NVIDIA ha pubblicato SkillSpector, uno scanner di sicurezza open source che legge una skill di agente IA e ti dice se installarla è una buona idea. Il problema a cui punta è reale: una skill è un piccolo pacchetto che un agente carica per acquisire una capacità, può contenere script con ampio accesso alla tua macchina, e un marketplace di skill è una catena di fornitura software. Per il quadro d'insieme, vedi la nostra guida alla sicurezza degli agenti IA.
Lo strumento è davvero utile. Non è nemmeno, per costruzione, una garanzia. Vanno dette entrambe le cose con chiarezza.
Cosa controlla SkillSpector
Il README descrive 68 pattern di vulnerabilità su 17 categorie: prompt injection, anti-rifiuto, esfiltrazione di dati, escalation di privilegi, catena di fornitura, agentività eccessiva, gestione degli output, fuga del prompt di sistema, avvelenamento della memoria, abuso di strumenti, agente ostile, abuso di trigger, AST comportamentale, taint tracking, firme YARA, privilegio minimo MCP e avvelenamento di strumenti MCP. Il primo passaggio è statico: non viene eseguito nulla. Una visita dell'AST segnala costrutti come exec, eval, chiamate a sottoprocessi e import dinamici. Un taint tracker segue variabili d'ambiente e contenuti di file verso i punti di uscita in rete. Regole YARA riconoscono firme di malware note.
Quell'elenco conta perché ricalca il modo in cui le skill vanno storte davvero. Prompt injection, fuga del prompt di sistema e avvelenamento della memoria non sono vulnerabilità applicative classiche: esistono perché ciò che carica la skill è un modello linguistico. Uno scanner di codice generico ne mancherebbe la maggior parte.
Come lanciarlo
Installazione e uso stanno in un comando ciascuno. Il progetto è pubblicato sotto licenza Apache 2.0:
uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan ./my-skill/
skillspector scan ./SKILL.md
skillspector scan https://github.com/user/my-skill
skillspector scan ./my-skill.zip
skillspector scan ./my-skill/ --format json --output report.json
skillspector scan ./my-skill/ --no-llm
Accetta una cartella, un singolo SKILL.md, un archivio ZIP o un URL Git, e questo conta: puoi analizzare una skill direttamente dal suo repository prima che tocchi il tuo disco. L'output JSON lo rende utilizzabile in una pipeline e non solo da riga di comando.
Il secondo passaggio, opzionale
C'è un secondo passaggio, più lento, spento finché non lo configuri. Richiede un endpoint compatibile OpenAI e una chiave, impostati con SKILLSPECTOR_PROVIDER (che punta di default all'endpoint di NVIDIA) e facoltativamente SKILLSPECTOR_MODEL. Collegato, un modello linguistico legge il codice segnalato nel contesto, scarta i falsi positivi e scrive una spiegazione utilizzabile. Il README colloca la precisione ottenuta intorno all'87 per cento.
Leggi quel numero con attenzione. L'87 per cento di precisione parla di falsi positivi, non di completezza. Dice che gran parte di ciò che lo strumento segnala è reale. Non dice nulla su ciò che gli è sfuggito.
Perché uno scanner non può essere tutta la risposta
Qui contano i nostri stessi articoli. A luglio abbiamo trattato SkillCloak, un framework di evasione che preserva il payload: mantiene intatto il comportamento di una skill malevola cambiando come appare a uno scanner. Su otto scanner e 1.613 skill malevole osservate in circolazione, l'impacchettamento auto-estraente ha eluso ogni scanner oltre il 90 per cento, e l'offuscamento strutturale ha superato l'80 per cento sulla maggior parte degli scanner statici. Il resoconto completo è in le skill degli agenti IA sono una nuova catena di fornitura del malware.
SkillSpector è uno scanner statico con un passaggio semantico opzionale. È migliore della maggior parte, e le sue categorie specifiche per MCP indicano che il team sa dove sta il rischio attuale. Ma la classe di attacco dimostrata da SkillCloak è esattamente quella che sconfigge l'analisi al momento dell'installazione: il payload non c'è ancora quando analizzi, e viene ricostruito quando l'agente gira.
Dove ha comunque senso
Uno scanner eludibile non è uno scanner inutile. Alza il costo di un attacco e prende la maggioranza sbadata, che è quasi tutto quello che circola davvero. Il posto sensato per SkillSpector è una pipeline: analizzare ogni skill prima che entri nel tuo ambiente, far fallire la build sui riscontri ad alta gravità, conservare i report JSON.
Quello che non sostituisce è il lato runtime. Dai a una skill il minimo accesso necessario, eseguila dove non può raggiungere le tue credenziali né il tuo intero filesystem, e guarda cosa fa invece di come appare.
La conclusione onesta
Che un grande attore pubblichi uno scanner open source per le skill degli agenti è un buon segnale: il problema della catena di fornitura viene trattato come reale e non come teorico. Usalo, mettilo in CI, leggi il suo JSON.
Solo, non lasciare che diventi l'unica cosa fra una skill non fidata e la tua macchina. La ricerca pubblicata sull'evasione è chiara: l'analisi al momento dell'installazione è lo strato che gli attaccanti hanno già imparato ad aggirare. Per scegliere fin dall'inizio strumenti su cui si possa ragionare, la nostra panoramica sui migliori LLM per programmare 2026 è un punto di partenza.
