AIスキル90万件を調査、3000件超が悪性―導入前に見る場所

ESET Threat Report H1 2026 によると、ESETは2026年3～5月に人気リポジトリのAIスキル90万件を分析し、2万5000件を不審、3000件超を悪性と判定した。外部のAgent Skillを安全に使うには、評価や静的スキャンの結果だけでなく、配布元、コード、要求権限、外部通信、秘密情報、更新差分、実行時監視の七段階を確認し、不明点が残るものを本番環境へ入れないことが基本となる。

Agent Skillは単なる指示文とは限らず、スクリプト、リソース、依存関係、外部サービス設定を含み得る。エージェントにファイル操作やシェル実行、認証情報へのアクセスを許していれば、その権限が悪性の処理にも使われるため、導入前の検査と導入後の制限を一つの審査として設計する必要がある。

スキルが攻撃経路になる仕組み

危険の中心は、自然言語の指示と実行可能な処理が同じ配布物に収まり得ることだ。内部の指示がエージェントに秘密ファイルを読ませ、付属スクリプトが内容を外部へ送る構成なら、利用者が正規の機能を呼び出しただけでも情報流出につながる。

ESETが確認した例には、MimikatzやImpacketを使う悪性スキル、永続化機構を作成できる不審な自己変更型スキル、効果が乏しいのに保護されている印象を与える正常な「セキュリティ」スキルが含まれる。ただし、90万件という母集団はESETが対象期間中に人気リポジトリから分析した範囲であり、公開されている全スキルの悪性率を示す統計ではない。

被害の大きさはスキルの内容だけでなく、実行環境の権限で決まる。文書整形用のスキルがホームディレクトリ全体、秘密管理領域、任意の外部ドメインへのアクセスを要求するなら、悪性コードを特定できなくても、目的と権限の不一致を理由に導入を止められる。

確認されている被害は認証情報窃取、バックドア、流出

主要マーケットプレイスの3984スキルを分析した Agent Skillエコシステムの技術報告 は、76件の悪性ペイロードを確認し、認証情報窃取、バックドア設置、データ流出を主要な結果として挙げた。調査対象の13.4％には少なくとも一つの重大度「Critical」の問題があり、2026年5月27日の公表時点で、手作業により悪性と確認された少なくとも8件がClawHub上で公開されていた。

狙われる情報にはAPIキー、クラウド認証情報、環境変数、設定ファイルなどがある。バックドアは追加コマンドや後続ペイロードの実行経路となり、流出処理は業務文書やソースコードを組織外へ送信し得る。

「Criticalの問題」と「確認済みの悪性ペイロード」は同じ指標ではない。前者には深刻な脆弱性や危険な構成も含まれるため、13.4％をそのまま悪性スキルの割合と解釈すべきではない。

導入前後をつなぐ七段階チェック

1. 配布元：作者や組織の実在性、公式リポジトリとの対応、公開履歴を確認する。名前や説明が有名プロジェクトに似ているだけでは信頼せず、審査対象のコミットを固定する。
2. コード：指示ファイルだけでなく、スクリプト、フック、バイナリ、依存関係、インストール処理を調べる。難読化、動的評価、自己変更、外部ファイルの取得、永続化、子プロセス生成について、機能上の必要性を確認する。
3. 要求権限：ファイル、シェル、ブラウザ、クラウド、メール、リポジトリへの権限を機能ごとに対応付ける。包括的な許可を避け、必要な対象と操作だけを認める。
4. 外部通信：接続先ドメイン、プロトコル、送信内容、リダイレクト、実行中に取得するコードを確認する。承認した宛先だけを許可し、用途を説明できない通信は遮断する。
5. 秘密情報：必要な資格情報を列挙し、個人用や本番用の長期キーを直接渡さない。用途を限定した短命トークン、専用サービスアカウント、読み取り専用権限を優先する。
6. 更新差分：審査済みのバージョン、コミット、依存関係を固定する。更新時にはコードだけでなく、指示、権限、通信先、インストール処理の差分も再審査する。
7. 実行時監視：隔離環境でファイル操作、外部通信、子プロセス、秘密情報へのアクセスを記録する。本番でも許可リスト、停止手段、認証情報の失効手順を用意する。

七項目は独立したチェックボックスではない。正規の配布元でも更新後に処理が変わる可能性があり、コードが無害に見えても、実行時に取得するデータや外部応答によって挙動が変化する場合がある。供給元から実行結果まで、同じバージョンを連続して追跡することが重要だ。

静的スキャナーを最終判定にしない

自動スキャンは大量の候補を絞る一次選別には使えるが、安全証明にはならない。既知の文字列や構造に依存する検出は、難読化された処理や実行時に取得される内容を見逃し得る一方、侵入テストやセキュリティ検証に必要なコードを含む正常なスキルを悪性と判定することもある。

9740件のスキルで検出器を評価した MaliciousSkillBench では、学習元と評価元を分けたSource-Disjoint条件において、最も成績の良かった単語TF-IDFとSVMの構成が悪性スキルの再現率95.6％を維持する一方、正常スキルの62.4％を誤って陽性とした。学習型検出器のMacro-F1もランダム分割の0.882～0.932から、Source-Disjoint条件では0.653～0.665へ低下した。

この62.4％は、すべてのスキャナーに共通する誤検知率ではない。特定のベンチマーク、検出構成、未知の配布元を想定した評価条件での結果である。スキャン結果は合否ではなく、追加確認すべきファイル、権限、通信先の優先順位を決める信号として使うのが適切だ。

本番導入を認める条件

本番投入を認めるのは、所有者、用途、固定バージョン、必要権限、通信先、扱う秘密情報、監視方法が記録され、担当者が説明できる場合に限る。安全性を確認できないものを試す必要がある場合は、ダミーデータと専用アカウントを使う隔離環境に置き、外部通信を原則拒否した状態で観察する。

運用開始後は、接続先の追加、権限エラーの急増、通常と異なるファイル参照、予期しない子プロセス、秘密情報への反復アクセスを再審査の条件にする。問題を検知した際はスキルを停止するだけでなく、使用したトークンの失効、外部送信ログの確認、変更されたファイルや永続化設定の調査まで対象に含める。

外部のAgent Skillは便利な設定ファイルではなく、組織の権限で動く第三者ソフトウェアとして扱う必要がある。静的検査で候補を絞り、七段階の審査で目的と権限を照合し、隔離と実行時監視で残るリスクを抑える。この条件がそろわないスキルは、本番環境へ入れない判断が妥当だ。