Die OWASP-Liste umfasst zwei kritische, vier hohe und vier mittlere Risiken. An der Spitze stehen bösartige Skills, dahinter die Kompromittierung der Lieferkette: Skills, die auf GitHub und in anderen Repositorien liegen, sind laut OWASP ein möglicher Angriffsvektor — häufig genügen einfache Textdateien, um typosquattete Abhängigkeiten nachzuladen.

Wie leicht das funktioniert, demonstrierte das Start-up Air, das auf Sicherheit agentischer Lieferketten spezialisiert ist. Durch Manipulation des Repository-Systems verschaffte es einem experimentellen Repository eine hohe Sternebewertung und erreichte damit innerhalb von Stunden 26.000 Agenten. Mitverantwortlich war ein weiteres Kernproblem der Liste: die Möglichkeit, Inhalte von externen Seiten nachzuladen (AST05 – Untrusted External Instructions). Der verwendete Skill erzeugte eine Produkt-Landingpage, bezog die Anweisungen dafür aber von einer externen Website — eine verbreitete Methode, um scheinbar legitimen Skills bösartige Funktionen hinzuzufügen.

Auch selbstgebaute, harmlos gemeinte Skills greifen laut Omar Turner regelmäßig auf fremde Quellen zu, ohne zu prüfen, ob sich die Inhalte geändert haben oder mit Schadanweisungen versehen wurden. Turner unterstützt das OWASP-Projekt und ist hauptberuflich Managing Director für Cloud- und KI-Sicherheitsprojekte bei Microsoft. “Wenn ich Skills gebaut habe, rufe ich verschiedene Seiten auf, lasse Inhalte auswerten, ein Ergebnis erzeugen, bestimmte Zugangsdaten verwenden und Aktionen ausführen”, sagt er. “Als CISO würde mich das nachts wachhalten, denn diese externen Anweisungen aus schlechten Quellen wären sehr problematisch.”

Ziel der Liste sei es, die Gefahren von Skills sichtbar zu machen, so Turner. Auf der Black Hat USA sei viel über Agenten gesprochen worden, kaum aber über Skills. “Ohne Wissen darüber, welche Risiken bei Skills bestehen, arbeitet man im Blindflug”, sagt er. Skills müssten in Organisationen genauso diskutiert werden wie Agenten.

Niv Hoffman, Co-Leiter des OWASP-Projekts sowie Mitgründer und Technikchef von Air, zieht einen Vergleich: “Wenn Agenten das neue Betriebssystem sind, dann sind Skills die neuen Anwendungen — und man braucht sie, um die Fähigkeiten des Agenten zu erschließen.” Ein Verbot empfehle das Projekt nicht, sondern eine standardmäßig sichere Umgebung, in der Menschen und Agenten möglichst viele Skills gefahrlos nutzen können.

Da Skill-Repositorien in den vergangenen sechs Monaten um mindestens ein Drittel gewachsen sind, wächst auch der Bedarf an einem einheitlichen Format. Das Universal Agentic Skill Format v1.0 sieht Abschnitte für Herkunft, Berechtigungen für einzelne Aktionen, Anforderungen und Abhängigkeiten, Signaturen und Hashes sowie ein Änderungsprotokoll vor. Wichtig sei vor allem die Trennung von Nutzeranweisungen und Anweisungen, die aus Skills oder anderen verarbeiteten Inhalten stammen, sagt Hoffman: “Aus Sicht des Agenten und des Modells gibt es keine Trennung zwischen Benutzermodus und aktuellem Modus.” Ziel sei es, die Lehren aus 20 bis 30 Jahren Code-Programmierung möglichst schnell auf diese neue Softwareform zu übertragen.

Ähnlich wie beim Cloud-Computing dürfte sich bei KI-Diensten ein Modell geteilter Verantwortung etablieren; Unternehmen können erwarten, dass Anbieter die Skills prüfen, wenn der Agent auf deren Infrastruktur läuft. Verlassen sollten sie sich darauf nicht, sagen beide Experten, sondern auf Transparenz und Steuerung. Als ersten Schritt sollten Organisationen erfassen, welche Agenten ihre Beschäftigten einsetzen — und welche Skills darin eingebettet sind. “Die meisten CISOs können nicht ehrlich sagen, wie viele Agenten laufen und wie viele Skills in diesen Agenten stecken”, so Turner. Entscheidende Messgröße sei, wie schnell ein Unternehmen nach einer Warnung feststellen und einen als bösartig erkannten Skill unternehmensweit abschalten kann.