Zenity：读 SKILL.md 判断 Agent Skill 是否安全根本不够
AI Engineer · youtube · 2026-11-11
Zenity 的 Roey Ben Chaim（MATS Fellow）在 AI Engineer Code Summit 展示为什么只读 SKILL.md 无法判断一个 agent skill 会做什么：一个官方诊断 skill 可以读云凭证、联系身份服务、探测实例元数据端点——这些动作与信息窃取程序几乎无法区分。指令可以再取指令，安装脚本会拉包，包创建的进程效果可能完全不出现在 agent 自己的 trace 里。
方案：agent 引爆 chamber——沙箱 + 提供所需服务的 world builder + 走不同路径的 operator + 进程/文件系统/网络流量的 instrumentation。
案例：链式 skill 安装、误导性包名、持久化、hooks 滥用、远程拉取 prompt；一次调查从一个仿冒项目追到下载 payload 再到凭证收割，说明完整链条比入口文件更重要。
工程结论：把 skill 当软件供应链依赖对待——检查它加载什么、限制其访问、保存模型可见对话之外的实际执行证据。
「编程与Agent」频道最新
- Untangle 分享 Agent 工程实践：AI Engineer 大会演讲上线 — altryne · 2026-11-11
- Potion UI 作者闭门开发两年多，原生独立引擎近期才公开 — cocktailpeanut · 2026-11-11
- Anthropic 工程师暗示 InDesign MCP 已在路上 — rufusd · 2026-11-11
- Netlify 推出常驻后端服务 Server,可托管 AI agent 与多人应用 — jasonkneen · 2026-11-11
- 个人 AI 助理 Pepper 可打电话、接电话还能代你回话 — thechrisperry · 2026-11-11
- 微软发布 .NET 11：C# 15 联合类型与数百项性能优化 — unixterminal · 2026-11-11