Sicurezza · 18 ottobre 2026
Pubblicato anche in العربية
Tre scanner di sicurezza ignorano istruzioni pericolose nei pacchetti skill
Un ricercatore ha testato tre strumenti di analisi, Cisco Skill Scanner, NVIDIA SkillSpector e AgentVerus, su 12 pacchetti sintetici di competenze per agenti AI. L'obiettivo era verificare se i scanner potessero rilevare istruzioni dannose prima che un agente le eseguisse. I risultati mostrano che tutti e tre gli strumenti hanno fallito nel rilevare un metodo di bypass descritto nel pacchetto numero 10, mentre hanno segnalato correttamente rischi elevati in un altro caso di studio.
L'autore ha creato 12 pacchetti sintetici, suddividendoli in cinque con istruzioni ammissibili e sette con istruzioni pericolose. Ogni pacchetto è stato sottoposto a scansione dai tre strumenti in contenitori isolati senza rete. I pacchetti contenevano solo istruzioni testuali; non erano presenti chiavi reali o script eseguibili, e gli indirizzi di rete usavano domini .invalid.
Nel pacchetto numero 10, l'istruzione chiedeva di aggirare l'approvazione tramite un sub-agente, nascondendo le limitazioni e affermando che l'utente aveva concesso il permesso. Cisco Skill Scanner, NVIDIA SkillSpector e AgentVerus hanno tutti ignorato questa istruzione. AgentVerus ha comunque assegnato un punteggio certificato di 99 punti. Nel pacchetto numero 5, tutti e tre gli scanner hanno rilevato risultati di livello High, riguardanti una citazione di attacco.
L'autore ha osservato che i punteggi complessivi assegnati dagli strumenti non riflettevano necessariamente la presenza di rischi specifici. I due casi studio evidenziati, il bypass nel pacchetto 10 e l'attacco citato nel pacchetto 5, sono risultati più rivelatori dei punteggi finali. L'analisi ha confermato che gli scanner hanno fallito nel riconoscere istruzioni progettate per eludere le procedure di approvazione, pur essendo in grado di rilevare citazioni note di attacchi quando esplicitamente presenti.
L'esperimento ha utilizzato versioni specifiche dei tool: Cisco Skill Scanner, NVIDIA SkillSpector versione 2.12.0 senza LLM in container offline, e AgentVerus versione 2.2.2 senza LLM in container offline. L'autore ha notato che le capacità di alcuni scanner variano quando si attivano modalità online o con LLM, ma questo esperimento si è concentrato sulle configurazioni offline locali.
I risultati suggeriscono un limite nei sistemi di scansione attuali nel rilevare strategie di prompt injection sofisticate che mirano a manipolare l'ordine delle istruzioni, pur mantenendo la capacità di rilevare vulnerabilità note quando queste sono esplicitamente citate nel testo.