ARTICLE · 人工智能
木马化 AI Skills 渗透 Agent 生态，安装量突破 170 万次
一语总结攻击者通过污染 AI Agent 的 skills 指令文件进行供应链攻击，仿冒热门工具实现超 170 万次恶意安装。
本文报道了一场针对 AI Agent 生态的重大供应链攻击。攻击者通过在 skills.sh 平台上发布仿冒 Paperclip 和 Browser Use 的恶意 skills，利用“渐进式发现”（progressive discovery）技术，将恶意指令隐藏在辅助文档中，诱导 AI Agent 从攻击者控制的 GitHub 仓库下载并安装凭据窃取器。该攻击已导致超过 170 万次下载，目标直指开发者工作站、CI 运行器及 Agent 工作区中的 SSH 密钥、云凭据、.env 文件等敏感信息。文章还探讨了由于 skills 使用自然语言编写，导致传统静态检测工具难以识别的防御挑战，并介绍了基于沙箱动态监控的防御思路。
- 利用 AI Agent 的 skills 配置文件进行供应链污染。
攻击者通过在 skills.sh 市场上传仿冒热门 AI 工具的恶意指令文件，利用 Agent 自动发现机制实现大规模分发。
- 采用“渐进式发现”技术规避安全检测。
主 skill 文件保持合法，将恶意指令隐藏在 Agent 仅在特定安装环节才会读取的辅助文档中，使静态检测难以发现。
- 攻击目标直指开发者的核心敏感凭据。
恶意载荷旨在窃取 SSH 密钥、云平台凭据、Git 令牌及项目 .env 文件，威胁开发者工作站与 CI/CD 环境的安全。
- 自然语言指令增加了安全防御的难度。
由于 skills 包含的是自然语言而非标准代码，传统的静态扫描工具极易产生误判，需要引入动态沙箱监控技术。
木马化 AI Skills 渗透 Agent 生态，安装量突破 170 万次
本文报道了一场针对 AI Agent 生态的重大供应链攻击。攻击者通过在 skills.sh 平台上发布仿冒 Paperclip 和 Browser Use 的恶意 skills，利用“渐进式发现”（progressive discovery）技术，将恶意指令隐藏在辅助文档中，诱导 AI Agent 从攻击者控制的 GitHub 仓库下载并安装凭据窃取器。该攻击已导致超过 170 万次下载，目标直指开发者工作站、CI 运行器及 Agent 工作区中的 SSH 密钥、云凭据、.env 文件等敏感信息。文章还探讨了由于 skills 使用自然语言编写，导致传统静态检测工具难以识别的防御挑战，并介绍了基于沙箱动态监控的防御思路。
这起 AI Skills 供应链投毒事件揭示了 Agent 生态中一个容易被忽略的入口：看似无害的指令文件可在更新后引导安装窃密载荷。文章把仿冒、延迟投毒、受影响凭据与运行环境讲清楚，能直接帮助团队重审 Skill 安装、审核与隔离策略。