AIエージェントの悪意ある拡張機能を隠蔽する新手法「SKILLCLOAK」発表、静的スキャナーの9割以上を回避

要点

• 香港科学技術大学の研究チームが、AIエージェント用の拡張機能「スキル」に潜むマルウェアを、既存のスキャナーから隠蔽する新手法「SKILLCLOAK」を発表した。

• 最も強力な「自己解凍パッキング」手法を用いることで、検証した8つのセキュリティスキャナーすべてにおいて、90%以上の確率で検出を回避した。

• 対策として、外見の検査ではなく、実行時のOSレベルでの挙動を監視して悪意ある動作を検知するランタイムチェッカー「SKILLDETONATE」が開発された。

• AIスキルの悪用はすでに現実化しており、公開マーケットプレイス上のスキルの約17%から悪意あるコードが検出された事例も報告されている。

• 香港科学技術大学の研究チームは、AIコーディングエージェント用の悪意ある追加機能「スキル」を検知する静的スキャナーを高い確率で回避する新しい手法「SKILLCLOAK（スキルクローク）」を発表した。2026年7月6日に公開された論文「Cloak and Detonate」で発表されたこの手法に対抗するため、挙動監視による検出ツール「SKILLDETONATE（スキルデトネイト）」も同時に開発されている。本研究により、AIの安全性を担保する既存のスキャナーが抱える深刻な盲点が浮き彫りになった。

AIエージェントの「スキル」とそのセキュリティリスク

AIエージェント（Claude CodeやOpenAI Codex、OpenClawなど）は、「スキル」と呼ばれるファイル群を読み込んで機能を拡張する。しかし、スキルはエージェントと同等のシステム権限（ファイルアクセスやコマンド実行、パスワードの読み取りなど）で動作するため、悪意あるスキルを読み込むと、情報の窃取やバックドア（不正侵入経路）の設置といった重大な被害をもたらす。現在、公開マーケットプレイス上のスキルの多くは第三者によって投稿されており、十分な審査が行われていない。

スキャナーを無力化する「SKILLCLOAK」の仕組み

危険なスキルの導入を防ぐ主な防御策は、インストール前にコードを検査して不審なパターンを検知する静的スキャナー（実行せずにコードを分析するツール）である。しかし「SKILLCLOAK」は、機能を維持したまま検知をすり抜けるようにコードを書き換える。

手法は主に2つある。1つ目は、スキャナーが検知基準とするシグネチャ（特徴的なパターン）を書き換える「軽量な書き換え」だ。文字を他言語の似た文字に置き換えたり、コマンドを改行で分割したりする。この手法により、多くのスキャナーで80%以上、最大96%の回避率を記録した。

2つ目は、より強力な「自己解凍パッキング」である。悪意ある実行コード全体を、スキャナーが検査をスキップするシステムディレクトリ（.git/など）に配置し、実行時にのみコードを再構築する無害なプログラムのみを表に置く。スキャナーが時間短縮のために一部のディレクトリをスキップする仕様を悪用したものだ。

マーケットプレイス「ClawHub」から収集した1,613個の悪意あるスキルを用いた検証では、このパッキング手法は8つの主要スキャナーすべてで90%以上（大部分で99%以上）の確率で検知を回避した。この偽装は攻撃コストがほぼかからず、偽装されたスキルはClaude CodeやOpenAI Codex上で正常に動作した。

挙動を監視するランタイムチェッカー「SKILLDETONATE」

コードの偽装に対し、研究チームは実行時の挙動を監視する検出ツール「SKILLDETONATE」を開発した。

SKILLDETONATEは、スキルを隔離されたサンドボックス（安全な仮想実行環境）で実行し、OSレベルでのファイルの読み書きや通信先を追跡する。データが暗号化されていても追跡でき、実行時に展開される命令を直接監視するため、自己解凍パッキングも検出できる。

テストでは、SKILLDETONATEは攻撃の97%を検出し、安全なスキルへの誤検知率は2%にとどまった。実際の悪意あるスキルへの検出率は87%であった。一方、最も強力だったCiscoの静的スキャナーは、偽装前のスキルを99%検出できたが、SKILLCLOAKによる偽装後は検出率が約10%に低下した。
SKILLDETONATEは実行監視を伴うため処理に数分かかるが、スキル公開前に1度実行するだけでよいため、実用上の問題にはならないと説明されている。

現実世界で拡大する脅威

この回避手法は、すでに現実の脅威となっている。セキュリティ企業Bitdefenderの報告では、あるマーケットプレイスに存在するスキルの約17%に悪意あるコードが仕込まれていた。また、Koi Securityは「ClawHavoc」と呼ばれるキャンペーンにおいて、341個（後に824個）の悪意あるスキルを確認している。これらのスキルの中には、スキャナーを回避するために本研究と同一のトリックを使用し、マーケットプレイス上で検知されずに稼働し続けていたものも含まれている。