MMSkillRisk: imagens escondidas em 'skills' de agentes de IA induzem ações não autorizadas em 43% dos casos

'Skills' de agente são pacotes reutilizáveis de instruções procedurais, ferramentas e exemplos que agentes de IA carregam para executar tarefas especializadas — um padrão que vem ganhando adoção rápida em harnesses de agentes de codificação e assistentes multimodais. Quando essas skills são multimodais, elas frequentemente incluem imagens de referência visual que o agente consulta durante a execução para entender, por exemplo, como uma interface deve se parecer ou onde clicar. O artigo observa que essa dependência visual abre uma superfície de ataque nova: como as imagens guiam ações diretamente, um atacante pode disfarçar instruções maliciosas como se fossem anotações legítimas dentro da própria imagem de orientação.

A técnica proposta, Native-Context Visual Attack (NCVA), esconde a instrução maliciosa como um componente nativo da imagem de ensino — por exemplo, como se fosse um rótulo de interface ou uma anotação técnica — enquanto o arquivo de texto que acompanha a skill (o SKILL.md) apenas direciona o agente para a região visual relevante, sem nunca declarar explicitamente a operação maliciosa. Isso é qualitativamente diferente de um ataque de prompt injection baseado em texto, que normalmente contém a instrução maliciosa de forma mais direta e, por isso, mais fácil de filtrar.

Os pesquisadores construíram o MMSkillRisk, o primeiro benchmark público dedicado a avaliar esse tipo de ataque de ponta a ponta: a partir de 28 skills legítimas selecionadas manualmente, geraram 36 pacotes de ataque com 108 casos executáveis cobrindo cinco objetivos de ataque distintos, testados em sandboxes isolados contra nove combinações de modelo e harness. O NCVA induziu operações não autorizadas em todas as nove configurações testadas, com taxa de sucesso agregada de 43,1% — superando em 16,4 pontos percentuais a linha de base equivalente carregada via texto. Um dado particularmente preocupante é que, em 36,5% dos casos, o ataque bem-sucedido coexiste com a conclusão normal da tarefa legítima solicitada (chegando a 72,2% em uma configuração específica com GPT e Codex), o que significa que o usuário vê a tarefa 'funcionar' sem perceber que uma ação extra maliciosa também ocorreu.

O achado é relevante para qualquer organização que já publique ou consuma skills de terceiros em marketplaces de agentes: escâneres de segurança hoje concentrados em texto (prompt injection clássica) deixam esse vetor de imagem completamente descoberto, e o próprio sucesso aparente da tarefa não pode ser usado como sinal de que a execução foi segura — ecoando, num domínio diferente (multimodal em vez de escolha de ferramenta), o mesmo problema de fundo identificado no artigo SINGED sobre contrafação funcional em agentes.