Un paper presentato il 2 settembre formalizza un attacco alla supply chain mirato in modo specifico alle skill riutilizzabili degli agenti: una skill di terze parti che svolge correttamente il compito pubblicizzato, restituisce un output valido e supera l’ispezione, pur indirizzando silenziosamente le decisioni dell’agente verso un obiettivo non dichiarato.
Il risultato misurato
Implementato nel commerce agentico e nella selezione delle dipendenze software, il framework ha raggiunto tassi di selezione favorevoli all’attaccante pari rispettivamente a 81.33% e 63.33%, mantenendo un tasso di preservazione dell’utilità del 100%. Quest’ultimo dato è quello che rende difficile l’attacco: il compito richiesto dall’utente continua a essere completato correttamente, ogni volta. Non c’è alcun guasto da notare.
Perché non si tratta di prompt injection
Si tratta di una classe diversa rispetto all’attacco contro cui tutti si sono difesi finora. La prompt injection introduce di nascosto un istruzione in una finestra di contesto e dirotta l’agente dal suo compito. Qui non c’è alcun comando iniettato né alcun dirottamento — la skill fa ciò che dichiara, e la manipolazione vive nel modo in cui modella lo spazio decisionale su cui ragiona l’agente. Le difese costruite per individuare istruzioni avversarie non hanno nulla su cui agganciarsi.
Ciò che la cornice comune interpreta male
Due precisazioni. Primo, considerarlo "un altro paper sul jailbreak" trascura il fatto che nulla viene jailbroken: il modello non viene indotto a violare una policy, ma a preferire un’opzione valida rispetto a un’altra. Secondo, il paper riporta che gli scanner delle skill valutati non segnalano le skill malevole — un risultato relativo agli scanner specifici testati nelle condizioni del paper, non una prova che la rilevazione sia impossibile. Dimostra però che l’attuale strato di ispezione è rivolto alla proprietà sbagliata: gli scanner verificano se una skill faccia qualcosa che non dovrebbe fare, e l’intero progetto di questo attacco è che non lo fa.
Il risultato di trasferimento
Le policy sono state trasferite senza ulteriori ottimizzazioni tra backend di modello eterogenei e ambienti agentici. Un attaccante non deve sapere quale modello consumerà la skill. È questo che trasforma un risultato di ricerca in un problema di supply chain: una skill pubblicata una sola volta funziona contro qualunque sistema la esegua.