Pesquisadores demonstram ataques cross-session com até 77% de sucesso contra Claude Code, Codex CLI e Gemini CLI via composição de skills

Skills de agente são pacotes reutilizáveis de instruções, código e recursos que estendem o que um agente de IA consegue fazer, e parte do seu valor prático vem justamente de produzirem ou modificarem artefatos que persistem entre sessões — um arquivo de configuração, um cache de resultado, uma nota deixada para a próxima execução. O problema de segurança que o artigo expõe é que essa persistência, pensada para dar continuidade útil ao trabalho do agente, também cria um canal não supervisionado por onde uma skill pode influenciar o comportamento de outra skill, potencialmente de um usuário ou contexto diferente, em uma sessão futura.

Os autores caracterizam três formas concretas desse problema: propagação de instrução, em que texto malicioso deixado em um artefato é posteriormente interpretado como comando legítimo por outra skill; violação de limite de dados, em que informação que deveria ficar isolada de um contexto atravessa para outro através do artefato compartilhado; e envenenamento de evidência, em que o atacante manipula dados que servem de base para decisões futuras do agente, fazendo-o confiar em informação adulterada sem perceber a manipulação.

O mais alarmante é a escala do problema demonstrada empiricamente: contra produtos reais e amplamente usados — Codex CLI, Gemini CLI e Claude Code —, as taxas de sucesso de ataque isolado chegaram a 77,4%, e cadeias completas de ataque (do artefato malicioso até a consequência de segurança final) tiveram sucesso de até 61,1%, cobrindo todas as cinco categorias de consequência de segurança consideradas no benchmark SkillRelayBench, construído a partir de 30 cenários de composição de skills em dez domínios.

A defesa proposta, SkillRelayGuard, não tenta bloquear automaticamente toda ação suspeita — o que tende a prejudicar tarefas legítimas — mas restaura o contexto de proveniência de cada artefato (de onde ele veio, qual skill o criou, em que sessão) e oferece uma revisão consultiva antes da execução, deixando a decisão final com o próprio agente só que agora informado da origem do artefato. Essa abordagem reduziu a taxa de sucesso de ataque isolado de 69,5% para 10,9% e a de cadeia completa de 54,8% para 10,0%, ao mesmo tempo em que aumentou a taxa de conclusão de tarefas legítimas de 79,6% para 87,5%, sugerindo que rastrear proveniência é mais eficaz do que apenas restringir capacidades.

O caso é particularmente relevante porque mede o problema diretamente em ferramentas de agente de codificação já em uso real por desenvolvedores, não em um ambiente puramente acadêmico: à medida que esse tipo de ferramenta ganha mais skills de terceiros e mais estado persistente entre sessões, a ausência de rastreamento de proveniência vira um vetor concreto de escalonamento de privilégio e vazamento de dados entre contextos que deveriam estar isolados.