Se você está instalando skills para Claude Code, Cursor ou OpenClaw, há algo que você precisa saber antes da sua próxima instalação: uma auditoria de segurança abrangente do ecossistema de agent skills descobriu que 1 em cada 7 skills contém pelo menos um problema de segurança crítico — e os ataques não se parecem nada com o malware tradicional.
Em fevereiro de 2026, pesquisadores da Snyk publicaram ToxicSkills, o primeiro estudo de segurança em larga escala da cadeia de suprimentos de skills para agentes de IA. Eles escanearam 3.984 skills do ClawHub e skills.sh, e confirmaram 76 payloads maliciosos por meio de verificação manual. Se você ampliar para qualquer nível de severidade, mais de um terço do ecossistema — 36,82% das skills — tem pelo menos um problema de segurança: desde chaves de API hardcodeadas até exposição perigosa de conteúdo de terceiros.
O que torna isso mais grave: seu scanner de segurança tradicional não vai detectar a maioria disso.
Um problema de supply chain que você já viu antes
Se você estava presente na primeira onda de malware no npm, esse padrão parece familiar. Registry aberto. Verificação mínima. Crescimento rápido que atrai atores maliciosos. A diferença aqui é que as skills de agentes de IA não apenas executam código com seus privilégios — também carregam instruções em linguagem natural diretamente no contexto do seu agente. Isso cria dois tipos de ataques completamente distintos.
Os dois arquétipos: Data Thieves e Agent Hijackers
Pesquisadores da Carnegie Mellon (arXiv:2602.06547) analisaram 98.380 skills em dois registros comunitários e descobriram que as maliciosas se dividem claramente em dois perfis:
Data Thieves (70,5% das skills maliciosas confirmadas)
Essas skills se comportam normalmente na superfície enquanto exfiltram suas credenciais em segundo plano. Suas técnicas incluem:
- Instalar dependências que enviam dados para servidores externos
- Fazer POST requests para URLs externas com suas variáveis de ambiente
- Ler
~/.ssh/id_rsa,~/.aws/credentialsou arquivos.envsilenciosamente - Usar codificação Base64 ou serialização marshal/pickle para ocultar a lógica de exfiltração
Uma skill confirmada, AI Truthfulness Enforcer (smp_2663), se disfarça de ferramenta de segurança enquanto implementa cinco padrões distintos de override de instruções, todos de severidade crítica. Outra (Plan Refine, smp_9014) executa um ataque man-in-the-middle no nível do modelo — redirecionando todas as chamadas para a API do Claude através de um proxy controlado pelo atacante. Cada prompt, trecho de código e documento de negócio que você envia passa pelo seu servidor.
Agent Hijackers (10,2% das skills maliciosas confirmadas)
Esses não roubam dados — subvertem a tomada de decisão do agente. Eles embutem instruções que dizem ao seu IA o que fazer em tempo de execução, sobrescrevendo sua intenção real. As técnicas incluem:
- Overrides de instruções (60 instâncias encontradas)
- Padrões de bypass de segurança (35 instâncias)
- Linguagem coercitiva que força comportamentos específicos (33 instâncias)
- Instruções de sigilo que dizem ao agente que oculte o que está fazendo (20 instâncias)
- Overrides de autonomia e modos de operação silenciosa
O ataque é engenharia social, mas direcionado à IA, não a você.
Por que os scanners tradicionais perdem 84% do problema
Este é o achado que deveria recalibrar como você pensa sobre essa ameaça: 84,2% das vulnerabilidades vivem em documentação em linguagem natural, não em código. As instruções maliciosas estão escritas em prosa dentro de arquivos SKILL.md ou em instruction sets. VirusTotal, os analisadores estáticos e a maioria dos scanners de registry estão observando o código — são completamente cegos para essa superfície de ataque.
SkillScan, um scanner de comportamento construído especificamente para esse problema, encontrou ameaças em 16,9% das 549 skills do ClawHub que analisou. VirusTotal não detectou nenhuma delas.
Os pesquisadores também documentaram “shadow features” — capacidades reais que estão completamente ausentes da descrição pública de uma skill. O detalhamento: endpoints de rede não documentados (47,2%), triggers condicionais que se ativam sob circunstâncias específicas (18,4%), segmentos de código ofuscados (11,0%), e instruções ocultas em comentários ou markup (6,7%).
A escala do problema
Um único ator de ameaça, identificado como smp_170, é responsável por 54,1% de todas as skills maliciosas confirmadas, usando ataques baseados em templates industrializados — basicamente produzindo skills maliciosas em massa. Isso não é oportunista. É organizado.
No momento da publicação do estudo, 8 das 76 skills maliciosas confirmadas ainda estavam disponíveis publicamente no clawhub.ai. Três CVEs que afetam diretamente o Claude Code (CVE-2026-25723, CVE-2026-21852, CVE-2025-66032) foram identificados como parte da investigação.
O que fazer antes da sua próxima instalação de skills
Antes de instalar qualquer skill:
1. Verifique a fonte
Prefira skills de desenvolvedores conhecidos com histórico no GitHub, não de submissões anônimas. Revise o SKILL.md atual e qualquer arquivo incluído antes de carregá-los.
2. Escaneie com uma ferramenta de comportamento
SkillScan (skillscan.chitacloud.dev) pode analisar skills antes de instalá-las. Não é perfeita, mas detecta o que VirusTotal não vê.
3. Procure por shadow features manualmente
Leia os arquivos de instalação. A skill descreve acesso a rede que não mencionou no readme? Referencia URLs externas? Inclui lógica condicional que só se ativa sob certas condições?
4. Revise se há segredos hardcodeados
Escaneie padrões como OPENAI_API_KEY, AWS_SECRET, ou qualquer leitura de variáveis de ambiente seguida de HTTP requests.
5. Verifique quais privilégios ela solicita
As skills rodam com acesso equivalente ao de um desenvolvedor sobre seu sistema de arquivos, credenciais e APIs. Uma skill que pede acesso amplo ao sistema de arquivos para uma tarefa que não o requer é um sinal de alerta.
Para equipes que usam ferramentas agênticas:
Considere tratar a instalação de skills como a instalação de dependências — revisar antes de adicionar, fixar versões, e manter registro do que foi instalado. O risco de supply chain aqui é real e está ativo neste momento.
O panorama mais amplo
O ecossistema de skills para agentes está passando pelas mesmas dores de crescimento que npm, PyPI e o Android Play Store enfrentaram. A diferença é que a superfície de ataque é mais perigosa: essas skills rodam com seus privilégios, carregam instruções diretamente no contexto da IA, e a maioria das ferramentas de segurança não consegue ver o vetor de ataque principal.
Os pesquisadores divulgaram seus achados de forma responsável. Os registries estão melhorando seus processos de verificação. Os patches para Claude Code estão em progresso. Mas a tensão fundamental — ecossistemas abertos são valiosos precisamente porque são abertos — não vai desaparecer.
Até que o ecossistema amadureça, a postura mais segura é instalar skills da mesma forma que você instalaria uma dependência desconhecida: com ceticismo, verificação, e consciência do que você realmente está executando.
Fontes: Snyk ToxicSkills study (fevereiro de 2026), arXiv:2602.06547 — Carnegie Mellon Large-Scale Security Empirical Study (fevereiro de 2026), SkillScan behavioral analysis data.