arXiv:2605.28588: Analyse von 3.984 Agent-Skills zeigt 76 schädliche — 13,4 % enthalten kritische Sicherheitslücke

Die Forscher Luca Beurer-Kellner, Aleksei Kudrinskii, Marco Milanta, Kristian Bonde Nielsen, Hemang Sarkar und Liran Tal haben eine umfassende Sicherheitsanalyse des KI-Agent-Skill-Ökosystems veröffentlicht — die erste systematische Studie zu Sicherheitsbedrohungen in Erweiterungs-Marktplätzen für KI-Agenten.

Was sind KI-Agent-Skills und welches Risiko geht von schädlichen aus?

KI-Agent-Skills (auch bekannt als Plugins, Actions oder Tools, je nach Plattform) sind Erweiterungen, die KI-Agenten spezifische Fähigkeiten verleihen: Websuche, Dateizugriff, E-Mail-Versand, Code-Ausführung, Aufruf externer APIs. Sie werden über Marktplätze ähnlich wie Anwendungen in mobilen App-Stores verteilt.

Das Problem: Ein schädlicher Skill, der die Plattformprüfung besteht, erhält dieselben Berechtigungen wie ein legitimer Skill. Ein Nutzer, der einen Skill installiert, gewährt ihm Zugriff auf genau das, was der Skill anfordert — einschließlich potenziell sensibler Ressourcen wie API-Schlüssel, Dateien oder Netzwerkverkehr.

Was hat die Analyse von 3.984 Skills ergeben?

Die Forscher haben 3.984 KI-Agent-Skills von wichtigen Marktplätzen gesammelt und analysiert. Wichtige Erkenntnisse:

• 76 bestätigte schädliche Payloads: versteckter Code, der aktiv Angriffe ausführt
• 13,4 % aller Skills enthalten mindestens eine kritische Sicherheitslücke
• Mindestens 8 manuell verifizierte schädliche Skills blieben zum Zeitpunkt der Veröffentlichung öffentlich verfügbar

Arten von Angriffen, die in schädlichen Skills dokumentiert wurden:

• Credential-Diebstahl: Extraktion von API-Schlüsseln, Passwörtern, Session-Tokens
• Backdoor-Installation: Einrichten eines dauerhaften Zugangs zum System des Nutzers
• Datenexfiltration: Senden von Nutzerdaten an externe Server

Welche Bedrohungstaxonomie wurde aufgestellt?

Die Arbeit stellt eine Bedrohungstaxonomie des Agent-Skill-Ökosystems auf, die auf realen Proben basiert — nicht auf hypothetischen Szenarien. Die Taxonomie dokumentiert Angriffsvektoren, für schädliche Skills charakteristische Code-Muster und Methoden zur automatischen Erkennung.

Die Autoren beschreiben auch eine Analysemethodik, die statische Code-Analyse von Skills mit dynamischer Verhaltensüberwachung kombiniert und so die Erkennung ausgefeilter Angriffe ermöglicht, die sich nur unter bestimmten Bedingungen aktivieren.

Warum ist automatisierte Sicherheitsanalyse unerlässlich?

Die Forscher schlussfolgern, dass „automatisierte Sicherheitsanalyse keine Option mehr ist” — sie ist zur Notwendigkeit geworden. Gründe:

KI-Agent-Skill-Marktplätze wachsen exponentiell, und manuelle Prüfung jedes Skills ist bei Hunderten neuer Veröffentlichungen pro Woche nicht skalierbar. Bei 13,4 % kritischen Sicherheitslücken und aktiven schädlichen Skills, die aktuelle Prüfungen umgehen, benötigen Plattformen automatisierte Sicherheits-Scanner, die Code und Verhalten von Skills vor der Veröffentlichung analysieren.

Diese Studie liefert die empirische Grundlage für die Entwicklung solcher Systeme und eine Warnung für Nutzer von KI-Agenten: Jeder installierte Skill vergrößert die Angriffsfläche.