BONUS EPISODE: 76 Malicious AI Skills Were Hiding in Plain Sight
三句話摘要
AI Agent開發中Skills安全風險與企業治理：從恶意代碼到提示詞注入，如何通過注冊表與自動掃描保護代碼生成Agent。 AI Agent開發中最關鍵的原則是「不要盲目自動批准」——通過可信註冊表、自動掃描和謹慎權限管理主動構建防線，而非事後應對安全事件。 Skills成為新的攻擊面
重點整理
重點- 1
Skills成為新的攻擊面
- 2
Skills是markdown格式的指令文件，包含自然語言與可執行代碼，用於擴展Agent能力。傳統代碼掃描工具無法檢測內嵌的惡意代碼，因為代碼本身可能不運行，而是通過提示詞注入指導Agent生成不安全的生成代碼，導致凭证洩露或未授權操作。
- 3
企業內部Skills風險異於第三方
- 4
內部developers編寫的Skills主要風險來自權限配置不當（如直接暴露生產環境凭证）和安全意識不足，而非惡意意圖。需要從安全反饋角度幫助開發者理解其Skills可能帶來的後果。
- 5
分層次的安全檢查實踐
- 6
應在多個環節執行掃描：使用第三方Skills前掃描、編寫時集成pre-commit hook的自動掃描、共享前進行質量評估。建立可信Skills來源（如Tassel Registry）並進行版本管理，每個版本單獨掃描。
- 7
Agent時代需要新型安全工具
- 8
傳統應用安全工具不適用於Agent工作流，需開發新能力：自然語言提示詞注入檢測、供應鏈治理（Skills和MCP服務器管理）、運時行為監控（防止凭证洩露）。
實用技巧與重點
乾貨- 發現的具體數據：
- Skills包含惡意代碼：76個
- 案例：Sneak內部某developer編寫的Skill直接暴露生產環境凭证，權限過度寬鬆
- 工具與平台：
- Tassel：Skills和context的包管理器
- Tassel Registry：公開/私有Skills註冊表
- Tassel Workspace：可建立公開或私有Skills空間
- Sneak：應用安全公司
- EVO：Sneak下一代產品系列名稱
- Sneak即將GA的Agent安全產品功能（EVO）：
- 供應鏈安全（Supply Chain Security）- 組織層監管Skills和MCP服務器使用，進行風險評估，制定policies（如禁止個人訪問令牌）
- 代碼輸出治理（Govern Agent Output）- Agent生成代碼或下載開源庫時自動安全檢查
- Agent行為防護（Guarding Agent Behavior）- 防止凭証洩露、提示詞注入、異常行為（Q3 GA預定）
- 威脅向量分類：
- 純惡意代碼（malware）
- 提示詞注入（prompt injection）
- 權限滥用（過度授權）
- 供應鏈風險（版本洩露）
- 最佳實踐：
- 第三方Skills使用前掃描驗證
- 自寫Skills集成安全掃描hook
- 使用可信的Skills來源
- 不要自動批准（don't go yolo）
- 對Skills進行版本控制和逐版本掃描
結論
結論“AI Agent開發中最關鍵的原則是「不要盲目自動批准」——通過可信註冊表、自動掃描和謹慎權限管理主動構建防線，而非事後應對安全事件。”
完整解析
詳細AI Agent在軟體開發中的廣泛應用帶來了根本性的安全模式轉變。傳統應用安全聚焦於開發者編寫的代碼，但Agent時代開發工作流已改變——開發者不再逐行審查代碼，而是管理一個「Agent團隊」。這種轉變產生了兩大核心挑戰：首先，Agent生成的代碼可能繼承訓練數據中的安全漏洞；其次，對Agent的指導通過上下文（context）和Skills來實現，而這些指導文件本身成為新的攻擊面。
Skills是markdown格式的指令文件，可包含自然語言指導和可執行代碼，用於擴展Agent能力。開發者通過公開註冊表（如Tassel Registry）分享Skills，類似開源生態。然而Sneak在今年3月對Tassel Registry的分析中發現了76個包含純惡意代碼的Skills。更嚴重的是，傳統代碼掃描工具無法有效檢測，因為惡意代碼可能不直接運行，而是通過自然語言提示詞注入指導Agent生成不安全代碼。例如某個Skill可在自然語言部分嵌入提示詞注入，誘導Agent泄露環境凭证或執行未授權操作。
企業內部使用Skills時面臨不同的風險模式。內部developers由於安全意識不足或對新技術理解不深，可能發布存在漏洞的Skills。Sneak親身經歷過這種情況：一位開發者編寫的Skill直接提供生產環境凭证給Agent，權限過度寬鬆，沒有採用即時注入或只讀訪問等安全實踐。這反映出，即使在安全意識高的組織中，從Agent安全角度看待開發實踐仍是新概念。
針對這些挑戰，Tassel和Sneak推出了重要合作：自動安全掃描集成到Tassel Registry。開發者上傳Skills時，Sneak掃描工具會自動分析提示詞注入風險和凭証處理不當。版本管理也被納入——系統為每個版本單獨掃描，防止開發者在不知情下下載到更新後的惡意版本。對企業內部的Skills，掃描目的從防止惡意代碼轉向幫助developers理解Skills可能帶來的安全後果，例如是否會導致「致命三角」（提示詞注入+凭証洩露）。
Sneak即將推出的EVO產品線提供了系統性解決方案。供應鏈安全功能讓企業在組織層監管developers使用的Skills和MCP服務器，實施策略如禁止個人訪問令牌。代碼輸出治理則將傳統代碼安全檢查融入Agent工作流，確保生成或下載的代碼符合標準。Agent行為防護直接監控運時行為，防止凭証洩露和異常操作。設計目標是賦權安全團隊在不犧牲Agent生產力的前提下實現治理。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
