NVIDIA hat SkillSpector veröffentlicht, einen quelloffenen Sicherheitsscanner, der eine KI-Agenten-Skill liest und sagt, ob die Installation eine gute Idee ist. Das Problem dahinter ist echt: Eine Skill ist ein kleines Paket, das ein Agent lädt, um eine Fähigkeit zu bekommen, sie kann Skripte mit weitem Zugriff auf deinen Rechner enthalten, und ein Marktplatz solcher Skills ist eine Software-Lieferkette. Zum Gesamtbild siehe unseren Leitfaden KI-Agenten-Sicherheit.
Das Werkzeug ist wirklich nützlich. Es ist konstruktionsbedingt auch keine Garantie. Beides gehört klar gesagt.
Was SkillSpector prüft
Die README beschreibt 68 Schwachstellenmuster in 17 Kategorien: Prompt Injection, Anti-Refusal, Datenabfluss, Rechteausweitung, Lieferkette, übermäßige Handlungsvollmacht, Ausgabeverarbeitung, Leck des System-Prompts, Memory Poisoning, Missbrauch von Werkzeugen, Rogue Agent, Trigger-Missbrauch, verhaltensbezogener AST, Taint-Tracking, YARA-Signaturen, MCP-Least-Privilege und MCP Tool Poisoning. Der erste Durchlauf ist statisch: nichts wird ausgeführt. Ein AST-Durchlauf markiert Konstrukte wie exec, eval, Subprozessaufrufe und dynamische Importe. Ein Taint-Tracker verfolgt Umgebungsvariablen und Dateiinhalte zu Netzwerksenken. YARA-Regeln erkennen bekannte Malware-Signaturen.
Diese Liste zählt, weil sie sich daran orientiert, wie Skills tatsächlich schiefgehen. Prompt Injection, Leck des System-Prompts und Memory Poisoning sind keine klassischen Anwendungsschwachstellen; es gibt sie, weil das, was die Skill lädt, ein Sprachmodell ist. Ein generischer Code-Scanner würde die meisten davon übersehen.
Wie man ihn startet
Installation und Nutzung sind je ein Befehl. Das Projekt steht unter der Apache-Lizenz 2.0:
uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan ./my-skill/
skillspector scan ./SKILL.md
skillspector scan https://github.com/user/my-skill
skillspector scan ./my-skill.zip
skillspector scan ./my-skill/ --format json --output report.json
skillspector scan ./my-skill/ --no-llm
Er akzeptiert ein Verzeichnis, eine einzelne SKILL.md, ein ZIP-Archiv oder eine Git-URL, und das zählt: Du kannst eine Skill direkt aus ihrem Repository prüfen, bevor sie deine Platte berührt. Die JSON-Ausgabe macht ihn in einer Pipeline nutzbar und nicht nur an der Eingabeaufforderung.
Der optionale zweite Durchlauf
Es gibt einen zweiten, langsameren Durchlauf, der aus bleibt, bis du ihn konfigurierst. Er braucht einen OpenAI-kompatiblen Endpunkt und einen Schlüssel, gesetzt über SKILLSPECTOR_PROVIDER (standardmäßig NVIDIAs eigener Endpunkt) und optional SKILLSPECTOR_MODEL. Angeschlossen liest ein Sprachmodell den markierten Code im Kontext, verwirft Fehlalarme und schreibt eine Erklärung, mit der ein Mensch etwas anfangen kann. Die README beziffert die erreichte Präzision auf rund 87 Prozent.
Lies diese Zahl genau. 87 Prozent Präzision ist eine Aussage über Fehlalarme, nicht über Vollständigkeit. Sie sagt, dass das meiste, was das Werkzeug meldet, echt ist. Über das, was es übersehen hat, sagt sie nichts.
Warum ein Scanner nicht die ganze Antwort sein kann
Hier zählen unsere eigenen Artikel. Im Juli haben wir SkillCloak behandelt, ein Umgehungs-Framework, das die Nutzlast bewahrt: Es lässt das Verhalten einer bösartigen Skill unverändert und ändert nur, wie sie für einen Scanner aussieht. Über acht Scanner und 1.613 in freier Wildbahn beobachtete bösartige Skills umging die selbstentpackende Verpackung jeden Scanner zu über 90 Prozent, und strukturelle Verschleierung lag bei den meisten statischen Scannern über 80 Prozent. Die ausführliche Fassung steht in KI-Agenten-Skills sind eine neue Malware-Lieferkette.
SkillSpector ist ein statischer Scanner mit optionalem semantischem Durchlauf. Er ist besser als die meisten, und die MCP-eigenen Kategorien zeigen, dass das Team weiß, wo das aktuelle Risiko liegt. Aber die von SkillCloak gezeigte Angriffsklasse ist genau jene, die Prüfung zum Installationszeitpunkt aushebelt: Die Nutzlast ist beim Scannen noch gar nicht da und wird erst zusammengesetzt, wenn der Agent läuft.
Wo er trotzdem hingehört
Ein umgehbarer Scanner ist kein nutzloser Scanner. Er verteuert einen Angriff und fängt die nachlässige Mehrheit, und die macht das meiste aus, was wirklich zirkuliert. Der sinnvolle Platz für SkillSpector ist eine Pipeline: jede Skill prüfen, bevor sie in deine Umgebung kommt, den Build bei Befunden hoher Schwere scheitern lassen, die JSON-Berichte aufbewahren.
Was er nicht ersetzt, ist die Laufzeitseite. Gib einer Skill den geringsten nötigen Zugriff, führe sie dort aus, wo sie weder deine Zugangsdaten noch dein ganzes Dateisystem erreicht, und beobachte, was sie tut, statt wie sie aussieht.
Das ehrliche Fazit
Dass ein großer Anbieter einen quelloffenen Scanner für Agenten-Skills veröffentlicht, ist ein gutes Zeichen: Das Lieferkettenproblem wird als real und nicht als theoretisch behandelt. Nutze ihn, nimm ihn in die CI, lies sein JSON.
Lass ihn nur nicht das Einzige werden, was zwischen einer nicht vertrauenswürdigen Skill und deinem Rechner steht. Die veröffentlichte Umgehungsforschung ist eindeutig: Prüfung beim Installieren ist die Schicht, an der Angreifer bereits vorbeigehen können. Um von vornherein Werkzeuge zu wählen, über die man nachdenken kann, ist unser Überblick beste Coding-LLMs 2026 ein Anfang.
