Il 13% delle competenze AI pubbliche contiene malware. Cosa installi davvero nel tuo agente

Le agent skills stanno diventando uno standard aperto. Un audit rileva che oltre il 35% di quelle pubbliche ha falle di sicurezza e il 13% contiene malware da prompt injection. Sono dipendenze di terze parti — con la differenza che nessuno le tratta come tali.

BlueSky Agent AI · 2026-08-13

Un audit citato da IBM ha passato al setaccio le agent skills pubblicate sui repository aperti: oltre il 35% presenta falle di sicurezza, il 13% contiene malware da prompt injection. Una su otto, con dentro codice ostile vero e proprio.

Le agent skills sono pacchetti di conoscenza procedurale che si installano dentro un agente per insegnargli un compito preciso. Stanno diventando uno standard aperto (agentskills.io è adottato fra gli altri da Claude Code e OpenAI Code), con un vantaggio reale: una competenza scritta una volta funziona su agenti diversi, senza riscriverla. Il rovescio è che quel pacchetto entra nel vostro sistema esattamente come ci entra una libreria di terze parti.

Cosa può fare davvero una skill installata

Il fraintendimento più comune è immaginare la skill come un manuale che l'agente legge per capire come si fa una certa cosa. Con quel modello mentale il rischio massimo sarebbe un consiglio sbagliato.

Una skill però esegue codice, e attraverso quel codice arriva al file system locale e alle chiavi API. È una dipendenza di terze parti installata dentro un sistema che ha accesso ai vostri dati.

Chi ha vissuto l'ecosistema JavaScript riconoscerà lo schema. È npm install di dieci anni fa: un comando, una riga, e nel progetto entrano decine di pacchetti scritti da persone che non conoscete, ognuno con i suoi permessi e le sue dipendenze. Ci sono voluti anni, un paio di incidenti clamorosi e un'intera industria di strumenti di scansione perché quella pratica venisse presa sul serio. Con le agent skills siamo all'inizio della stessa curva, e con un'aggravante: qui la superficie di attacco comprende anche il testo. Una skill può contenere istruzioni in linguaggio naturale scritte per dirottare l'agente, e quelle istruzioni nessun antivirus le intercetta, perché non sono un eseguibile. Sono una frase.

Le pratiche IBM, lette al contrario: come criteri di valutazione

Il materiale IBM che accompagna il dato elenca cinque pratiche di costruzione. Vale la pena leggerle anche dall'altro lato, cioè come griglia per capire se la skill che state per installare è stata scritta da qualcuno che sapeva quello che faceva.

La descrizione va "sovravenduta". Controintuitivo: il modello tende a non attivare la skill. Se la descrizione è generica la competenza resta ferma e l'agente improvvisa con le sue conoscenze generali. Quindi va scritta in modo esplicito e ampio, elencando i casi in cui deve scattare. Girata come criterio: una skill con descrizione vaga quasi certamente non è mai stata provata sul campo.

Deve nascere da expertise reale. Una skill scritta chiedendo a un modello "scrivimi la procedura per gestire i reclami" contiene ciò che il modello già sapeva, cioè niente di specifico. Il valore sta nel codificare il modo in cui quella azienda fa quella cosa: le eccezioni, i casi limite, la frase da non dire mai al cliente.

Il corpo sta sotto le 500 righe, circa 5.000 token. Una skill lunga satura il contesto e peggiora le prestazioni dell'agente su tutto il resto: oltre una certa soglia il rumore vince sul segnale.

La pratica che pesa di più, e quella che si traduce meglio in italiano operativo, riguarda i passaggi fragili. Il calcolo dell'IVA, la scadenza fiscale, il controllo di conformità non si affidano al modello. Si affidano a codice deterministico e testabile, che dà sempre lo stesso risultato, mentre il modello si limita a orchestrare: capisce la richiesta, chiama lo script giusto, spiega l'esito. Un modello probabilistico che improvvisa un calcolo fiscale ha ragione quasi sempre, e su una fattura "quasi sempre" è già un problema. Su mille fatture è un contenzioso.

L'ultima pratica è la più banale e la meno seguita: nessuna skill entra in produzione senza che qualcuno l'abbia letta. Con il 13% dei pacchetti pubblici compromessi, installarne uno senza guardarlo è un lancio di dado a probabilità note.

Le domande da fare prima di installare una skill

Se in azienda qualcuno sta già usando agenti con competenze installate, e capita più spesso di quanto i responsabili IT sappiano, queste domande coprono la maggior parte del rischio.

1. Chi l'ha scritta, e da quando è ferma? Una skill senza autore identificabile e senza cronologia di aggiornamenti è un pacchetto anonimo con accesso al vostro file system.
2. Cosa esegue e cosa legge? Se contiene script, vanno letti. Se accede a percorsi o a chiavi, quell'accesso deve essere giustificato dal compito: una skill che riassume documenti non ha ragione di leggere variabili d'ambiente.
3. Cosa succede se il testo della skill contiene un'istruzione ostile? Cioè: l'agente che la esegue ha permessi limitati e un punto di approvazione umana sulle azioni irreversibili, oppure fa tutto quello che gli viene detto?

La terza è quella che conta, perché continua a proteggervi anche quando le prime due hanno dato la risposta sbagliata. Una skill compromessa dentro un agente con permessi minimi combina poco. La stessa skill dentro un agente con accesso completo e nessun punto di fermo è un incidente.

Come lo fa BlueSky Agent AI

Sulla piattaforma BlueSky le competenze degli agenti non si scaricano al volo da un repository pubblico. Sono selezionate, hanno una versione e passano una verifica prima di essere disponibili: il perimetro di sicurezza resta quello della piattaforma, non quello di chiunque abbia pubblicato un pacchetto ieri sera.

Sui passaggi critici vale la regola di sopra. Calcoli fiscali, scadenze, controlli di conformità e validazioni sono codice, non generazione; il modello orchestra e spiega, il numero non lo improvvisa.

Gli agenti girano con permessi minimi e con un passaggio umano sulle azioni senza ritorno. Anche nell'ipotesi peggiore, una competenza che tenta di dirottare l'agente trova un perimetro ridotto al processo assegnato e un'approvazione esplicita davanti alle azioni irreversibili. È la stessa raccomandazione che OWASP ha messo al terzo posto della Top 10 2026 con il nome di Least Agency. Resta poi tracciato quale competenza è stata usata, su quali dati e con quale esito, così che quando qualcosa va storto si sappia dove guardare.

C'è un ultimo elemento, meno ovvio, che appartiene alla stessa famiglia di scelte. Ogni fase di un processo agentico ha requisiti diversi: capire una richiesta, cercare in un archivio, ragionare su un caso limite, produrre un documento. ModelMatch instrada ciascuna fase sul modello più adatto, con una riduzione media dei costi del 42% a qualità invariata. Il beneficio evidente è economico. Quello meno evidente è di controllo: un'azienda che non deve scegliere il modello a ogni passaggio non finisce nemmeno a rincorrere l'ultima novità installando componenti di provenienza incerta perché "così proviamo".

Vietarle sarebbe la mossa sbagliata

Le agent skills sono uno standard emergente utile, ed è il meccanismo con cui la conoscenza operativa di un'azienda diventa riutilizzabile dai suoi agenti. Serve esattamente a uscire dalla fase artigianale.

Vanno però trattate per quello che sono: dipendenze, con un responsabile, una provenienza, una versione e una verifica. Nel software ci abbiamo messo dieci anni ad arrivarci. Qui la lezione è già scritta.

In sintesi

• Secondo un audit citato da IBM, oltre il 35% delle agent skills pubbliche ha falle di sicurezza e il 13% contiene malware da prompt injection.
• Una skill non è un documento: esegue codice e può arrivare al file system e alle chiavi API. Va trattata come una dipendenza di terze parti.
• La superficie di attacco comprende anche il testo, perché un'istruzione ostile scritta in linguaggio naturale non viene intercettata da un antivirus.
• La difesa che regge anche quando le altre falliscono sono i permessi minimi dell'agente più un'approvazione umana sulle azioni irreversibili, quello che OWASP chiama Least Agency.
• I passaggi che devono dare sempre lo stesso risultato (calcoli fiscali, scadenze, conformità) vanno affidati a codice deterministico, non alla generazione del modello.

Volete sapere quali competenze stanno già girando dentro gli strumenti AI della vostra azienda? Parliamone: si parte da un inventario.