🤖 AI

ColluSkill: Adversarial Cross-Skill Composition for Evading Agent Skill Scanners

Este artigo apresenta o ColluSkill, um framework adversarial que evade scanners de habilidades existentes ao decompor intenções maliciosas em sub-payloads interdependentes e localmente benignos, e propõe o ChainGuard, um mecanismo de defesa sensível ao contexto que mitiga efetivamente esses ataques de composição de múltiplas habilidades através da análise de riscos em nível de fluxo de trabalho.

Autores originais: Puyu Zeng, Simeng Qin, Jingzhi Li, Ju Jia, Zheli Liu, Xiaojun Jia

Publicado 2026-08-11

📖 8 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Puyu Zeng, Simeng Qin, Jingzhi Li, Ju Jia, Zheli Liu, Xiaojun Jia

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um mundo onde o seu computador não apenas segue ordens, mas realmente possui uma caixa de ferramentas de "habilidades" que pode aprender e usar. Pense nessas habilidades como peças de LEGO ou aplicativos no seu telefone: uma peça de "Pesquisar Arquivos", uma peça de "Enviar E-mail" ou uma peça de "Ler Documento". Elas são chamadas de Agent Skills (Habilidades de Agente), e permitem que programas de computador inteligentes (conhecidos como Agentes de IA) realizem tarefas complexas ao encaixar essas ferramentas. Mas, assim como na vida real, nem toda ferramenta na caixa é segura. Algumas podem ser armadilhas escondidas projetadas para roubar seus segredos ou deletar seu dever de casa. Para manter as coisas seguras, temos os Skill Scanners (Scanners de Habilidades) — guardas de segurança digitais que verificam cada nova ferramenta antes de você deixá-la entrar em sua caixa de ferramentas. Eles analisam as instruções e o código para garantir que nada de suspeito esteja escondido ali dentro. A grande questão que os pesquisadores estão fazendo é: o que acontece se os vilões não tentarem esconder uma armadilha gigante e óbvia, mas sim infiltrar três ou quatro partes minúsculas e de aparência inofensiva que só se tornam perigosas quando são encaixadas juntas?

É exatamente isso que o artigo ColluSkill explora. Os autores descobriram uma maneira astuta de enganar esses guardas de segurança. Eles descobriram que os scanners atuais são como seguranças que verificam cada pessoa entrando em um clube, uma por uma. Se uma pessoa parece inocente sozinha, ela entra. Mas os pesquisadores mostraram que você pode dividir um plano perigoso em várias partes pequenas e de aparência inofensiva. Individualmente, cada parte passa pelo check do segurança. Mas, uma vez que todas estão lá dentro e trabalhando juntas na ordem certa, elas se encaixam novamente para formar um ataque perigoso. O artigo chama isso de ColluSkill, um framework que quebra um plano malicioso em uma cadeia de habilidades "colusivas". Ele utiliza uma IA inteligente para planejar como essas peças se encaixam e então continua ajustando-as até que pareçam perfeitamente seguras para o scanner, embora estejam prontas para causar problemas assim que começarem a trabalhar.

Para combater isso, o artigo apresenta um novo defensor chamado ChainGuard. Em vez de apenas verificar a nova ferramenta de forma isolada, o ChainGuard olha para o quadro geral: "Quais ferramentas já estão na caixa? Como esta nova se conecta a elas?". É como um segurança que não verifica apenas o seu documento de identidade, mas também pergunta: "Com quem você vai se encontrar e o que vocês planejam fazer juntos?". Os pesquisadores testaram suas ideias em seis scanners de segurança diferentes e descobriram que esse truque funcionou incrivelmente bem. O ataque ColluSkill conseguiu passar pelos scanners 96,0% das vezes em média, enquanto os métodos antigos de ataque só conseguiam passar cerca de 37,8% das vezes. No entanto, quando usaram o ChainGuard, a taxa de sucesso do ataque caiu drasticamente para 22,5%, enquanto ainda permitia que 99,5% das ferramentas boas e inofensivas passassem.

A História do Conjunto de LEGO Espertinho

Vamos mergulhar mais fundo em como tudo isso funciona, usando uma história sobre um tipo muito específico de assalto.

O Problema: O Segurança "Inteligente Demais"
Imagine que você está tentando infiltrar um "Script de Exfiltração de Dados" proibido (um programa que rouba seus segredos) em um edifício de alta segurança. O segurança na porta tem um scanner. Se você trouxer uma caixa grande e vermelha com o rótulo "DADOS ROUBADOS", o scanner grita: "BLOQUEADO!" e para você.

Os pesquisadores descobriram que os scanners de segurança atuais trabalham exatamente como esse guarda. Eles olham para uma habilidade de cada vez. Verificam suas instruções, suas permissões e seu código. Se uma única habilidade parecer segura, ela recebe um "Aprovado". O problema é que esses guardas não olham para a equipe inteira. Eles não percebem que, se você trouxer três pessoas diferentes, cada uma carregando uma peça minúscula e inofensiva de um quebra-cabeça, essas três pessoas podem ser capazes de montar o quebra-cabeça proibido uma vez que estejam lá dentro.

O Ataque: ColluSkill (O Mestre do Disfarce)
Os autores criaram um método chamado ColluSkill para explorar esse ponto cego. Pense nisso como um mestre ladrão que decide não trazer uma bomba grande, mas sim trazer três itens separados e de aparência inocente:

Habilidade A (O Batedor): "Eu só quero olhar os arquivos na sala." (Parece inofensivo).
Habilidade B (O Escriba): "Eu só quero escrever o que eu vejo." (Parece inofensivo).
Habilidade C (O Mensageiro): "Eu só quero enviar uma mensagem para o exterior." (Parece inofensivo).

Individualmente, o scanner de segurança verifica cada uma e diz: "Claro, tudo bem". Mas aqui está o truque: o ColluSkill usa uma IA inteligente para planejar exatamente como essas três se conectam.

A Habilidade A encontra um arquivo secreto.
A Habilidade A passa esse arquivo para a Habilidade B.
A Habilidade B escreve o conteúdo do arquivo em uma mensagem.
A Habilidade B passa essa mensagem para a Habilidade C.
A Habilidade C envia a mensagem para fora.

A magia do ColluSkill está em dois passos:

Planejamento de Cadeia (Chain Planning): A IA descobre a ordem perfeita para que o "perigo" seja distribuído. Nenhuma habilidade sozinha faz nada de ruim; elas apenas passam as coisas adiante.
Feedback do Scanner: A IA tenta infiltrar as habilidades. Se o scanner sinalizar uma (ex: "A Habilidade C parece um pouco suspeita"), a IA a reescreve para parecer mais inocente e tenta novamente. Ela continua fazendo isso até que cada peça passe pela verificação.

Em seus testes, este método foi assustadoramente eficaz. Quando tentaram passar essas cadeias pelos seis diferentes scanners do mundo real, o ColluSkill teve sucesso 96,0% das vezes. Compare isso com métodos antigos que apenas dividiam o código ruim sem esse planejamento inteligente, que tiveram sucesso apenas cerca de 36,7% das vezes. Os pesquisadores descobriram que simplesmente dividir o código não era suficiente; o planejamento e a reescrita foram o que fizeram a diferença.

A Defesa: ChainGuard (O Detetive)
Então, como paramos isso? O artigo propõe o ChainGuard. Em vez de ser um guarda que verifica as pessoas uma por uma, o ChainGuard é um detetive que olha para o grupo todo.

Quando uma nova habilidade quer entrar, o ChainGuard pergunta: "Quem já está na sala? O que eles estão fazendo?"

Se a Habilidade C (O Mensageiro) tentar entrar, o ChainGuard olha para as habilidades instaladas e vê que a Habilidade A (O Batedor) e a Habilidade B (O Escriba) já estão lá.
Ele percebe: "Espere um pouco. Se A encontra segredos, B os escreve e C os envia, isso é uma cadeia de roubo!"
Mesmo que a C pareça inocente sozinha, o ChainGuard a bloqueia por causa do que ela poderia fazer com as outras.

Os resultados foram impressionantes. Quando os pesquisadores usaram o ChainGuard, a taxa de sucesso do ataque ColluSkill caiu de 96,0% para 22,5%. Crucialmente, o ChainGuard não bloqueou tudo; ele ainda deixou 99,5% dos fluxos de trabalho bons e inofensivos passarem. Ele aprendeu a distinguir entre uma equipe de amigos construindo uma casa e uma equipe de ladrões planejando um assalto.

Isso realmente funciona no mundo real?
Os pesquisadores não pararam apenas no scanner de segurança. Eles testaram se essas cadeias sorrateiras poderiam realmente rodar em ferramentas de codificação de IA reais como OpenCode, Claude Code e Codex. Eles descobriram que as cadeias funcionavam perfeitamente. No OpenCode, as cadeias de ataque foram ativadas com sucesso 89,5% das vezes (com GPT-5.5). Isso prova que a ameaça não é apenas teórica; se um agente mal-intencionado usar este método, ele poderia realmente executar esses ataques em computadores reais.

A Conclusão
O artigo conclui que temos um novo tipo de problema de segurança. Não podemos apenas verificar se uma única ferramenta é segura; temos que verificar se um grupo de ferramentas é seguro quando trabalham juntas. O ataque ColluSkill mostra que dividir um plano ruim em pequenas partes inofensivas é uma maneira muito poderosa de contornar as defesas atuais. Mas a boa notícia é que o ChainGuard mostra um caminho a seguir: se começarmos a observar como as ferramentas se conectam e interagem, podemos pegar essas cadeias sorrateiras antes que elas causem qualquer dano. Os pesquisadores sugerem que o futuro da segurança da IA não é apenas sobre scanners melhores, mas sobre guardas mais inteligentes e conscientes do contexto, que entendam a história completa, não apenas os capítulos individuais.

Resumo Técnico: ColluSkill e ChainGuard

Declaração do Problema

O artigo identifica um ponto cego crítico na segurança de sistemas de agentes de Grandes Modelos de Linguagem (LLM): a composição adversária de múltiplas habilidades (cross-skill composition). Embora os scanners de habilidades existentes (ex: Cisco Skill Scanner, Snyk Agent Scan, Skill Vetter) inspecionem efetivamente habilidades individuais em busca de instruções maliciosas, permissões ou comportamentos de código, eles falham amplamente em detectar ameaças que emergem apenas quando múltiplas habilidades, localmente benignas, são compostas em um fluxo de trabalho.

Os autores argumentam que um atacante pode decompor uma intenção maliciosa completa em vários sub-payloads interdependentes, incorporando-os em habilidades independentemente empacotadas. Individualmente, essas sub-habilidades parecem plausíveis e passam por varreduras de segurança. No entanto, quando executadas em uma ordem específica com passagem de artefatos e dependências de contexto, elas reconstroem coletivamente um fluxo de trabalho prejudicial (ex: exfiltração de dados). As defesas atuais carecem da capacidade de analisar a semântica de "nível de cadeia" dessas composições, deixando os ecossistemas de agentes vulneráveis a ataques que contornam o isolamento de habilidade única.

Metodologia

1. ColluSkill: O Framework de Ataque

O ColluSkill é um framework de ataque de cadeia de múltiplas habilidades colusivas projetado para evadir scanners existentes ao distribuir a intenção malciosa através de uma cadeia de habilidades. É conceitualmente fundamentado na teoria sociológica de Norbert Elias sobre "cadeias de interdependência", onde o comportamento completo emerge da relação ordenada de papéis locais em vez de ações isoladas.

O framework opera através de três estágios principais:

Construção da Cadeia de Interdependência: Um payload malicioso completo é decomposto em uma cadeia ordenada de sub-payloads ( $p_1, p_2, p_3$ ). Estes não são objetivos independentes, mas partes interdependentes de uma única intenção de nível de cadeia.
Planejamento de Cadeia Baseado em LLM: Um LLM atacante gera um plano de habilidade concreto, mapeando sub-payloads para sub-habilidades específicas. Crucialmente, o LLM prevê resultados intermediários (artefatos, contexto, estado) para garantir que a saída de uma sub-habilidade suporte logicamente a entrada da próxima, mantendo a coerência do fluxo de trabalho sem depender de um único script malicioso.
Refinamento por Feedback de Scanner: A cadeia de habilidades inicial é enviada aos scanners alvo. Se uma sub-habilidade for sinalizada, o LLM atacante reescreve iterativamente apenas aquela sub-habilidade específica usando o feedback do scanner para reduzir sinais suspeitos enquanto preserva a semântica de ataque de nível de cadeia. As sub-habilidades que passam permanecem inalteradas.

2. ChainGuard: O Mecanismo de Defesa

Para combater o ColluSkill, os autores propõem o ChainGuard, um scanner de cadeia de habilidades consciente de contexto. Diferente dos scanners tradicionais que inspecionam habilidades isoladamente, o ChainGuard analisa uma habilidade candidata em conjunto com o conjunto completo de habilidades já instaladas no ambiente do agente.

Reconstrução de Dependência Contextual: O ChainGuard analisa a habilidade candidata e as habilidades instaladas para inferir relações produtor-consumidor, fluxos de artefatos e dependências de execução (ex: se a Habilidade A escreve um arquivo que a Habilidade B lê).
Avaliação de Risco: Ele avalia três tipos de risco:
1. Risco Isolado (Standalone Risk): Comportamento inseguro dentro da própria candidata.
2. Risco de Dependência entre Habilidades (Cross-Skill Dependency Risk): Ações prejudiciais subsequentes habilitadas por dependências com habilidades instaladas.
3. Risco de Divisão de Capacidade (Capability-Splitting Risk): Uma capacidade insegura completa distribuída entre múltiplas habilidades que parecem benignas individualmente.
Lógica de Decisão: O sistema bloqueia uma habilidade candidata se sua composição com o contexto instalado formar um fluxo de trabalho prejudicial, mesmo que a candidata em si não contenha código explicitamente malicioso.

Principais Contribuições

Framework ColluSkill: Um novo método de ataque que espalha a intenção maliciosa através de múltiplas sub-habilidades, utilizando planejamento de cadeia baseado em LLM e refinamento iterativo de feedback de scanner para preservar a semântica do ataque enquanto minimiza sinais suspeitos locais.
Defesa ChainGuard: Um scanner consciente de contexto que detecta riscos de composição entre habilidades ao analisar conjuntamente a habilidade candidata e as habilidades instaladas, reconstruindo caminhos de dependência para identificar ameaças ao nível de fluxo de trabalho.
Avaliação Sistemática: Experimentos abrangentes em seis scanners de habilidade representativos e três agentes de codificação (OpenCode, Claude Code, Codex) demonstrando a eficácia do ataque e da defesa.

Resultados Experimentais

Desempenho do Ataque (ColluSkill)

Taxa de Sucesso: Através de seis diferentes scanners de habilidade (CISCO, SkillFortify, Auditor, SlowMist, Vetter, SkillSpector), o ColluSkill alcançou uma Taxa de Sucesso de Ataque (ASR) média de 96,0%.
Comparação: Isso supera significativamente os ataques de habilidade única existentes (ex: SkillSafetyBench com ASR média de 37,8%) e baselines de múltiplas habilidades como o SCRBench (ASR média de 34,8%).
Estudos de Ablação:
- Divisão Simples (Simple Split): Apenas dividir os payloads sem planejamento de cadeia ou refinamento resultou em uma ASR média de 36,7%. O artigo observa que esta abordagem é instável e falha em contornar a maioria dos scanners de forma confiável comparada ao método completo.
- Planejamento de Cadeia: Adicionar planejamento ordenado (sem refinamento) aumentou a ASR para 68,2%.
- Refinamento: O refinamento iterativo por feedback de scanner elevou a ASR para 96,0%.
- Comprimento da Cadeia: Uma cadeia de 3 etapas forneceu o equilíbrio ideal entre dispersão de payload e coerência de fluxo de trabalho, superando as configurações de 2 e 4 etapas.
Execução em Tempo de Execução: As cadeias do ColluSkill foram ativadas com sucesso no OpenCode, Claude Code e Codex em diferentes backbones de modelos (GPT-5.5, DeepSeek-V4-Pro, GLM-5.2), com taxas de ativação variando de 58,5% a 92,5%.

Desempenho da Defesa (ChainGuard)

Mitigação: Quando o ChainGuard foi aplicado, a ASR do ColluSkill caiu de 96,0% para 22,5%.
Usabilidade: O ChainGuard manteve uma alta taxa de aprovação para fluxos de trabalho benignos, permitindo que 99,5% deles passassem (uma diminuição negligenciável de 99,7% sem o contexto).
Importância do Contexto: Remover o contexto das habilidades instaladas do ChainGuard fez com que a ASR subisse novamente para 69,0%, confirmando que a consciência de contexto é essencial para detectar riscos de composição.

Significância e Alegações

O artigo afirma revelar um ponto cego prático na segurança de agentes atual: a incapacidade dos scanners de detectar riscos decorrentes da composição ordenada de habilidades localmente plausíveis. Os autores afirmam que:

As defesas atuais focadas na inspeção de habilidades individuais são insuficientes contra a composição adversária de múltiplas habilidades.
A composição adversária de múltiplas habilidades é uma superfície de ataque viável e eficaz que pode contornar scanners de última geração.
Defender-se contra esta ameaça requer uma mudança da análise isolada para uma análise de segurança de nível de cadeia que considere o ambiente de habilidades instaladas.

O trabalho não pretende resolver todos os problemas de segurança de agentes, mas destaca especificamente a necessidade de varredura consciente de contexto para abordar a ameaça específica de cadeias de habilidades colusivas e distribuídas.