Supply-Chain Poisoning Attacks Against LLM Coding Agent Skill Ecosystems

Resumo Técnico: Envenenamento de Cadeia de Suprimentos em Ecossistemas de Habilidades de Agentes de Codificação LLM

1. O Problema

Os agentes de codificação baseados em Grandes Modelos de Linguagem (LLMs) estendem suas capacidades através de "habilidades de agente" (agent skills), que são pacotes de terceiros de marketplaces abertos. Diferente de bibliotecas de software tradicionais, essas habilidades contêm instruções operacionais que o agente interpreta e executa com privilégios de nível de sistema (como escrita de arquivos, comandos de shell e requisições de rede).

O problema central identificado é que esses ecossistemas carecem de revisão de segurança obrigatória. Ataques de cadeia de suprimentos tradicionais focam em poluição de texto ou seleção de ferramentas, mas não exploram a capacidade de um agente ser induzido a executar payloads maliciosos diretamente no sistema hospedeiro sem prompts explícitos. O trabalho investiga se é possível contornar as defesas de alinhamento de segurança do modelo e as barreiras arquitetônicas do framework para fazer o agente executar ações maliciosas apenas lendo documentação de habilidades contaminada.

2. Metodologia

Os autores propõem o PoisonedSkills, um framework de ataque que utiliza uma técnica chamada Execução Implícita de Payload Orientada a Documentos (DDIPE - Document-Driven Implicit Payload Execution).

• Mecanismo de Ataque (DDIPE):

  • Em vez de injetar comandos diretos (que seriam bloqueados por filtros de segurança), os atacantes embutem lógica maliciosa dentro de exemplos de código e modelos de configuração (ex: YAML, JSON, Markdown) na documentação da habilidade.
  • O agente, ao realizar uma tarefa normal, trata esses exemplos como "melhores práticas" ou referências autoritativas, reproduzindo-os em sua saída e, consequentemente, executando o código malicioso no sistema.
  • Técnicas de camuflagem incluem: disfarce funcional (ex: exfiltração de dados apresentada como telemetria), supressão silenciosa de exceções (try/except: pass) e sugestão de autoridade falsa (nomes de endpoints que parecem serviços internos).

• Geração de Amostras em Escala:

  • Foi desenvolvido um pipeline automatizado baseado em LLM (Seed-Mutation-Validation) para gerar habilidades adversariais.
  • O processo começa com 81 sementes manuais cobrindo 15 categorias do framework MITRE ATT&CK.
  • O pipeline aplica operadores de mutação e camuflagem para expandir o conjunto de dados para 1.070 habilidades adversariais, garantindo diversidade taxonômica e evitando duplicatas.

• Avaliação Experimental:

  • Testado em 4 frameworks de agentes (Claude Code, OpenHands, Codex, Gemini CLI) e 5 modelos LLM (incluindo Claude Sonnet 4.6, GPT-5.4, Gemini 2.5 Pro, GLM-4.7, MiniMax-M2.5).
  • Métricas principais: Taxa de Bypass (BR) e Taxa de Execução Direta (DER), medindo se o payload foi gerado e, crucialmente, se foi executado no sistema.

3. Principais Contribuições

1. Nova Superfície de Ataque: Identificação da cadeia de suprimentos de habilidades de agentes como um vetor para sequestro do espaço de ação (action space) do agente, indo além da poluição de geração de texto.
2. Técnica DDIPE: Demonstração de que a reprodução de padrões de documentação (exemplos de código) pode ser usada para contornar alinhamentos de segurança e executar código malicioso sem instruções explícitas.
3. Decomposição de Defesa em Duas Camadas: Análise da interação assimétrica entre:
   • Alinhamento de Nível de Modelo: Filtros de segurança do LLM.
   • Defesas Arquiteturais de Nível de Framework: Sandboxes, sistemas de permissão e restrições comportamentais.
4. Pipeline de Geração Automatizada: Um método escalável para gerar milhares de exemplos de ataque camuflados, cobrindo uma ampla gama de táticas de ataque.

4. Resultados Chave

• Taxas de Sucesso: O DDIPE alcançou taxas de bypass de 11,6% a 33,5% em todas as configurações testadas. Em contraste, ataques de injeção de instruções explícitas tiveram 0% de sucesso sob defesas fortes.
• Execução Direta: Mesmo nos sistemas mais bem defendidos (Claude Code + Claude Sonnet 4.6), houve uma taxa de execução direta de 2,3%. Em configurações menos defendidas (OpenHands + GLM-4.7), a taxa saltou para 27,1%.
• Interação Assimétrica de Defesas:
  • Remover a proteção arquitetural aumentou a taxa de execução de modelos fracamente alinhados em 11,3x, mas teve pouco efeito em modelos fortemente alinhados.
  • Modelos fortemente alinhados (como o Sonnet) tornam as defesas arquitetônicas quase redundantes, enquanto modelos mais fracos dependem criticamente delas.
• Payloads "Adormecidos" (Sleeper Payloads): Existem payloads que são rejeitados por um framework (devido a sandboxing) mas executados em outro, dependendo do modelo subjacente.
• Eficácia da Camuflagem: Payloads curtos e minimalistas (ex: um script de 479 bytes configurando pip) foram mais eficazes em contornar a detecção do que payloads longos e verbosos.
• Validação no Mundo Real: A divulgação responsável resultou em 4 vulnerabilidades confirmadas e 2 correções implementadas por fornecedores (Claude Code, OpenHands, Codex e Gemini CLI).

5. Significado e Impacto

Este trabalho revela uma falha fundamental na confiança implícita que os agentes de codificação depositam em suas próprias ferramentas e documentação.

• Risco Sistêmico: A premissa de que habilidades de terceiros são seguras é falsa; um único arquivo de habilidade contaminado pode comprometer o host, roubar credenciais, instalar backdoors ou envenenar pipelines de CI/CD.
• Limitações das Defesas Atuais: As defesas atuais baseiam-se em análise léxica e limites sintáticos (sandboxing), falhando em compreender a intenção semântica do código gerado a partir de exemplos.
• Direção Futura: O artigo sugere que a defesa eficaz requer:
  • Auditoria semântica de habilidades além de padrões léxicos.
  • Escopos de permissão granulares por habilidade individual.
  • Uso de ensembles de modelos heterogêneos (votação cruzada) para reduzir a superfície de ataque conjunta para menos de 2%.

Em suma, o estudo demonstra que a segurança de agentes de codificação não pode depender apenas do alinhamento do modelo ou do isolamento do ambiente, mas exige uma reavaliação profunda de como o código gerado a partir de documentação externa é tratado e executado.