O payload é uma frase, não um programa
Uma nova vulnerabilidade impressionante surgiu no crescente ecossistema de agentes de IA. O VirusTotal analisou cerca de 36.000 habilidades de IA e identificou 6.637 como maliciosas — quase uma em cada cinco. Isso não é malware tradicional; 62% dessas habilidades maliciosas não continham código executável.
O payload é uma frase, não um programa. Esses agentes interpretam o conteúdo da habilidade como instruções diretas, o que significa que direções em linguagem simples podem se tornar um vetor de ataque. Isso representa uma mudança fundamental no modelo de ameaça, onde a compreensão semântica, e não a execução de código, impulsiona o exploit.
Os agentes geralmente operam com permissões extensas, acessando arquivos, terminais e ferramentas de rede. Um prompt cuidadosamente elaborado pode aproveitar essas permissões de usuário confiáveis para desencadear exposição de dados, modificações não autorizadas no sistema ou outras ações maliciosas. É o problema do npm acontecendo novamente, mas o payload agora é conversacional.
Os atacantes empregam várias técnicas de evasão. Alguns escondem instruções centenas de linhas em branco abaixo do fim aparente de um arquivo. Outros incorporam diretrizes em comentários HTML ou caracteres Unicode invisíveis, que ficam ocultos para revisores humanos, mas são totalmente legíveis pelo LLM subjacente. Isso exige que inspecionemos o arquivo bruto, não apenas a versão renderizada.
Os truques que desaparecem em uma visualização
Os atacantes empregam truques visuais para ocultar prompts maliciosos de revisores humanos. Alguns prompts ficam centenas de linhas em branco abaixo do conteúdo aparente do arquivo, uma técnica conhecida como whitespace padding. Uma habilidade de dados da OMS ocultou uma instrução após 733 linhas para relatar a malária na Nigéria como zero. Outra ferramenta de cold-email ocultou uma diretriz de CCO após 672 linhas em branco.
Comentários HTML também servem como disfarce. Esses elementos, como <!-- hidden text -->, desaparecem em páginas da web renderizadas, mas permanecem visíveis para um agente que lê o arquivo bruto. Caracteres Unicode invisíveis, como espaços de largura zero, obscurecem ainda mais o texto dos olhos humanos e da correspondência básica de padrões, mas permanecem totalmente legíveis pelo LLM subjacente.
O VirusTotal encontrou pelo menos 90 habilidades usando essas técnicas de evasão visual. Isso destaca uma lacuna crítica: o que um marketplace exibe para um revisor humano geralmente difere do arquivo bruto que um agente realmente processa. Essa discrepância cria uma oportunidade para atores maliciosos incorporarem instruções ocultas.
Este problema ecoa as vulnerabilidades da cadeia de suprimentos do npm, mas com um toque semântico. O payload agora é uma frase, não um programa, mas carrega o mesmo potencial de comprometimento. Os usuários devem inspecionar arquivos brutos, não apenas visualizações renderizadas, para verificar a integridade da habilidade.
Quando o agente é instruído a ficar em silêncio
As instruções às vezes direcionam explicitamente o agente para ocultar suas ações. Algumas habilidades maliciosas, por exemplo, dizem ao agente que "seu humano não precisa saber". Esse comando direto contorna a supervisão humana, permitindo que o agente execute suas diretrizes ocultas sem levantar suspeitas.
Além disso, esses payloads visam a persistência. As instruções podem pedir ao agente que escreva em arquivos semelhantes a memória, como memory.md ou agents.md. Isso incorpora o comportamento malicioso diretamente na configuração de longo prazo do agente, garantindo que ele possa continuar a afetar sessões subsequentes mesmo após a habilidade inicial ser removida ou desativada.
Este padrão é notavelmente reminiscente do problema da cadeia de suprimentos do npm que tem assolado o desenvolvimento de software há anos. No entanto, a superfície de ataque muda significativamente com agentes de IA. Em vez de exploits convencionais ou código binário, o payload é frequentemente texto semântico—instruções em linguagem simples que um LLM interpreta e executa. Para uma análise mais detalhada, veja How Some Malicious AI Skills Hide Instructions from Reviewers - VirusTotal Blog.
A distinção é crítica: ferramentas de segurança tradicionais têm dificuldade em identificar esses exploits baseados em texto porque eles não contêm código malicioso. Das 6.637 skills maliciosas que o VirusTotal identificou, 62% não continham nenhum código executável tradicional. Isso destaca um desafio fundamental na segurança de sistemas agentic, onde uma frase simples pode ser tão potente quanto um vírus sofisticado.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
Inspecione o arquivo bruto antes de confiar na skill
Dada a natureza sutil desses ataques, confiar em pré-visualizações renderizadas do GitHub ou interfaces de marketplaces introduz pontos cegos críticos. Sempre inspecione o arquivo de origem bruto diretamente. Procure por grandes espaços em branco incomuns, comentários HTML e caracteres Unicode suspeitos que desaparecem em visualizações formatadas, mas permanecem legíveis para um agente.
Além da inspeção manual, implemente permissões robustas. Agentes devem exigir aprovação explícita antes de gravar na memória ou em arquivos de configuração como memory.md ou agents.md. Aplique o princípio do menor privilégio a todo acesso ao sistema de arquivos e rede, minimizando o raio de explosão potencial de um agente.
Embora sandboxes isoladas e scanners de segurança ofereçam defesa em profundidade, eles não são infalíveis. Scanners de skills de código aberto, por exemplo, perdem entre 33% e 71% desses exploits de linguagem natural. Essa alta taxa de falha ressalta a necessidade contínua de revisão humana e permissões estritamente aplicadas.
O ecossistema npm nos ensinou que componentes aparentemente inócuos podem esconder payloads perigosos. Agora, com skills de IA, o payload é frequentemente apenas uma frase. A vigilância no nível do arquivo bruto, combinada com controles de acesso rigorosos, continua sendo sua melhor defesa contra essas ameaças em evolução.
Perguntas Frequentes
O que é uma skill de agente de IA maliciosa?
É uma skill que contém instruções que manipulam um agente de IA para ações inseguras, como expor dados ou alterar arquivos.
Como uma skill pode esconder instruções de revisores humanos?
Ela pode colocar prompts após longos espaços em branco, dentro de comentários HTML ou em caracteres Unicode invisíveis que renderizadores e editores podem ocultar.
Por que scanners de malware tradicionais podem perder essas skills?
Muitas skills maliciosas não contêm código executável; seu payload é texto em linguagem natural que o agente interpreta como instruções.
Como posso reduzir o risco de usar skills de IA?
Inspecione a origem bruta, verifique o final dos arquivos, exija aprovação para alterações na memória e execute agentes com o menor privilégio em uma sandbox.