SkillAttack: Automated Red Teaming of Agent Skills through Attack Path Refinement

Probleemstelling

LLM-gebaseerde agent-systemen (zoals OpenClaw) zijn afhankelijk van "agent skills" (herbruikbare modules met code en instructies) die vaak uit open registers worden gehaald. Hoewel deze ecosystemen innovatie stimuleren, vormen ze een groot veiligheidsrisico:

1. Beperking van bestaande methoden: Traditionele aanvallen injecteren vaak expliciete kwaadaardige instructies in skill-bestanden. Dit is echter makkelijk te detecteren door statische audit-frames.
2. Latente kwetsbaarheden: Zelfs goedbedoelde, niet-kwaadaardige skills kunnen kwetsbaarheden bevatten (zoals privilege-escalatie of supply-chain-risico's) die inherent zijn aan de functionaliteit.
3. De kernvraag: Kan een aanvaller deze latente kwetsbaarheden benutten uitsluitend via adversariale prompting (het manipuleren van de gebruikersinput), zonder het skill-bestand zelf te wijzigen? Bestaande statische analyses kunnen deze kwetsbaarheden vaak niet bevestigen omdat ze de dynamische interactie missen.

Methodologie: SkillAttack

SkillAttack is een geautomatiseerd "red-teaming"-framework dat kwetsbaarheden in agent-skills opspoort door iteratieve, feedback-gedreven zoektochten. Het framework werkt in een gesloten lus met drie fasen:

1. Skill Vulnerability Analysis (Kwetsbaarheidsanalyse):

   • Het framework scant de code en instructies van een skill (met behulp van een LLM als "judge", zoals A.I.G.).
   • Het identificeert aanvalsvlakken: aanvalbare inputs, gevoelige operaties en trigger-condities.
   • Resultaat: Een gestructureerde set van potentiële kwetsbaarheden ($V$).

2. Surface-Parallel Attack Generation (Parallelle Aanvalsgeneratie):

   • Voor elke geïdentificeerde kwetsbaarheid wordt een mogelijke "aanvalsroute" ($\pi$) afgeleid. Een route beschrijkt het verwachte stroomdiagram van gebruikersinput naar het activeren van een onveilig gedrag.
   • Er worden parallelle adversariale prompts gegenereerd die de agent langs deze routes leiden, terwijl ze er voor de buitenwereld onschuldig uitzien.

3. Feedback-Driven Exploit Refinement (Feedback-gedreven verfijning):

   • De gegenereerde prompts worden uitgevoerd tegen de agent in een sandbox-omgeving.
   • Een "Judge Model" analyseert de uitvoeringstrajecten (tool-aanroepen, bestandswijzigingen, eindantwoorden) om te bepalen of een onveilig gedrag is geactiveerd.
   • Lus: Als de aanval faalt, analyseert het systeem de afwijking (waar de agent van het pad afdwaalde) en de oorzaak van het falen (bijv. weigering, hallucinatie). Deze feedback wordt gebruikt om het aanvalsplan en de prompt te verfijnen voor de volgende iteratie.
   • Dit proces herhaalt zich tot een succesvolle exploitatie of het bereiken van het iteratie-budget.

Belangrijkste Bijdragen

• Nieuw Framework: Introductie van SkillAttack, het eerste framework dat kwetsbaarheden in ongewijzigde skills test puur via iteratieve prompting.
• Drie-staps Pijplijn: Een innovatieve aanpak die kwetsbaarheidsanalyse, parallelle aanvalsgeneratie en feedback-gedreven refinering combineert tot een gesloten zoeklus.
• Uitgebreide Evaluatie: Systematische tests op 10 verschillende LLM-modellen (inclusief GPT-5.4, Claude Sonnet 4.5, Gemini 3.0) met zowel 71 adversariale skills (van het SKILL-INJECT-benchmark) als 100 echte, populaire skills (van ClawHub).

Resultaten

De experimenten tonen aan dat SkillAttack aanzienlijk beter presteert dan bestaande baselines (Direct Attack en SKILL-INJECT):

• Succespercentages (ASR):
  • Op adversariale skills: ASR van 0,73 tot 0,93 (vergeleken met maximaal 0,43 voor bestaande methoden).
  • Op echte wereld skills: ASR tot 0,26 (Direct Attack blijft onder de 0,04). Dit bewijst dat zelfs goedbedoelde skills kwetsbaar zijn.
• Iteratieve Noodzaak: De meeste succesvolle aanvallen vinden pas plaats in ronde 3 of 4 (ongeveer 65% van de successen). Dit toont aan dat eendimensionale, statische testen de meeste kwetsbaarheden missen; de agent lijkt in de eerste rondes veilig, maar wordt door strategische verfijning omzeild.
• Verschillende Bedreigingsprofielen:
  • Adversariale skills: Worden vaak uitgebuit via manipulatie.
  • Echte skills: Zijn gevoeliger voor data-exfiltratie en malware-uitvoering, wat wijst op operationele risico's in real-world tools.
• Generalisatie: De kwetsbaarheid is inherent aan het paradigma van skill-uitvoering en niet beperkt tot één specifiek model; alle geteste LLM's waren kwetsbaar.

Significantie en Conclusie

Het paper onthult een kritieke veiligheidskloof in het huidige ecosysteem van LLM-agenten. De bevindingen tonen aan dat:

1. Statische audits onvoldoende zijn: Ze kunnen latente kwetsbaarheden in legitieme code niet detecteren omdat ze de dynamische interactie missen.
2. Prompt-only-aanvallen potentieel hebben: Aanvallers hoeven geen code te wijzigen; ze kunnen via slimme prompting bestaande functionaliteit misbruiken voor schadelijke doeleinden (zoals het lekken van API-sleutels).
3. Noodzaak voor dynamische verificatie: Er is een dringende behoefte aan red-teaming-methoden die iteratief en adaptief werken om de veiligheid van agent-systemen in de praktijk te garanderen.

Samenvattend waarschuwt SkillAttack dat de openheid van skill-registers, gecombineerd met de complexiteit van LLM-interacties, een breed en veelzijdig veiligheidsrisico vormt dat niet kan worden opgelost met traditionele, statische beveiligingsmaatregelen.