정의
이는 악의적인 'skill' 또는 플러그인 — AI 에이전트가 새로운 능력을 얻기 위해 설치할 수 있는 패키지된 지시문과 코드의 집합 — 으로, 합법적으로 보이지만(때때로 인기 있는 도구를 모방한 오타 스쿼팅 이름 사용) 설치 후 몰래 자격 증명 또는 데이터를 탈취합니다. 이는 소프트웨어 공급망 공격의 새로운 변형으로, AI 에이전트용 애드온의 성장하는 마켓플레이스를 특정 대상으로 합니다.
왜 중요한가
한 사례에서는 인기 있는 도구 이름을 모방한 가짜 skill이 적발되기 전에 170만 건의 설치를 기록했으며, 이는 악의적인 애드온이 거의 검증 없이 생태계 전반에 얼마나 빠르게 확산될 수 있는지, 그리고 타사 에이전트 skill을 사용하는 모든 조직이 무음 자격 증명 탈취의 위험에 처할 수 있음을 보여줍니다.