The post has been translated automatically. Original language: Russian
Agent "skills" are file folders SKILL.md , from which the model picks up instructions for a specific task. The problem is that for the agent, this entire file is an instruction. Therefore, a seemingly "useful" line can quietly force the agent to do something harmful, and the user will only see that the task has been completed. This is not a bug in the code or anything else, but a feature of how the model follows the text.
Mechanics
The AISA group, in its work "Agent Skills Enable a New Class of Realistic and Trivially Simple Prompt Injections" (October 2025, arXiv 2510.26328), showed working scenarios hidden in a long skill file where instructions pull out internal files and passwords, and local confirmation of the action with the "do not ask anymore" option is transferred to neighboring ones. malicious actions. A separate researcher (Idan Habler, November 2025) demonstrated a data leak through an allegedly harmless "draw a picture" instruction where the URL led to the attacker's server, and private data went into the request parameters.
Figures on the success of such attacks
The Skill-Inject benchmark of the same group (skill-inject.com , April 2026) provides measurable indicators:
- Obviously malicious injections — ransomware, mass deletion, phishing — take place in 36-75% of cases with one attempt.
- Gemini 3 Flash reaches an 83% attack success rate with a simple best-of-5 strategy.
- Even the most stable of the tested models, Opus 4.5, still performs 17% of injections.
For comparison, a combined test for direct and indirect injections from the Opus 4.5 system card (November 2025): attack success rate for Opus 4.5 is 4.7%, for Gemini 3 Pro - 12.5%, for GPT-5.1 — 21.9%. This is a different, more general measurement, not skill files, but it shows the stability order of the top models.
The scale of the problem in the ecosystem
Snyk in the ToxicSkills study (February 2026):
- 13.4% of all skills (534 pieces) contain at least one critical problem — the spread of malware, prompt injection, leakage of secrets.
- 36.82% (1,467 skills) have at least one security flaw, from stolen API keys to insecure work with credentials.
- In February 2026, the first coordinated campaign of malicious skills was recorded: 30+ pieces were distributed through ClawHub.
Conclusion
The barrier to publishing a skill is minimal, it's a simple markdown file and a GitHub account. No code signing, no mandatory review, no default sandbox. As long as agents treat instructions from third-party skills with the same trust as they do user instructions, attacks through them will remain a real threat. The practical conclusion is simple: install skills only from sources you trust, the vendor of the model, a verified hub, or your own code.
Sources: AISA Group (arXiv 2510.26328, October 2025; Skill-Inject benchmark, April 2026); Idan Habler (Medium, November 2025); Snyk ToxicSkills (February 2026); Claude Opus 4.5 / Vellum card system (December 2025).
Агентные «скиллы» это папки с файлом SKILL.md, из которого модель подхватывает инструкции под конкретную задачу. Проблема в том, что для агента весь этот файл — инструкция. Поэтому «полезная» на вид строчка может тихо заставить агента сделать что-то вредное, а пользователь увидит лишь, что задача выполнена. Это не баг в коде или что-то еще а особенность того, как модель следует тексту.
Механика
Группа AISA в работе «Agent Skills Enable a New Class of Realistic and Trivially Simple Prompt Injections» (октябрь 2025, arXiv 2510.26328) показала рабочие сценарии спрятанные в длинном skill-файле где инструкции вытаскивают наружу внутренние файлы и пароли, а локальное подтверждение действия с опцией «больше не спрашивать» переносится на соседние, уже вредоносные действия. Отдельный исследователь (Idan Habler, ноябрь 2025) продемонстрировал утечку данных через якобы безобидную инструкцию «отрисовать картинку» где URL вёл на сервер атакующего, а приватные данные уходили в параметрах запроса.
Цифры по успешности подобных атак
Бенчмарк Skill-Inject той же группы (skill-inject.com, апрель 2026) даёт измеримые показатели:
- Явно вредоносные инъекции — ransomware, массовое удаление, фишинг — проходят в 36–75% случаев с одной попытки.
- Gemini 3 Flash доходит до 83% успеха атаки при простой стратегии best-of-5.
- Даже самая устойчивая из протестированных моделей, Opus 4.5, всё равно исполняет 17% инъекций.
Для сравнения — комбинированный тест на прямые и непрямые инъекции из системной карты Opus 4.5 (ноябрь 2025): attack success rate у Opus 4.5 — 4,7%, у Gemini 3 Pro — 12,5%, у GPT-5.1 — 21,9%. Это другой, более общий замер, не скилл-файлы, но он показывает порядок устойчивости топовых моделей.
Масштаб проблемы в экосистеме
Snyk в исследовании ToxicSkills (февраль 2026):
- 13,4% всех скиллов (534 штуки) содержат хотя бы одну критическую проблему — распространение малвари, prompt injection, утечку секретов.
- 36,82% (1 467 скиллов) имеют хотя бы один изъян по безопасности — от захардкоженных API-ключей до небезопасной работы с учётными данными.
- В феврале 2026 зафиксирована первая скоординированная кампания вредоносных скиллов: 30+ штук распространялись через ClawHub.
Вывод
Барьер для публикации скилла минимальный это простой markdown-файл и аккаунт на GitHub. Ни подписи кода, ни обязательного ревью, ни песочницы по умолчанию. Пока агенты относятся к инструкциям из сторонних скиллов с тем же доверием, что и к инструкциям пользователя, атаки через них останутся реальной угрозой. Практический вывод простой ставить скиллы только из источников, которым вы доверяете, вендор модели, верифицированный хаб или собственный код.
Источники: AISA Group (arXiv 2510.26328, октябрь 2025; бенчмарк Skill-Inject, апрель 2026); Idan Habler (Medium, ноябрь 2025); Snyk ToxicSkills (февраль 2026); система-карта Claude Opus 4.5 / Vellum (декабрь 2025).
Share
