HONG KONG / LONDON (IT BOLTWISE) – Forschende der Hong Kong University of Science and Technology zeigen, wie sich bösartige „Skills“ für KI-Coding-Agenten so verpacken oder umschreiben lassen, dass statische Scanner sie in der Import-Phase mehrheitlich nicht erkennen. Der Ansatz nutzt gezielt Blinds du in Scanner-Logik, etwa übersprungene Verzeichnisse und Zeichen-/Befehlsumstellungen. Zusätzlich stellen sie einen Runtime-Checker vor, der Verhalten auf Betriebssystemebene verfolgt und damit den Fokus vom Aussehen auf die Ausführung verlagert. Für Unternehmen bedeutet das: „Scan bestanden“ reicht als Sicherheitsbarriere nicht mehr, sobald Payloads erst zur Laufzeit entstehen.
Die Sicherheitsdebatte um KI-Coding-Agenten bekommt einen neuen, unangenehmen Fokus: nicht das eigentliche Modell, sondern die kleinen Erweiterungen, die Agenten „Skills“ nennen. Forschende aus Hong Kong berichten, dass viele der heute verbreiteten Schutzmaßnahmen beim Import statisch bleiben. Ein Skill ist dabei typischerweise eine Mini-Packung aus Dateien, etwa einer Markdown-Anweisung plus Skripten, die der Agent lädt, um eine neue Fähigkeit zu aktivieren. Genau dieses Dateibündel kann jedoch missbraucht werden, weil es mit den Rechten des Agenten läuft – also mit Zugriff auf Dateien, Terminalumgebung und gespeicherte Credentials. Damit verschiebt sich das Risiko von „Prompt Injection“ hin zu „Supply-Chain aus dem Dateipaket“.
Im Zentrum der Arbeit steht SKILLCLOAK, das eine bösartige Skill-Implementierung gezielt so umformt, dass sie trotz gleichbleibender Wirkung an der Scanner-Prüfung vorbeikommt. Die Studie unterscheidet zwei Varianten: eine leichtere Umformung, die die Byte-Muster verändert, auf die Scanner typischerweise achten. Dazu zählen zum Beispiel Look-alikes aus anderen Alphabeten oder das Aufteilen eines als gefährlich markierten Befehls über einen Zeilenumbruch, sodass die statische Signatur nicht mehr matcht. Die zweite, schwerere Methode ist self-extracting packing: Das eigentliche Payload-Verzeichnis wird in einen Ordner verschoben, den Scanner üblicherweise aus Zeitgründen ignorieren, etwa namensähnliche Verzeichnisse wie „.git“ oder „build“. Ein harmlos wirkender Decoder stellt die Skill-Dateien erst zur Laufzeit wieder her.
Die Zahlen unterstreichen den Mechanismus: In Tests mit acht Scannern und 1.613 realen bösartigen Skills aus einer öffentlichen Skill-Quelle zeigt die Packing-Variante eine besonders hohe Erfolgsquote. Laut Bericht schafft sie den Sprung durch jeden der acht Scanner in mehr als 90% der Fälle und in den meisten Tests sogar in über 99%. Die leichtere Umformung ist im Schnitt etwas schwächer, erreicht aber je nach Scanner ebenfalls über 80% und bei einem Beispiel bis zu 96% Durchschlupf. Entscheidend ist außerdem die „Kostenfrage“: Auf Plattformen wie Claude Code und OpenAI Codex – hier als Zielumgebungen für die Praxisnähe erwähnt – laufen die verschleierten Skills offenbar mit vergleichbarem Nutzen wie die Originale. Damit wird klar: Der Angreifer braucht keine neuen Exploits, sondern nur bessere Formatierung gegen die Prüflogik.
Weil „Aussehen“ leicht manipulierbar ist, schlagen die Forschenden einen Perspektivwechsel vor: Schutz über Verhalten statt über Dateiinhalte. SKILLDETONATE startet den Skill in einer Sandbox und beobachtet, was er auf Betriebssystemebene macht: welche Dateien er liest und schreibt, welche Prozesse er startet und wohin er Daten sendet. Zwei Designentscheidungen sollen dabei typische Umgehungen entschärfen. Erstens: Sensitive Daten werden über ihren Fluss identifiziert, nicht über das Aussehen im Text. Damit helfen Verschlüsselung oder Base64 weniger, wenn der Runtime-Checker den Pfad erkennt. Zweitens: Der Prüfer bewertet auch die Instruktionen, die der Skill erst beim Ausführen zusammensetzt. Genau dort versteckt sich häufig die selbst entpackte Payload.
Im Labor erreichte der Runtime-Ansatz eine hohe Erkennungsquote: Der Checker meldete in kontrollierten Tests 97% der Angriffe bei etwa 2% falsch positiven Alarmen. Auf echten, bereits bekannten bösartigen Skills wird im Bericht eine Detektionsrate von 87% genannt. Ein besonders illustratives Beispiel liefert der Scanner von Cisco: Vor der Cloaking-Anpassung wurden dort 99% erkannt, nach dem Verschleiern sinkt die Erkennung auf ungefähr 10%. Aus Sicht der Enterprise-Sicherheit ist das eine klare Aussage über die Systemgrenzen statischer Prüfungen. Der Trade-off liegt zudem bei der Geschwindigkeit: Der Runtime-Check dauert im Forschungsprototyp etwa ein paar Minuten pro Skill, während Scanner meist in Sekunden entscheiden. Für Produktivsysteme heißt das nicht, dass statische Checks verschwinden, sondern dass sie eher als „günstiges Hygiene-Gate“ dienen und ein zweiter, verhaltensbasierter Layer folgt.
Der Markt zeigt außerdem, dass das Problem bereits real ist, nicht erst in einer theoretischen Angreiferwelt. Berichte aus der Branche verweisen auf Fälle, in denen ein relevanter Teil der Skills versteckte schädliche Codepfade enthält. So wurden bei einer Bewertung offenbar rund 17% problematische Skills identifiziert, und in einer Aktion wurden zunächst 341 bösartige Inhalte gemeldet, später dann 824 – ein Hinweis darauf, dass sich diese Muster mit der Zeit skalieren. In einzelnen Live-Funden von Unit 42 auf einer öffentlichen Skill-Quelle zeigen sich zudem konkrete Umgehungsstrategien, etwa das Überschreiten einer Scannergrößenbegrenzung durch das Einfügen großer Junk-Blöcke im README. Andere Skills sollen zudem Mac-Passwortdiebstahl oder manipulierende Verhaltenslogik enthalten, die den Agenten in unerwünschte Werbe- oder Kauf-Mechaniken lenkt. Ergänzend existieren ähnliche Ausfallmuster außerhalb von Skill-Marktplätzen: Ein „sauber“ wirkendes Git-Repository, das zur Laufzeit per Skript eine Reverse-Shell lädt, illustriert dasselbe Prinzip – die echte Funktion entsteht erst nach der statischen Prüfung.
Für die Zukunft liegt die zentrale Lehre bei der Trust-Chain: Ein statischer Scan beurteilt das Paket bei Einreichung, aber die schädliche Aktion erscheint beim Ausführen – also nach dem Gate. Entsprechend verschiebt sich die Verantwortung von der Marketplace-Validierung hin zur Maschine, in der der Skill tatsächlich läuft. Das hat auch regulatorische und datenschutzbezogene Implikationen: Wenn Skills Zugriff auf Terminal, Dateien und gespeicherte Secrets erhalten, entstehen Risiken, die in regulierten Umgebungen (etwa bei Finanz- oder Gesundheitsdaten) nicht mehr durch „Policy auf dem Upload“ allein abgedeckt sind. Deshalb werden in Unternehmen künftig weniger Badge-orientierte Freigaben nötig sein, sondern verbindliche technische Kontrollen wie Least-Privilege, isolierte Execution Environments, nachvollziehbare Audit-Logs und ein klarer Umgang mit Datenflüssen, insbesondere wenn Agents Telemetrie oder Netzwerkzugriffe erzeugen.
Was sollten Teams konkret jagen, selbst wenn ein Skill den statischen Scan „besteht“? Der Bericht nennt als praktische Hinweise Größen- oder Entropieanomalien in Dateien, die in Verzeichnissen liegen, die Scanner traditionell überspringen (etwa build- oder.git-nahe Strukturen), sowie Skills, die Code erst zur Laufzeit entpacken oder zusammensetzen. Auch Padding jenseits sinnvoller Größenordnungen kann ein Indiz sein. Diese Signale sind allerdings keine alleinigen Beweise, eher erste Flags. Der robuste Weg bleibt: Verhalten zur Laufzeit prüfen, mindestens für höher privilegierte Skills oder für Skills, die in produktiven Umgebungen ausgeführt werden. Zusätzlich helfen Maßnahmen wie Hash-basierte Integritätschecks vor und erneut vor jedem Run, damit Payloads, die sich nach dem Scan dynamisch rekonfigurieren, nicht unbemerkt durchrutschen. So entsteht eine mehrstufige Verteidigung, bei der die zweite Stufe das erledigt, was die erste nicht leisten kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SkillCloak täuscht KI-Coding-Agenten: Statische Scanner werden beim Skill-Import umgangen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SkillCloak täuscht KI-Coding-Agenten: Statische Scanner werden beim Skill-Import umgangen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SkillCloak täuscht KI-Coding-Agenten: Statische Scanner werden beim Skill-Import umgangen« bei Google Deutschland suchen, bei Bing oder Google News!