Apa yang terjadi
NVIDIA merilis SkillSpector (Apache-2.0, di GitHub), pemindai untuk skill agen Claude Code, Codex CLI, dan Gemini CLI yang menangkap prompt injection, eksfiltrasi data, privilege escalation, risiko rantai pasok, memory poisoning, MCP least-privilege, dan masalah tool-poisoning di 71 pola kerentanan dalam 17 kategori, dengan analisis dua tahap statis-plus-LLM, pencarian CVE OSV.dev langsung, output SARIF/Markdown, dan skor risiko 0-100. Subset penelitiannya menemukan kerentanan di 26,1% dari 31.132 skill dan kemungkinan niat jahat di 5,2%.
Mengapa penting
Skill agen diinstal dengan kepercayaan implisit dan pemeriksaan minimal; pemindai terbuka yang netral vendor yang menggerbang instalasi skill mengatasi salah satu permukaan serangan paling bernilai dan paling sedikit tercakup di era agentic, dan merupakan bagian dari pipeline penandatanganan Verified Skills NVIDIA.
Cakupan penerapan
Tim yang mengadopsi skill Claude Code, Codex, atau Gemini (atau mempublikasikan skill) harus menambahkan SkillSpector ke gerbang instalasi/pre-commit dan CI, dan menggunakannya bersama pemindaian MCP untuk keamanan rantai pasok runtime.