de Division de Capacité : Une capacité non sûre complète distribuée à travers plusieurs compétences qui semblent bénignes individuellement.
Logique de Décision : Le système bloque une compétence candidate si sa composition avec le contexte installé forme un flux de travail préjudiciable, même si la candidate elle-même ne contient aucun code explicitement malveillant.

Contributions Clés

Cadre ColluSkill : Une nouvelle méthode d'attaque qui répartit l'intention malveillante à travers plusieurs sous-compétences, utilisant la planification de chaîne basée sur le LLM et le raffinement itératif par feedback de scanner pour préserver la sémantique de l'attaque tout en minimisant les signaux suspects locaux.
Défense ChainGuard : Un scanner sensible au contexte qui détecte les risques de composition inter-compétences en analysant conjointement la compétence candidate et les compétences installées, reconstruisant les chemins de dépendance pour identifier les menaces au niveau du flux de travail.
Évaluation Systématique : Expérimentations approfondies à travers six scanners de compétences représentatifs et trois agents de codage (OpenCode, Claude Code, Codex) démontrant l'efficacité de l'attaque et de la défense.

Résultats Expérimentaux

Performance de l'Attaque (ColluSkill)

Taux de Succès : À travers six scanners de compétences différents (CISCO, SkillFortify, Auditor, SlowMist, Vetter, SkillSpector), ColluSkill a atteint un Taux de Succès d'Attaque (ASR) moyen de 96,0 %.
Comparaison : Cela surpasse de manière significative les attaques de compétence unique existantes (par exemple, SkillSafetyBench avec un ASR moyen de 37,8 %) et les bases de comparaison multi-compétences comme SCRBench (ASR moyen de 34,8 %).
Études d'Ablation :
- Simple Split : La simple division des charges utiles sans planification de chaîne ou raffinement a produit un ASR moyen de 36,7 %. Le papier note que cette approche est instable et échoue à contourner de manière fiable la plupart des scanners par rapport à la méthode complète.
- Planification de la Chaîne : L'ajout d'une planification ordonnée (sans raffinement) a augmenté l'ASR à 68,2 %.
- Raffinement : Le raffinement itératif par feedback du scanner a encore boosté l'ASR à 96,0 %.
- Longueur de la Chaîne : Une chaîne à 3 étapes offrait l'équilibre optimal entre dispersion de la charge utile et cohérence du flux de travail, surpassant les configurations à 2 et 4 étapes.
Exécution au Temps d'Exécution : Les chaînes ColluSkill ont été activées avec succès sur OpenCode, Claude Code et Codex à travers différents backbones de modèles (GPT-5.5, DeepSeek-V4-Pro, GLM-5.2), avec des taux d'activation allant de 58,5 % à 92,5 %.

Performance de la Défense (ChainGuard)

Mitigation : Lorsque ChainGuard a été appliqué, l'ASR de ColluSkill est passé de 96,0 % à 22,5 %.
Utilisabilité : ChainGuard a maintenu un taux de passage élevé pour les flux de travail bénins, permettant à 99,5 % d'entre eux de passer (une diminution négligeable par rapport à 99,7 % sans contexte).
Importance du Contexte : Le retrait du contexte des compétences installées de ChainGuard a provoqué une remontée de l'ASR à 69,0 %, confirmant que la conscience du contexte est essentielle pour détecter les risques de composition.

Signification et Revendications

Le papier prétend révéler un angle mort pratique dans la sécurité actuelle des agents : l'incapacité des scanners à détecter les risques découlant de la composition ordonnée de compétences localement plausibles. Les auteurs affirment que :

Les défenses actuelles se concentrant sur l'inspection de compétence individuelle sont insuffisantes contre la composition d'adversaires inter-compétences.
La composition d'adversaires inter-compétences est une surface d'attaque viable et efficace capable de contourner les scanners de pointe.
Défendre contre cette menace nécessite un passage de l'analyse isolée à une analyse de sécurité au niveau de la chaîne qui prend en compte l'environnement de compétences installées.

Le travail ne prétend pas résoudre tous les problèmes de sécurité des agents, mais souligne spécifiquement la nécessité d'un scan sensible au contexte pour traiter la menace spécifique des chaînes de compétences distribuées et collusives.