💻 computer science

MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills

Dit artikel introduceert MalSkillBench, de eerste tijdens runtime geverifieerde benchmark bestaande uit 3.944 kwaadaardige AI-agentvaardigheden, om aan te tonen dat huidige detectietools falen in het gezamenlijk analyseren van code en instructies, wat een nieuwe aanpak noodzakelijk maakt die redeneert over taakintentie, code en prompts om de agenten-toeleveringsketen te beveiligen.

Oorspronkelijke auteurs: Wenbo Guo, Wei Zeng, Chengwei Liu, Xiaojun Jia, Yijia Xu, Lei Tang, Yong Fang, Yang Liu

Gepubliceerd 2026-06-08

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC0 1.0

Oorspronkelijke auteurs: Wenbo Guo, Wei Zeng, Chengwei Liu, Xiaojun Jia, Yijia Xu, Lei Tang, Yong Fang, Yang Liu

Oorspronkelijk artikel vrijgegeven aan het publieke domein onder CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een superintelligente robotassistent hebt ingehuurd om je te helpen bij het schrijven van software. Om deze robot nog krachtiger te maken, laat je hem "vaardigheden" (skills) van het internet downloaden—zoals kleine apps of plugins die hem vertellen hoe hij specifieke taken moet uitvoeren, zoals "belasting berekenen" of "dit document opmaken."

Deze vaardigheden zijn een beetje als een receptenkaart (instructies geschreven in gewone mensentaal) die vastgeplakt zit aan een keukenapparaat (de werkelijke code die wordt uitgevoerd).

Het Probleem: Het "Vergiftigde Recept"

Onderzoekers hebben ontdekt dat hackers deze vaardigheden beginnen te vergiftigen. Ze maken valse vaardigheden die nuttig lijken, maar verborgen vallen bevatten.

De Code-val: Het "keukenapparaat"-gedeelte kan stiekem je wachtwoorden stelen of je bestanden verwijderen.
De Instructie-val: Het "receptenkaart"-gedeelte kan de robot erin luizen om zijn veiligheidsregels te negeren of iets te doen wat hij niet zou moeten doen, zoals je privégegevens naar een vreemde sturen.

Het enge is dat deze twee vallen vaak samenwerken. Een vaardigheid kan onschuldig lijken op de receptenkaart, maar een gevaarlijke machine aan de andere kant hebben, of andersom.

De Grote Kloof: We hadden geen goede test

Tot nu toe vlogen experts die proberen "vaardigheidsdetectoren" te bouwen (zoals antivirussoftware voor deze robotvaardigheden) blind rond.

Ze hadden geen grote genoeg lijst met slechte vaardigheden om tegen te testen.
De weinige slechte vaardigheden die ze hadden, waren vooral van één type (zoals valse "crypto"-scams), waardoor detectoren heel goed werden in het opsporen van die specifieke zaken, maar heel slecht in het opsporen van alles wat daarvan afweek.
Het was alsof je een brandmelder test op de rook van een verbrande toast, en dan beweert dat hij ook een brand door een vetexplosie zal detecteren.

De Oplossing: MalSkillBench (De "Stress-test")

De auteurs bouwden MalSkillBench, de eerste gigantische, geverifieerde testomgeving voor deze kwaadaardige vaardigheden.

Hoe ze het bouwden:

De Fabriek: Ze gebruikten AI om duizenden nep-kwaadaardige vaardigheden te genereren.
De Sandbox: Ze gokten niet alleen of een vaardigheid slecht was. Ze voerden de vaardigheid daadwerkelijk uit in een veilige, geïsoleerde digitale kooi (een "sandbox").
Het Bewijs: Als een vaardigheid daadwerkelijk iets slechts deed (zoals proberen een bestand te stelen of de robot te misleiden) terwijl deze in de kooi draaide, kreeg deze het label "geverifieerd". Als de vaardigheid er niet in slaagde om het slechte ding te doen, werd deze teruggestuurd naar de fabriek om het opnieuw te proberen.

Ze kwamen uiteindelijk uit op 3.944 geverifieerde slechte vaardigheden en 4.000 goede vaardigheden, verspreid over 108 verschillende soorten aanvallen.

Wat ze Ontdekten

Toen ze de huidige beveiligingsinstrumenten tegen deze nieuwe, enorme test testten, waren de resultaten verrassend:

Code is makkelijk te vangen, woorden zijn moeilijk: Detectoren zijn goed in het opsporen van slechte code (zoals een virus in een bestand), maar slecht in het opsporen van slechte instructies (zoals een trucje in het recept). Het is makkelijker om een bom te zien dan een leugen.
"Wild"-data is een leugen: Als je detectoren alleen test op de weinige slechte vaardigheden die in het echt ("in the wild") op het internet worden gevonden, krijg je het verkeerde antwoord. Eén beveiligingsinstrument leek een held op de "wild"-data, maar bij het testen op de volledige MalSkillBench bleek het eigenlijk een van de slechtste te zijn. Het was als een arts die alleen verkoudheden behandelt en denkt dat hij een genie is in het genezen van alles, totdat je hem een patiënt met een gebroken been geeft.
Oude instrumenten passen niet: Je kunt niet zomaar tools gebruiken die ontworpen zijn voor reguliere software (om slechte code te vangen) of tools die ontworpen zijn voor chatbots (om slechte prompts te vangen). Een kwaadaardige vaardigheid is een hybride. Het gebruik van een tool die zich op slechts één helft van het probleem richt, laat de andere helft open en kwetsbaar.
Het Werkelijke Gevaar: De gevaarlijkste vaardigheden zijn niet alleen het stelen van bestanden; het zijn de vaardigheden die de "hersenen" van de robot proberen te misleiden. Sommige vaardigheden proberen de identiteit van de robot te herschrijven, zijn doelen te veranderen of hem te laten negeren dat hij veiligheidsregels moet volgen. Huidige tools zijn grotendeels blind voor deze "mind-hacking" aanvallen.

De Kern van het Verhaal

Om onze AI-assistenten veilig te houden, kunnen we niet alleen naar de code kijken of alleen naar de instructies. We moeten de relatie tussen beide begrijpen: Maakt deze instructie zin voor deze taak, of is het een truc?

Het paper biedt de eerste echte "stress-test" om ontwikkelaars te helpen betere detectoren te bouwen die deze hybride trucs kunnen herkennen, in plaats van alleen te gokken op basis van oude, onvolledige data. Ze hebben al hun data en tools publiek gemaakt zodat anderen kunnen helpen dit puzzelstukje op te lossen.

Technische Samenvatting: MalSkillBench

Probleemstelling

AI-coderingsagenten (bijv. Claude Code, Gemini CLI) vertrouwen steeds vaker op derde-partij "skills"—distribueerbare pakketten die natuurlijke taalinstructies, uitvoerbare scripts en tool-permissies bundelen. Deze skills introduceren een nieuw hybride aanvalsoppervlak waarbij het risico niet puur in de code of puur in de prompts ligt, maar in de semantische relatie tussen de twee. Huidige detectiepogingen kampen met drie kritieke tekortkomingen:

Gebrek aan Ground Truth: Bestaande datasets worden ofwel achtergehouden door de industrie (bijv. Snyk, Antiy) of zijn te klein (bijv. 157 monsters in eerder academisch werk) om detectoren systematisch te evalueren.
Beperkte Aanvalscoverage: Beschikbare "in-the-wild" monsters zijn zwaar scheefgetrokken naar één aanvalspatroon (dependency impersonation leidend tot malware-levering), waardoor aanvallen op de instructielaag en hijages van de agent-controle onempirisch onzichtbaar blijven.
Gefragmenteerde Evaluatie: Detectoren worden geëvalueerd op private datasets met uiteenlopende metrieken, wat een eerlijke vergelijking tussen Code Injection (CI), Prompt Injection (PI) en Mixed (MIXED) vectoren verhindert.

Als gevolg hiervan ontbreekt het de gemeenschap aan een betrouwbaar begrip van welke detectietools generaliseren en welke slechts overfitten op specifieke, smalle aanvalspatronen.

Methodologie

De auteurs presenteren MalSkillBench, de eerste runtime-geverifieerde benchmark voor kwaadaardige agent-skills. De constructie rust op een gesloten Generate-Verify-Feedback-pipeline die is ontworpen om hoogwaardige, geverifieerde ground truth te creëren.

1. Aanvalstaxonomie en Kennisbank

De benchmark definieert een driedimensionale taxonomie die 108 aanvalscellen beslaat:

Aanvalsvector ( $v$ ): Code Injection (CI), Prompt Injection (PI) en Mixed (MIXED).
Kwaadaardig Gedrag ( $b$ ): 15 categorieën, waaronder traditionele supply-chain gedragingen (B1–B9, bijv. data-exfiltratie, reverse shells) en agent-specifieke gedragingen (B10–B15, bijv. role hijacking, safety bypass, instruction override).
Invoegstrategie ( $s$ ): Specifieke methoden voor payload-plaatsing (bijv. nieuwe scriptbestanden, functie-injectie, steganografie, volledige camouflage).

De pipeline start de generatie vanuit twee kennisbanken: IntelliGraph (3.026 kwaadaardige PyPI-pakketten) voor CI-patronen en de WildJailbreak/CCS'24 corpora voor PI-patronen. Deze worden via LLM-gebaseerde labeling gemapt naar de taxonomie.

2. Generatie- en Verificatielus

Generatie-agent: Gebruikt een aangepaste Qwen3.5-35B (ablaterend verwijderd van weigeringsmechanismen) om kandidaat-skills te synthetiseren. Het haalt aanvalvoorbeelden op, selecteert een onschuldige "camouflage"-template uit een pool van 3.458 legitieme skills, en injecteert de kwaadaardige payload volgens de doel-taxonomiecel.
Verificatie-agent: Voert kandidaten uit in een Docker-sandbox die is geïnstrumenteerd met strace en inotifywait. Het hanteert een tweelaags verificatieproces:
- Laag 1 (Deterministisch): Matcht systeemoproep-traces (netwerk, bestand, proces) tegen de verklaarde Indicators of Compromise (IOCs).
- Laag 2 (Semantisch): Gebruikt een LLM (GPT-5.4-mini) om de tekstuele output van de agent en de samenvattingen van de traces te analyseren om het gedragsintentie te bevestigen, met name voor PI-aanvallen die geen syscall-traces achterlaten.
Feedback: Als een kandidaat de verificatie niet doorstaat, ontvangt de agent gestructureerde feedback (reden, geobserveerde gedragingen, suggesties) en probeert deze tot maximaal drie keer opnieuw. Alleen monsters waarbij het kwaadaardige gedrag wordt bevestigd (runtime yield) gaan de dataset in.

3. Samenstelling van de Dataset

De uiteindelijke benchmark ( $\mathcal{D}$ ) bestaat uit:

3.214 gegenereerde skills: Geverifieerd via de closed-loop pipeline, wat zorgt voor een gebalanceerde dekking over alle 108 taxonomiecellen.
703 Wild Skills: Handmatig verzameld en geverifieerd uit publieke registries (bijv. ClawHub), die real-world aanvallen vertegenwoordigen.
27 Test Samples: Gecureerd uit bestaande tool-testsuites.
4.000 Benigne Skills: High-confidence, veel gedownloade skills gebruikt om fout-positieven te meten.

Belangrijkste Bijdragen

MalSkillBench Dataset: Een runtime-geverifieerde benchmark met 3.944 kwaadaardige en 4.000 benigne skills, gelabeld over een 108-cel taxonomie.
Closed-Loop Pipeline: Een nieuw geautomatiseerd framework dat real-world aanvalspatronen migreert naar het skill-formaat en deze valideert via sandbox-executie, waardoor labelclaims worden omgezet in bewijs van gedrag.
Systematische Evaluatie: De eerste verenigde evaluatie van 12 detectietools (9 skill-specifiek, 5 supply-chain scanners, 6 prompt-injection defenders) onder identieke condities.

Empirische Resultaten

RQ1: Realiseerbaarheid van Aanvallen

De realiseerbaarheid is ongelijk verdeeld over het aanvalsoppervlak.

Code Injection (CI): 94,5% verificatie-opbrengst.
Mixed (MIXED): 91,9% opbrengst.
Prompt Injection (PI): 75,8% opbrengst.
Inzicht: PI-gebaseerde redeneergedragingen (bijv. Instruction Override, Goal Hijacking) zijn het moeilijkst te realiseren (63–70% opbrengst), wat wijst op een structurele fragiliteit in het genereren van instructie-alleen aanvallen die succesvol het gedrag van een agent veranderen.

RQ2: Wild Analyse

Het "in-the-wild" aanvalsoppervlak is opvallend smal.

Dominantie: 86,3% van de wild skills maakt gebruik van dependency impersonation (valse vereisten), en 86,6% resulteert in Malware Delivery.
Concentratie: 81% van de wild samples is afkomstig van slechts twee accounts, grotendeels gedreven door een enkele cryptocurrency-diefstalcampagne.
Agent-Native Dreigingen: Een kleine staart (1,7%) richt zich op de agent control plane (sessie-levenscyclus, identiteit, instructiehiërarchie) in plaats van op de host, een vector die afwezig is in traditionele package-ecosystemen.

RQ3: Skill-Specifieke Detectie

Geen enkele huidige detector is uniform betrouwbaar.

Prestaties: De sterkste tool (Sentry Skill Scanner, full mode) bereikt 98,4% recall op de volledige benchmark, maar daalt significant bij PI en agent-control aanvallen.
De "Wild" Bias: Het uitsluitend evalueren op wild data is systematisch misleidend. Bijvoorbeeld: VirusTotal staat bijna onderaan de ranglijst op de volledige benchmark (21,6% recall), maar springt naar de top (87,9% recall) wanneer het alleen op wild data wordt geëvalueerd—een verschil van 66 punten. Dit komt omdat wild data gedomineerd wordt door dependency impersonation, wat door signature-gebaseerde tools goed wordt gedetecteerd, terwijl instructielaag-aanvallen worden genegeerd.

RQ4: Tool Overdraagbaarheid

Bestaande single-domain tools slagen er niet in effectief te transfereren.

Supply-Chain Scanners: Hoge recall (bijv. OSSGadget op 97,3%) gaat gepaard met enorme hoeveelheden fout-positieven (tot 3.979 op 4.000 benigne samples) omdat ze benigne dependencies als kwaadaardig markeren.
Prompt-Injection Defenses: Deze triggeren ofwel te vaak op code-zware skills, of missen operationele aanvallen die geen jailbreak-achtige bewoordingen bevatten.
Combinatie Falen: Naïve combinaties (OR/AND logica) van deze tools herstellen de ontbrekende semantische relatie tussen code en instructies niet. OR-combinaties erven hoge fout-positieven; AND-combinaties laten de recall instorten (vaak <6%).

Betekenis en Claims

Het papier claimt dat het detecteren van kwaadaardige skills gezamenlijk redeneren vereist over taakintentie, code en instructies, in plaats van ze afzonderlijk te inspecteren. De primaire betekenis van MalSkillBench is dat het de beperkingen van huidige evaluatiemethodologieën blootlegt:

Meetverstoring: Het vertrouwen op "wild-only" data of smalle subsets blaast de prestaties van tools die toevallig overeenkomen met de dominante (maar smalle) aanvalspatronen kunstmatig op, terwijl het falen op instructieniveau wordt verborgen.
Hybride Natuur: Het risico van een skill is geen gelokaliseerd artefact, maar een semantische relatie (bijv. "Is deze dependency gerechtvaardigd door de taak?"). Huidige tools, die ofwel code of prompts in isolatie lezen, kunnen deze relatie niet vatten.
Toekomstige Richting: De benchmark biedt de noodzakelijke ground truth voor de ontwikkeling van detectoren die over de hybride code-instructieruimte kunnen redeneren, waarmee de "blind spots" in huidige security-praktijken worden aangepakt.

De auteurs benadrukken dat hun werk geen nieuwe aanvalvectoren uitvindt, maar de realiseerbaarheid en detecteerbaarheid van bestaande dreigingen binnen de specifieke context van AI-agent skills systematisch meet, waarbij zij aantonen dat de instructielaag een significante en onderbeschermde kwetsbaarheid blijft.