A NVIDIA publicou o SkillSpector, um scanner de segurança de código aberto que lê uma skill de agente IA e te diz se instalá-la é boa ideia. O problema visado é real: uma skill é um pacote pequeno que um agente carrega para ganhar uma capacidade, pode transportar scripts com acesso amplo à tua máquina, e um mercado de skills é uma cadeia de fornecimento de software. Para o quadro geral, vê o nosso guia de segurança de agentes IA.
A ferramenta é genuinamente útil. Também não é, por construção, uma garantia. As duas coisas merecem ser ditas com clareza.
O que o SkillSpector verifica
O README descreve 68 padrões de vulnerabilidade em 17 categorias: injeção de prompt, anti-recusa, exfiltração de dados, escalada de privilégios, cadeia de fornecimento, agência excessiva, tratamento de saídas, fuga do prompt de sistema, envenenamento de memória, abuso de ferramentas, agente hostil, abuso de gatilhos, AST comportamental, taint tracking, assinaturas YARA, privilégio mínimo MCP e envenenamento de ferramentas MCP. A primeira passagem é estática: nada é executado. Um percurso da AST assinala construções como exec, eval, chamadas a subprocessos e importações dinâmicas. Um taint tracker segue variáveis de ambiente e conteúdos de ficheiros até saídas de rede. Regras YARA reconhecem assinaturas de malware conhecidas.
Essa lista conta porque acompanha a forma como as skills correm mal de verdade. Injeção de prompt, fuga do prompt de sistema e envenenamento de memória não são vulnerabilidades de aplicação clássicas: existem porque aquilo que carrega a skill é um modelo de linguagem. Um scanner de código genérico deixaria escapar a maioria.
Como executá-lo
Instalação e uso cabem num comando cada. O projeto é publicado sob licença Apache 2.0:
uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan ./my-skill/
skillspector scan ./SKILL.md
skillspector scan https://github.com/user/my-skill
skillspector scan ./my-skill.zip
skillspector scan ./my-skill/ --format json --output report.json
skillspector scan ./my-skill/ --no-llm
Aceita uma pasta, um único SKILL.md, um arquivo ZIP ou um URL Git, e isso conta: podes analisar uma skill diretamente a partir do seu repositório antes de tocar no teu disco. A saída JSON torna-o utilizável numa pipeline e não apenas na linha de comandos.
A segunda passagem, opcional
Existe uma segunda passagem, mais lenta, desligada até a configurares. Precisa de um endpoint compatível com OpenAI e de uma chave, definidos por SKILLSPECTOR_PROVIDER (que aponta por omissão para o endpoint da própria NVIDIA) e opcionalmente SKILLSPECTOR_MODEL. Ligada, um modelo de linguagem lê o código assinalado em contexto, descarta falsos positivos e escreve uma explicação acionável. O README situa a precisão obtida por volta dos 87 por cento.
Lê esse número com atenção. 87 por cento de precisão fala de falsos positivos, não de exaustividade. Diz que a maior parte do que a ferramenta reporta é real. Não diz nada sobre o que lhe escapou.
Porque um scanner não pode ser toda a resposta
É aqui que contam os nossos próprios artigos. Em julho tratámos o SkillCloak, um enquadramento de evasão que preserva o payload: mantém intacto o comportamento de uma skill maliciosa mudando o seu aspeto perante um scanner. Em oito scanners e 1613 skills maliciosas observadas em circulação, o empacotamento auto-extraível contornou todos os scanners acima de 90 por cento, e a ofuscação estrutural ultrapassou os 80 por cento na maioria dos scanners estáticos. O relato completo está em as skills de agentes IA são uma nova cadeia de fornecimento de malware.
O SkillSpector é um scanner estático com uma passagem semântica opcional. É melhor do que a maioria, e as suas categorias próprias de MCP mostram que a equipa sabe onde está o risco atual. Mas a classe de ataque demonstrada pelo SkillCloak é exatamente aquela que derrota a análise no momento da instalação: o payload ainda lá não está quando analisas, e é reconstruído quando o agente corre.
Onde encaixa mesmo assim
Um scanner contornável não é um scanner inútil. Encarece o ataque e apanha a maioria descuidada, que é quase tudo o que circula de facto. O lugar sensato para o SkillSpector é uma pipeline: analisar cada skill antes de entrar no teu ambiente, falhar a build em constatações de severidade alta, guardar os relatórios JSON.
O que não substitui é o lado da execução. Dá a uma skill o mínimo acesso de que precisa, executa-a onde não consiga alcançar as tuas credenciais nem todo o teu sistema de ficheiros, e observa o que ela faz em vez do que parece.
A conclusão honesta
Um grande fornecedor publicar um scanner de código aberto para skills de agentes é um bom sinal: o problema de cadeia de fornecimento está a ser tratado como real e não como teórico. Usa-o, põe-no na CI, lê o seu JSON.
Só não o deixes tornar-se a única coisa entre uma skill não fiável e a tua máquina. A investigação publicada sobre evasão é clara: a análise no momento da instalação é a camada que os atacantes já aprenderam a contornar. Para escolheres à partida ferramentas sobre as quais consigas raciocinar, o nosso panorama dos melhores LLM para programar 2026 é um ponto de partida.
