Sicherheit von Agent Skills

Ein Agent Skill ist ein Verzeichnis mit einer SKILL.md-Datei: YAML-Frontmatter mit den Pflichtfeldern „name“ und „description“ plus Markdown-Anweisungen; optional kommen die Verzeichnisse scripts/ (ausführbarer Code), references/ (Dokumentation) und assets/ (Vorlagen, Daten) hinzu. Agenten laden Skills per Progressive Disclosure in drei Stufen: beim Start nur Name und Beschreibung (rund 100 Tokens), bei Aktivierung die vollständigen Instruktionen, Skripte und Referenzdateien erst bei Bedarf – Skripte werden über die Shell ausgeführt, nur ihre Ausgabe gelangt in den Kontext. Das Format wurde von Anthropic entwickelt, als offener Standard veröffentlicht (agentskills.io) und wird von zahlreichen Agenten unterstützt, darunter Claude und Claude Code, GitHub Copilot, VS Code, Gemini CLI und OpenAI Codex.

Skill-Instruktionen gelangen als scheinbar vertrauenswürdige Anleitung direkt in den Kontext des Agenten. Anthropic warnt ausdrücklich: Ein bösartiger Skill kann den Agenten anweisen, Tools aufzurufen oder Code auszuführen, in einer Weise, die dem deklarierten Zweck des Skills nicht entspricht – etwa Aktionen vor dem Nutzer zu verbergen oder das Verhalten nur unter bestimmten Bedingungen zu ändern. Das entspricht dem Muster der indirekten Prompt Injection (OWASP LLM01:2025): Inhalte aus externen Quellen verändern das Modellverhalten in unbeabsichtigter Weise. Besonders riskant sind Skills, die zur Laufzeit Inhalte von externen URLs nachladen – auch ein ursprünglich gutartiger Skill kann kompromittiert werden, wenn sich seine externen Abhängigkeiten später ändern.

Skills werden wie Software-Pakete geteilt – über Git-Repositories, Plugin-Kataloge und Community-Marktplätze. Anthropic empfiehlt, ausschließlich Skills aus vertrauenswürdigen Quellen zu verwenden und die Installation eines Skills mit derselben Sorgfalt zu behandeln wie die Installation von Software auf Produktivsystemen. Typische Risikoindikatoren sind gebündelte Skripte (sie laufen mit vollem Zugriff auf die Umgebung des Agenten), hartkodierte Zugangsdaten, Referenzen auf MCP-Server (sie erweitern den Zugriff über den Skill hinaus), Netzwerkzugriffe sowie Dateipfade außerhalb des Skill-Verzeichnisses. Da sich Skills mit jedem Update ändern können, gilt jede neue Version als neues Deployment – mit erneutem Security-Review.

Ein Skill bringt kein eigenes Berechtigungsmodell mit, sondern erbt die Rechte des ausführenden Agenten – und die unterscheiden sich je nach Laufzeitumgebung erheblich: In der Claude API laufen Skills in einem Sandbox-Container ohne Netzwerkzugriff, in Claude Code dagegen mit vollem Netzwerkzugriff des Nutzerrechners. Kritisch wird die Kombination aus Lesezugriff auf sensible Daten und ausgehender Kommunikation: Anthropic nennt das Zusammenspiel von Datei-Lese- und Netzwerk-Tools explizit als kombiniertes Risiko; Exfiltration ist dabei auch über die Antworten des Agenten selbst möglich. Das experimentelle Frontmatter-Feld „allowed-tools“ kann die nutzbaren Tools einschränken, wird aber nicht von jeder Implementierung durchgesetzt – es ersetzt keine Härtung der Laufzeitumgebung.

Vor der Freigabe steht ein vollständiges Review aller Dateien eines Skills: SKILL.md, referenzierte Markdown-Dateien, Skripte und Ressourcen – gesucht wird nach adversarialen Anweisungen (Sicherheitsregeln ignorieren, Aktionen verbergen), Netzwerkzugriffen, hartkodierten Credentials, unerwarteten Redirect-Zielen und Exfiltrationsmustern. Gebündelte Skripte sollten in einer isolierten Sandbox ausgeführt werden, um zu verifizieren, dass ihr Verhalten dem deklarierten Zweck entspricht; für den Betrieb bieten sich zusätzlich isolierte Umgebungen wie Container ohne Netzwerkzugriff an. Allowlisting bedeutet, dass nur explizit geprüfte und freigegebene Skills in den Einsatz gelangen. Die Integrität geprüfter Stände sichern Checksummen, die beim Deployment verifiziert werden, sowie signierte Commits im Skill-Repository; in Produktion werden Skills auf konkrete Versionen gepinnt.

Organisationen sollten Skills über einen kuratierten internen Katalog steuern: ein Register je Skill mit Zweck, Owner, Version, Abhängigkeiten und Evaluationsstatus, dazu Funktionstrennung – wer einen Skill schreibt, gibt ihn nicht selbst frei. Der Lebenszyklus reicht von Erstellung und Review über Tests und Deployment bis zu Monitoring und geordneter Außerbetriebnahme. Das Prinzip „Least Agency“ aus den OWASP Top 10 for Agentic Applications überträgt Least Privilege auf Agenten: nur die minimal nötigen Skills, Tools und Handlungsspielräume gewähren – rollenbasierte Skill-Bundles halten das aktive Set klein. Für Audit-Trails empfiehlt Anthropic Logging auf Anwendungsebene, das nachvollziehbar macht, welche Skills in welchen Requests geladen wurden; regelmäßige Re-Evaluationen decken Drift zwischen Skills, Workflows und Modellen auf.