무슨 일이 있었나
NVIDIA는 Claude Code, Codex CLI 및 Gemini CLI 에이전트 스킬을 위한 스캐너인 SkillSpector(Apache-2.0, GitHub에서)를 출시했습니다. 이는 프롬프트 인젝션, 데이터 유출, 권한 상승, 공급망 위험, 메모리 오염, MCP 최소 권한 및 도구 오염 문제를 17개 카테고리의 71개 취약점 패턴에 걸쳐 탐지하며, 2단계 정적 및 LLM 분석, 실시간 OSV.dev CVE 조회, SARIF/Markdown 출력, 0-100 위험 점수를 제공합니다. 연구 하위집합은 31,132개 스킬 중 26.1%에서 취약점을 발견했고 5.2%에서 악의적인 의도가 있을 가능성을 발견했습니다.
왜 중요한가
에이전트 스킬은 암묵적 신뢰와 최소한의 검증으로 설치됩니다; 스킬 설치를 게이트하는 벤더 중립적 오픈 스캐너는 에이전트 시대의 가장 가치가 높고 가장 덜 커버된 공격 표면 중 하나를 해결하며, NVIDIA의 Verified Skills 서명 파이프라인의 일부입니다.
적용 범위
Claude Code, Codex 또는 Gemini 스킬을 채택하거나 게시하는 팀은 SkillSpector를 설치/사전 커밋 게이트 및 CI에 추가하고, 런타임 공급망 안전을 위해 MCP 스캔과 함께 사용해야 합니다.