SkillClone demonstra que funcionalidade de skills fechadas de agentes de IA pode ser clonada só por uso legítimo
Pesquisadores mostram que, mesmo quando arquivos de uma skill proprietária de agente de IA permanecem totalmente ocultos, um atacante pode reconstruir sua funcionalidade apenas observando entradas e saídas de uso normal, sem qualquer vazamento de arquivo. O ataque SkillClone, testado contra 30 skills, conseguiu recuperação exata ou parcial em vários alvos, mostrando que sigilo de arquivo não implica sigilo funcional.
Provedores de agentes de IA frequentemente monetizam capacidades específicas — regras de negócio, tabelas de referência, procedimentos ou algoritmos — empacotadas como "skills" fechadas, oferecendo o serviço sem expor os arquivos, scripts ou constantes subjacentes. A literatura de segurança até agora focava em ataques de prompt injection que extraem diretamente esses artefatos (fazendo o agente "vazar" o conteúdo do arquivo), e as defesas correspondentes miram em impedir esse tipo de divulgação direta.
O artigo aponta uma lacuna conceitual: impedir a divulgação do arquivo não impede que um usuário reconstrua a funcionalidade que aquele arquivo implementa, simplesmente observando pares de entrada e saída ao longo do uso normal e legítimo do serviço. O SkillClone opera nesse modelo de caixa-preta: parte de uma hipótese de interface construída a partir da descrição pública da skill, envia sondas estruturadas e benignas (que não disparariam nenhum filtro de segurança, pois são solicitações de tarefa legítimas), sintetiza uma réplica executável a partir das respostas observadas, e refina essa réplica iterativamente por validação diferencial contra a skill original — comparando saídas da réplica com saídas da skill real para os mesmos casos de teste e corrigindo divergências.
Os resultados em 30 skills cobrindo regras de negócio, tabelas, procedimentos e algoritmos mostram recuperação exata ou parcial em vários alvos, com a reconsulta iterativa fechando lacunas que uma única rodada de reconstrução deixaria passar — ou seja, o atacante não precisa acertar tudo de uma vez, apenas ter acesso contínuo e barato ao serviço para refinar a réplica ao longo do tempo. Como o ataque usa apenas interações legítimas do ponto de vista do provedor, defesas focadas em impedir divulgação de arquivo (detecção de vazamento, filtros de prompt injection) simplesmente não enxergam esse tipo de abuso, e descrições públicas menos detalhadas da skill oferecem proteção limitada.
A implicação prática para quem vende capacidades de IA como produto fechado é que a proteção de propriedade intelectual não pode depender só de esconder arquivos: é preciso também limitar a quantidade cumulativa de informação que um usuário consegue extrair através de uso repetido e sistemático — por exemplo, com rate limiting orientado a padrões de sondagem sistemática, watermarking de saída, ou variação controlada de comportamento entre instâncias — algo estruturalmente mais difícil de implementar do que um simples filtro de conteúdo.