arXiv cs.CRが2026年10月14日(現地時間)付けで報じたところによると、ラトネシュ・パンデイ (Ratnesh Pandey) 氏らの研究チームは、エージェントスキルが持つ潜在的な攻撃対象領域に関する研究結果を発表した。ツールを利用するエージェントが命令を読み込み実行する「エージェントスキル」の約半数がシェル実行能力を持ち、ファイルシステムへの読み書き、ネットワークへの接続、資格情報へのアクセス能力を持つスキルも多数存在することが明らかになった。
研究チームは、二段階の攻撃対象領域プロファイリング手法を提示した。この手法は、バンドル全体の静的解析と依存関係の出所確認に加え、計測されたサンドボックス実行と、その結果得られるトレースのモデルベース評価を組み合わせる。この手法を二つのマーケットプレイスから収集した6,309件のリスティングに適用し、脅威やリスク信号に関わらず実行対象を選定した。
調査の結果、対象リスティングの半数がシェル実行能力を持つ証拠が見つかった。ファイルシステム読み取り能力を持つものは35%、ファイルシステム書き込みとネットワーク出力能力はそれぞれ31%を占める。また、資格情報へのアクセス能力を持つものは13%に上り、リスティングの10件中7件が少なくとも一つの特権機能を持つことが判明した。
これらの能力はユーザーがインストール時に受け入れる範囲だが、そのほとんどはインストール時に視覚化されない。既存のパーミッションモデルは存在するものの、機能不全に近い状態にあると指摘されている。スキル開発者は、スキルが事前承認するツールをfrontmatterに記載できるが、これは確認プロンプトを削除するだけで、スキルがアクセスできる範囲を制限するものではない。frontmatterが解析された6,061件のリスティングのうち、何らかの宣言をしているのは770件に過ぎず、その語彙では資格情報や環境アクセスを表現できず、バンドルとの照合も行われていない。
さらに、宣言の正確性にも問題がある。宣言しているリスティングの59%が、自身のバンドルが持つ実際の能力を過小評価している。例えば、ClawHubはskillsmpの約2倍の頻度で宣言を行うが、その宣言の88%で能力を過小評価しているのに対し、skillsmpは31%だった。この結果は、マーケットプレイスでの選別が悪意検出に加えて、能力指向の攻撃対象領域プロファイリングを必須の補完要素として位置付けるべきだと提言している。
参考: arXiv cs.CR (アーカイブ) — 2026年10月15日 13:00 (JST)
原文ハイライト"A permission model exists but is close to inert."