NVIDIA SkillSpector: come controllare una skill AI

Perché una skill è una superficie di attacco

Una skill può contenere istruzioni, script, riferimenti e asset che l'agente usa con i tuoi permessi. Se l'agente può leggere file, avviare comandi o chiamare servizi esterni, una skill installata senza controllo può trasformare una procedura utile in un accesso stabile a dati e strumenti. Il rischio non è solo nel codice: anche una frase dentro SKILL.md può chiedere all'agente di ignorare un limite o inviare informazioni altrove.

• Uno script può leggere variabili d'ambiente, chiavi API o file fuori dal progetto.
• Un'istruzione può ampliare lo scopo senza dichiararlo nella descrizione.
• Una dipendenza non fissata può cambiare dopo la review.
• Un trigger troppo generico può attivare la skill in task che non la richiedono.

Che cosa fa SkillSpector

SkillSpector accetta directory locali, repository Git, URL, archivi zip e singoli file. La scansione statica cerca pattern di prompt injection, esfiltrazione, escalation dei privilegi, dipendenze rischiose, abuso dei tool e altre classi di problemi. Può inoltre interrogare OSV.dev per le vulnerabilità note e produrre report per terminale, JSON, Markdown o SARIF.

• Il report assegna un punteggio di rischio, una severità e una raccomandazione.
• JSON e SARIF permettono di inserire la scansione in una pipeline CI.
• Una baseline può sopprimere finding già accettati, ma va legata a regole o impronte precise.
• La scansione segnala rischi prima dell'installazione: non isola né controlla la skill durante l'esecuzione.

# Primo controllo locale, senza inviare contenuti a un LLM
skillspector scan ./mia-skill --no-llm

# Report JSON da conservare o confrontare in CI
skillspector scan ./mia-skill --no-llm   --format json --output skillspector-report.json

# Analisi statica e semantica con il provider configurato
skillspector scan ./mia-skill

Come leggere il punteggio senza farti ingannare

Apri sempre i singoli finding. Lo stesso accesso alla rete può essere sospetto in una skill che promette di formattare testo e necessario in una skill che legge issue da GitHub. Controlla file, riga, categoria e capacità coinvolta; poi confrontali con la descrizione e con i permessi che sei disposto a concedere.

• SAFE: nessun pattern rilevato nella modalità eseguita, non garanzia assoluta.
• CAUTION: serve una decisione umana sulle capacità segnalate.
• DO_NOT_INSTALL: blocca l'installazione finché i finding non sono rimossi o spiegati con evidenze verificabili.
• Analisi incompleta: il report può aver controllato tutti i file ma saltato il passaggio semantico o la ricerca live delle vulnerabilità.

Quando aggiungere l'analisi semantica

La modalità con LLM serve quando il problema non è una stringa pericolosa evidente, ma il rapporto tra scopo e comportamento. Può riconoscere che una chiamata a GitHub è coerente con una skill per le pull request oppure notare che una skill di formattazione legge credenziali senza motivo. Prima di attivarla, considera che il contenuto della skill può essere inviato al provider configurato.

• Usala sui finding statici ambigui, non per sostituire la lettura del codice.
• Evitala su skill riservate se non hai approvato provider, retention e trattamento dei dati.
• Conserva modalità, modello e versione nel report: una nuova esecuzione può dare un giudizio diverso.
• Se vuoi un controllo ripetibile in CI, tieni la scansione statica come gate separato.

I limiti che restano dopo un report pulito

SkillSpector non esegue la skill in una sandbox per osservare che cosa farà davvero. La documentazione segnala limiti su contenuti non inglesi, attacchi nelle immagini, binari cifrati e comportamento a runtime. Una ricerca del 2026 ha inoltre mostrato che tecniche di impacchettamento e offuscamento possono eludere molti scanner di skill. Per questo un punteggio basso deve restare uno strato della difesa, non il permesso automatico a installare.

• Controlla autore, repository, cronologia e commit che stai installando.
• Preferisci dipendenze fissate e script leggibili.
• Verifica eventuali firme, ma ricorda che una firma prova integrità e provenienza, non sicurezza.
• Esegui la prima prova con directory, rete e credenziali limitate.

Una procedura pratica prima dell'installazione

Per una skill breve scritta dal tuo team può bastare una review manuale affiancata dalla scansione statica. Alza il livello quando la skill arriva da terzi, contiene script, usa shell o rete, legge credenziali oppure può modificare file senza conferma. In questi casi il gate deve fermare davvero l'installazione, non limitarsi ad allegare un report.

• 1. Scarica o clona la skill senza installarla nell'agente.
• 2. Scansiona la directory completa in modalità statica.
• 3. Apri i finding e confrontali con scopo, trigger e permessi dichiarati.
• 4. Aggiungi l'analisi semantica se restano discrepanze difficili da giudicare.
• 5. Verifica provenienza, firma e dipendenze della versione esatta.
• 6. Installa prima in un ambiente limitato e osserva file, rete e comandi richiesti.

Quando SkillSpector è utile e quando è troppo

Il vantaggio cresce con la capacità della skill di agire. Una checklist in solo Markdown, scritta e revisionata dal tuo team, ha una superficie ridotta e si controlla rapidamente anche a mano. Una skill scaricata da un marketplace, con script e accesso a servizi, merita invece almeno una scansione statica e una review dei permessi. Per repository condivisi conviene aggiungere il controllo alla CI e fallire la pipeline sui finding ad alta severità.

• Uso personale, skill corta e senza script: review manuale più scansione statica.
• Skill di terze parti con rete o shell: scansione completa e prova isolata.
• Team con catalogo interno: report versionato, baseline motivata e gate in CI.
• Skill con segreti o azioni irreversibili: non affidarti a un solo scanner.

Domande frequenti