Nghiên cứu: Kỹ năng AI độc hại có thể né quét tĩnh nhờ đóng gói tự giải nén
"Researchers at Hong Kong University of Science and Technology showed that malicious AI agent skills can evade static scanners using simple rewriting and self-extracting packing techniques, with the strongest method bypassing all tested scanners more than 90% of the time. They also proposed a runtime defense, SKILLDETONATE, which inspects behavior in a sandbox and caught most cloaked attacks, highlighting that static review alone is insufficient for AI agent skill security."
Tấn công có thể né static scanning nhờ đóng gói tự giải nén và thay đổi dấu hiệu tệp, khiến mã độc chỉ lộ ra khi chạy. Điểm then chốt: bỏ qua quét với >90%, phát hiện theo hành vi trong sandbox (SKILLDETONATE), và giảm giả định “đã quét là an toàn”.
Rủi ro tăng cho các đội dùng agent lập trình vì skill độc hại có thể dẫn tới rò rỉ dữ liệu/credential và gián đoạn phát triển. Tác động chính: cần đầu tư runtime inspection và kiểm soát quyền để giảm thiểu sự cố, đồng thời chấp nhận chi phí hiệu năng do kiểm tra runtime tốn thời gian.
Các nhà nghiên cứu từ Hong Kong University of Science and Technology công bố cách “kỹ năng” (skills) độc hại cho tác nhân AI lập trình có thể né static scanners bằng kỹ thuật self-extracting packing và/hoặc rewriting. Theo bài viết, phương pháp mạnh nhất đã vượt qua tất cả bộ quét được thử nghiệm với tỷ lệ hơn 90%, và đa số bộ quét còn bị qua mặt với tỷ lệ hơn 99%.
Skills thường là gói gồm tệp hướng dẫn (ví dụ Markdown) và một số script; khi tác nhân tải skill, mã độc có thể chạy với quyền truy cập của tác nhân, dẫn tới rủi ro như trộm thông tin xác thực, sao chép mã nguồn hoặc cài backdoor. Nghiên cứu cho thấy cơ chế quét tĩnh chỉ dựa vào nội dung khi nộp skill là không đủ.
Để giảm rủi ro, nhóm đề xuất SKILLDETONATE: chạy skill trong sandbox và quan sát hành vi ở mức hệ điều hành (tệp đọc/ghi, luồng dữ liệu, kết nối mạng). Trong thử nghiệm kiểm soát, công cụ phát hiện 97% tấn công với tỷ lệ báo động nhầm khoảng 2%; với bộ kỹ năng độc hại thực tế, tỷ lệ phát hiện là 87%. Khuyến nghị cho doanh nghiệp: tiếp tục dùng quét tĩnh như vệ sinh cơ bản, nhưng bổ sung kiểm soát hành vi runtime, hạn chế quyền tác nhân và không chạy trên máy chứa bí mật nhạy cảm.