『26.1%のスキルに脆弱性』──外部Agent Skillsを入れる前に走らせるNVIDIAのセキュリティスキャナ「SkillSpector」

Claude Code・Codex CLI・Gemini CLIなどが対応する「Agent Skills」は、GitHubから拾ってきたフォルダを置くだけでエージェントの挙動を拡張できる手軽さが売りだ。だがその手軽さは、裏を返せば「暗黙の信頼と最小限の審査で実行される」ことも意味する。NVIDIAがGitHubで公開しているセキュリティスキャナ「SkillSpector」のREADMEは、この前提を数字で突きつけてくる。「研究によれば、スキルの26.1%が脆弱性を含み、5.2%は悪意ある意図の可能性を示している」。

3行まとめ

1. SkillSpectorは、インストール前にAgent Skillsを静的解析するセキュリティスキャナ。プロンプトインジェクション・データ流出・権限昇格・サプライチェーンリスクなど17カテゴリ71種類の脆弱性パターンを検出する。
2. 根拠として引用されている論文「Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale」(Liu et al., 2026)は、主要マーケットプレイスから集めた42,447件のスキルを調査。26.1%が少なくとも1つの脆弱性を含み、5.2%は悪意ある意図の可能性が高いと分類され、実行可能なスクリプトを含むスキルは含まないスキルより2.12倍脆弱性を持ちやすいという。
3. GitHub API実測でスター数15,043・フォーク1,262(2026年8月27日確認時点)。2026年3月21日作成、直近更新は本記事執筆前日の8月27日。NVIDIAの「Verified Skills pipeline」の一部として、公開前のスキルを審査するツールでもある。

スキルを「実行せず」に読む

SkillSpectorの検出手法は静的解析が軸だ。READMEの「信頼モデルとデータの持ち出し」というセクションには「スキャン対象のスキルを実行することは一切ない。すべての解析は正規表現・Python AST・YARAといった静的手法に、任意のLLMによる意味解析を加えたものであり、スキルのコード自体が動くことはない」と明記されている。あくまでインストール前の事前フィルタであり、「ホストをサンドボックス化するものではない」「インストールしてしまったスキルを封じ込めたり隔離したりはしない」という限界も同じセクションで自己申告されている。

検出対象の17カテゴリは、プロンプトインジェクション・データ流出・権限昇格・サプライチェーンリスク・過剰な自律性(excessive agency)・出力ハンドリング・システムプロンプト漏洩・メモリ汚染・ツール誤用・「rogue agent」・拒否回避(anti-refusal)・トリガー悪用・危険なコード(AST解析)・テイント追跡・YARAシグネチャ・MCPの最小権限違反・MCPツール汚染、と多岐にわたる。

LLM解析を使うかどうかは選べる

基本のスキャンはAPIキーなしで動くが、より精度の高い意味解析にはLLMを併用できる。対応プロバイダはOpenAI(gpt-5.4)、Anthropic(claude-opus-4-6)、Anthropic経由のVertexプロキシ、AWS Bedrock、NVIDIA Build(deepseek-ai/deepseek-v4-flash)、ローカルのClaude/Codex CLI認証を使う方式まで幅広い。READMEには「悪意あるスキルが解析そのものを操作しようとするのを防ぐため、LLMプロンプトには反ジェイルブレイク対策を組み込んでいる」という一文もある。--no-llmオプションを付ければファイル内容を外部に一切送らず、静的解析だけで完結させることもできる。

サプライチェーンチェック(SC4という名称)は、スキルが宣言する依存パッケージ名・バージョンをOSV.dev(PyPI・npmを含む数万件の脆弱性データベース)に照会する仕組みで、こちらはAPIキー不要・--no-llmでも実行される。オフライン環境ではビルトインのフォールバックリストに切り替わる。

「26.1%」の出どころ——論文をarXivで直接見つけて読んだ

README末尾の「研究背景」セクションによれば、この数字の根拠は論文「Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale」(Liu et al., 2026)。この記事では、この論文自体をarXiv(2601.10338)で直接見つけ、アブストラクトと本文を確認した。

論文のアブストラクトによれば、2つの主要マーケットプレイス(skills.rest・skillsmp.com)から42,447件のスキルを収集し、そのうち品質フィルタ(404削除済みリポジトリの除外、10行未満の除外、非英語スキルの除外など)を通過した31,132件を、著者ら自身が開発した検出フレームワーク「SkillScan」で実際に解析している。ここで注意したいのは、論文の検出ツールの名前は「SkillScan」であり、NVIDIAの「SkillSpector」とは別物だという点だ。SkillSpectorはこの論文の数字を引用しつつ、17カテゴリ71パターンという独自に拡張した検出ルールを実装している。

解析の結果、**26.1%**が少なくとも1つの脆弱性を含み、5.2%は「悪意ある意図の可能性が高い(high-severity)」と分類された。さらに「実行可能なスクリプトを含むスキルは、含まないスキルに比べて2.12倍脆弱性を持ちやすい(オッズ比2.12、p<0.001)」という関係も報告されている。

論文はこの26.1%の内訳を、4カテゴリ14パターンのtaxonomyとして提示している(1,218件のスキルを人手で分類したサンプルでの検出件数)。

検出手法自体にも興味深い設計がある。論文は正規表現ベースの静的解析のみでは「適合率71.4%・再現率91.2%」だったのに対し、LLMによる意味解析を組み合わせた2段階方式では「適合率86.7%・再現率82.5%」に改善したと報告している(適合率+15.3ポイント、再現率-8.7ポイントのトレードオフ)。この2段階設計は、SkillSpectorが--no-llmで静的解析のみのモードと、LLM併用モードを切り替えられる設計と考え方が一致している。

論文自身も方法論上の限界を認めており、「削除済み(404)リポジトリ7,353件(初期クロールの17.3%)を除外しており、プラットフォームやユーザーによって既に検出・削除された悪意あるスキルの方が多く除外されている可能性がある(生存者バイアス)。除外されたスキルの脆弱性率が残存スキルよりわずかでも高ければ、5.2%という高深刻度の発見は真の値を過小評価している可能性がある」と明記している。26.1%・5.2%という数字は、現時点でアクセス可能なエコシステムの断面を捉えたものであり、上振れも下振れもありうる推定値だという留保が、論文自身についている。

出力形式とCI連携、既知の限界も自己申告

出力はターミナル・JSON・Markdown・SARIF(CI/CDやIDE連携向け)の4形式に対応し、0〜100のリスクスコアと重大度ラベルを返す。すでに把握済みの誤検知を除外する「ベースライン」機能もあり、再スキャン時には新規の指摘だけを表示できる。

READMEは限界も具体的に列挙している。「非英語コンテンツではパターンを見逃す可能性がある」「画像内のテキストによる攻撃は解析できない」「暗号化・バイナリのコードは解析できない」「静的解析のみで、動的な実行は行わない」。日本語圏のスキルを日本語話者が審査する場合、この「非英語コンテンツの見逃し」がどの程度実際に影響するかは、READMEの記述だけでは分からない。

Verified Skillsパイプラインの入口として

SkillSpectorは単体で使えるスキャナであると同時に、NVIDIA/skillsが運営する「Verified Skills pipeline」の入口としても機能している。同じパイプラインのSkillEvaluatorは、Tier1のセキュリティスキャンをSkillSpectorに委ねる設計になっている。1つのスキャナが「単体ツール」と「大規模パイプラインの部品」という2つの役割を兼ねているのは、NVIDIAがこの領域に持ち込んだ設計の特徴といえる。

日本語での言及はすでにゼロではない

執筆にあたりZenn検索APIで確認したところ、「SkillSpector」というキーワードで1件ヒットした。「外部Agent Skillsを入れる前に止める: SkillSpectorで作る導入前ゲート」という記事で、CI導入の実践的な手順に焦点を当てた内容と見られる。この記事はREADME全体の仕組みと「26.1%/5.2%」という根拠データの紹介に重心を置いており、切り口が重複しないよう意識して書いている。

手元では検証していない

この記事はGitHub上のREADME本文・GitHub APIのメタデータに加え、根拠論文(Liu et al., 2026)をarXivで直接確認して書いている。ただし、実際に自分の環境でSkillSpectorやSkillScanを動かしてスキルをスキャンし、誤検知率や実行時間を確認したわけではない。71種類の脆弱性パターン(SkillSpector側)それぞれの具体的な検出ロジック、YARAシグネチャの中身についても未確認。論文が公開しているという「オープンデータセットと検出ツールキット」の中身も、この記事の範囲では開いていない。OpenSSF Scorecardのバッジが示すスコアの実際の値も、この記事の時点では読み取っていない。SkillSpectorの71パターン・17カテゴリが、論文の14パターン・4カテゴリからどのように拡張されたか(対応関係の詳細)についても、SkillSpector側のソースコードまでは踏み込んでいない。

関連記事

• AI Skillsに「品質ゲート」を通す──NVIDIAが公開したオープンソース評価基盤SkillEvaluatorを読む
• NVIDIA公式のAgent Skillsカタログ「NVIDIA/skills」を触ってみた
• プロンプトインジェクションとは──人間には見えない文字で、AIに命令を出す攻撃