Prompt injection это угроза каждому 4-му скиллу: как сканер NVIDIA ловит закладки

Скилл для ИИ-агента (расширение, которое добавляет агенту новую способность, например работу с почтой или базой данных) давно перестал быть простым текстовым файлом с промптом. Скилл может содержать исполняемый код на Python или Bash, и этот код запускается с правами самого пользователя.

Проблема в том, что разработчики редко проверяют сторонние скиллы перед установкой. Об этом пишет инженер Эдгар Сипки, который более 10 лет работает с backend-системами и ИИ-инструментами и выступает на конференциях AI Conf, HighLoad и TeamLead Conf.

Какие именно угрозы прячутся в скиллах?

Промпт-инъекции (prompt injection это внедрение скрытых команд, которые агент принимает за свои собственные инструкции) лишь одна из категорий. Полный набор включает:

• Сбор переменных окружения с вашими API-ключами и токенами (токен, это уникальный код доступа к сервису)
• Отправку контекста наружу, когда скилл тихо пересылает вашу переписку или код на чужой сервер
• Тайпсквоттинг, когда вредоносный скилл маскируется под популярный, изменив одну букву в названии

Скиллы, содержащие исполняемые скрипты (файлы .py или .sh), уязвимы в 2,12 раза чаще, чем скиллы без кода.

Что понадобится

• SkillSpector от NVIDIA, открытый сканер скиллов (устанавливается через uv, в PyPI пакета нет)
• uv, менеджер пакетов Python (если ещё не стоит, инструкция на сайте проекта)
• Node.js с npx для автоматизации установки скиллов
• Терминал с доступом к командной строке (macOS, Linux или WSL на Windows)
• 10 минут на установку и настройку алиаса

Пошаговая инструкция

1. Установите SkillSpector одной командой. Пакета в PyPI нет, команда pip install skillspector не сработает. Используйте uv:

uv tool install git+https://github.com/NVIDIA/skillspector.git

Альтернативы: сборка из исходников (git clone + make install) или Docker, подробности в README проекта.

1. Запустите сканирование нужного скилла. На вход можно подать git-ссылку, zip-архив, локальную директорию или отдельный файл SKILL.md:

skillspector scan https://github.com/owner/repo --format terminal

1. Прочитайте вердикт. Сканер выдаёт risk_score от 0 до 100 и один из трёх вердиктов: SAFE, CAUTION или DO_NOT_INSTALL. Отчёт доступен в форматах terminal, json, markdown и sarif.

2. Автоматизируйте проверку через алиас. Главная проблема не отсутствие инструмента, а то, что разработчики забывают им пользоваться. Добавьте в ~/.zshrc или ~/.bashrc функцию, которая сначала сканирует, а потом ставит:

safeskill() {
  local repo="$1"
  [ -z "$repo" ] && { echo "usage: safeskill <owner/repo>"; return 2; }

  echo "SkillSpector проверяет $repo ..."
  skillspector scan "https://github.com/$repo" --format terminal
  local scan_exit=$?

  case "$scan_exit" in
    0)
      echo "risk_score <= 50 - ставлю скилл"
      npx skills add "$repo"
      ;;
    1)
      echo "risk_score > 50 (DO_NOT_INSTALL) - смотри находки выше."
      printf "Всё равно установить %s? [y/N] " "$repo"
      read -r REPLY
      case "$REPLY" in
        [yY]|[yY][eE][sS])
          echo "Ставлю несмотря на предупреждение скана"
          npx skills add "$repo"
          ;;
        *)
          echo "Отменено."
          return 1
          ;;
      esac
      ;;
    *)
      echo "Скан упал (exit=$scan_exit)"
      return 2
      ;;
  esac
}

Теперь вместо npx skills add owner/repo пишете safeskill owner/repo, и сканирование происходит автоматически.

1. Для агентного режима сделайте отдельный скилл-проверщик. В Cursor Agent Mode, VS Code Agent и подобных средах вы не всегда управляете терминалом напрямую. Создайте скилл, который заставит агента проверять каждый новый скилл перед установкой через SkillSpector.

Почему сам сканер не уязвим к промпт-инъекции?

Закономерный вопрос: если SkillSpector скармливает содержимое скилла языковой модели для анализа, не «уговорит» ли вредоносный скилл сканер сказать «всё чисто»? Ответ: нет, и вот почему.

• Статический анализ идёт первым. Regex, AST-разбор (автоматический разбор структуры кода), правила YARA и проверка зависимостей через OSV.dev не «читают» инструкции. Они сопоставляют паттерны. Уговорить регулярное выражение невозможно.
• Языковая модель здесь классификатор, а не агент. У неё нет доступа к файлам, сети и инструментам. Единственный выход модели: структурный вердикт в формате JSON.
• Системный промпт (system prompt, скрытая инструкция, которую задаёт разработчик) защищён от перехвата. Стадия LLM-анализа намеренно содержит анти-джейлбрейк.
• Сама попытка инъекции становится уликой. Текст вроде «ignore previous instructions» срабатывает как триггер паттернов Instruction Override и Hidden Instructions. Инъекция не прячется от сканера, а подсвечивает скилл.

SkillSpector обрабатывает содержимое скилла как данные для анализа, а не как команды к исполнению. Именно этого разделения не хватает уязвимым агентам: они принимают чужой текст за собственные инструкции.

Одна принципиальная оговорка: SkillSpector проверяет 64 и более паттернов в 16 и более категориях (в свежих релизах уже 68 паттернов в 17 категориях), но ни один сканер не гарантирует стопроцентной защиты.

safeskill cooldev/db-skill

Что делать с этим прямо сейчас?

Разработчику. Поставьте SkillSpector и настройте алиас safeskill. Десять минут сейчас сэкономят часы разбора инцидента потом. Привычка «сканируй до установки» работает как npm audit, только для скиллов ИИ-агентов.

Автору Дзена и контент-мейкеру. Если вы пользуетесь ИИ-агентами с расширениями (Cursor, Copilot, Claude с MCP), prompt injection это не абстрактная угроза, а конкретный способ увести ваши ключи от API или слить черновики. Проверяйте, что именно вы подключаете.

Предпринимателю. Разделяйте данные и инструкции: агент должен обрабатывать входящий текст как данные, а не как команду. Если ваша команда использует сторонние скиллы, введите правило: ни один скилл не ставится без сканирования.

Пусть ваш агент остаётся тем, кто думает, а не тем, кто слепо исполняет чужие команды.