Wanneer AI het aanvalsoppervlak wordt: opkomende supply chain-risico’s in vaardigheidsmarkten

Elke grote software-revolutie introduceert een nieuwe supply chain en aanvalsoppervlak. Net zoals de open source-era supply chain-risico’s introduceerde via pakketregistries zoals npm en PyPI, markeren AI-agents nu een keerpunt. Deze agents, actief in ontwikkelaarsworkflows, bedrijfsoperaties en consumententoepassingen op platforms zoals OpenClaw, Claude Code en Cursor, krijgen kracht van hun extensies via installabele “vaardigheden” – een capaciteit die een even rigoureuze aanpak van beveiliging vereist.

Agentvaardigheden zijn capaciteitspakketten: kleine bundels met instructies en scripts die AI-agents toegang geven tot tools, externe API’s en lokale bestandssystemen. Gedistribueerd op openbare platforms zoals ClawHub, is de drempel voor toegang extreem laag, met minimale controle of toezicht. Belangrijke beveiligingsmaatregelen zoals verplichte code-onderkening, beveiligingscontroles en standaard sandboxing ontbreken. Dit heeft geleid tot een supply chain die op grote schaal is aangetast: recent onderzoek van ToxicSkills naar bijna 4.000 vaardigheden vond ongeveer 1 op 8 bevat ten minste één kritieke beveiligingsfout, waaronder malware-distributie en prompt-injectie. Wanneer uitgebreid naar elk ernstniveau, is meer dan een derde van het ecosysteem getroffen. Beveiligingsleiders moeten zich daarom voorbereiden om proactief tegen deze kwetsbaarheden te mitigeren.

De anatomie van een AI-supply chain-aanval

Supply chain-aanvallen exploiteren traditioneel code via kwaadaardige functies die in afhankelijkheden en CI-workflows worden geïnjecteerd voor acties zoals gegevensuitwinning, backdoor-installatie of privilege-escalatie. Beveiligingstools zijn echter effectief geworden in het detecteren van deze codepatronen met behulp van statische analyse en gedragsmonitoring. AI-agentvaardigheden introduceren een andere vector, aangezien hun primaire payload natuurlijke taal is, opgenomen in het SKILL.md-bestand – een instructieset die kwaadaardige actoren hebben leren te gebruiken. Onderzoek van ToxicSkills toont aan dat 91% van kwaadaardige vaardigheden traditionele malware combineren met prompt-injectie, waarbij verborgen instructies worden ingebed die de agent’s runtime-redenering manipuleren.

De aanvalsstroom is eenvoudig: een ontwikkelaar installeert een nuttige vaardigheid, die een verborgen prompt-injectie bevat die ontworpen is om de agent’s veiligheidsbarrières te omzeilen. De agent, die instructies volgt die hij niet kan onderscheiden van legitieme, steelt referenties, wint bestanden uit of installeert een backdoor terwijl hij normaal lijkt te functioneren.

Dit is verontrustend vanwege het aantal ontwikkelaars dat agents zonder regelmatige beveiligingscontroles uitvoert, waarbij agents volledige autonomie krijgen zonder barrières. Als gevolg hiervan wordt zorgvuldige overweging en menselijke tussenkomst sterk geminimaliseerd, waardoor meer risico ontstaat voor elk systeem waar de agent ooit toegang toe heeft gehad.

De verborgen gevaar van “lekkende” vaardigheden

Het gevaar gaat verder dan opzettelijk kwaadaardige vaardigheden, aangezien onopzettelijke kwetsbaarheden vaak moeilijker te detecteren zijn, meer wijdverspreid en ingebed in populaire, vertrouwde functionele vaardigheden. Beveiligingsaudits van grote vaardighedenmarkten tonen aan dat veelgebruikte vaardigheden AI-agents regelmatig dwingen om gevoelige gegevens onveilig te behandelen. Riskant gedrag omvat het blootstellen van API-sleutels, verificatietokens en persoonlijke gegevens via platte tekstlogbestanden, onbeschermde bestanden of rechtstreeks in het model’s contextvenster, waar ze per ongeluk kunnen worden doorgestuurd naar derde partijen.

Dit komt vaak doordat vaardigheden snel zijn gebouwd in de tijd van “vibe coding” zonder een echt beveiligingsmodel. De ontwikkelaar kan over het hoofd zien dat een integratietoken, zodra het in de agent’s context staat, effectief openbaar en zichtbaar is voor elk downstreamsysteem. Dit creëert een wijdverspreid risico over platforms – persoonlijke assistenten zoals OpenClaw en codeeragents zoals Claude Code, Cursor en Windsurf – die miljoenen ontwikkelaars dagelijks vertrouwen. De exploitatie of referentielek uit één populaire vaardigheid kan elke ontwikkelaar, codebase en systeem beïnvloeden waar de agent toegang toe had, waardoor de hele supply chain in gevaar komt. Snelle innovatie maakt snelle contaminatie mogelijk; en in deze gevallen is schaal geen signaal van veiligheid.

De blinde vlek: waarom traditionele beveiligingscontroles falen

Beveiligingsteams die met legacy-controles werken, zoals malware-scanners, statische analyse en gedragsmonitoring, richten zich op een fundamenteel ander bedreigingsmodel. Traditionele malware-detectie zoekt naar concrete code-exploitatie, maar is niet uitgerust om natuurlijke taalinstructies te analyseren op kwaadaardige intentie. Een prompt-injectie in een SKILL.md-bestand lijkt, voor een conventionele scanner, alleen maar documentatie; er is geen signatuur om te markeren totdat de agent handelt.

Prompt-injecties manipuleren de agent’s redenering, waardoor hij instructies herinterpreteert en veiligheidsrichtlijnen omzeilt om verboden acties uit te voeren. Op het moment dat schade zichtbaar is, heeft de agent al gehandeld. De persistentie van deze bedreigingen is ook verontrustend: kwaadaardige vaardigheden kunnen een agent’s langetermijngeheugen vergiftigen, waardoor persistente context over sessies heen wordt gecorrumpeerd. Dit “sleeper agent”-scenario betekent dat de agent mogelijk nog wekenlang kwaadaardige instructies blijft uitvoeren nadat de vaardigheid is verwijderd, een situatie die conventionele incidentrespons niet kan bevatten. Het sluiten van deze kloof vereist een fundamenteel andere, AI-native aanpak die is gebouwd voor agente systemen.

Het detecteren en aanpakken van fouten in het agentvaardigheden-ecosysteem

Deze nieuwe bedreiging is beheersbaar, maar het venster om te handelen is smal. Voordat AI-agentadoptie zich vestigt, moeten beveiligingsleiders vier kerncontroles instellen: audits, vroegtijdige detectie, roterende referenties en adequate AI-beveiligingsbarrières.

1. Audit en inventarisatie: Stel een complete inventarisatie op van elke AI-component: modellen, geïmplementeerde agents en alle geïnstalleerde vaardigheden. Dit moet worden behandeld met de rigor van een software-bill of materials (SBOM) om een baseline te creëren voor het detecteren van ongeautoriseerde wijzigingen.
2. Detecteren en verwijderen: Scan continue actieve vaardigheden op kwaadaardige payloads, prompt-injectiepatronen en verdachte gedragingen, waaronder pogingen om shell-opdrachten uit te voeren of gebruikerscontrole te omzeilen. Geautomatiseerde, continue scanning is essentieel vanwege de snelle groei van markten.
3. Referenties roteren en beschermen: Behandel alle referenties (API-sleutels, tokens) die door niet-geverifieerde vaardigheden worden afgehandeld als potentieel gecompromitteerd en roteer ze onmiddellijk. Agents moeten de principes van minimale privileges volgen, waarbij alleen echt nodige referenties en systemen worden geopend, zonder permanente toegang tot productieomgevingen.
4. AI-beveiligingsbarrières implementeren: Implementeer runtime-beveiligingscontroles die agentgedrag in real-time monitoren, gevaarlijke acties blokkeren en ongebruikelijke patronen markeren, zoals onverwachte bestandstoegang. Agentgeheugenbestanden, in het bijzonder, moeten worden gemonitord op ongeautoriseerde wijzigingen, aangezien geheugenvergiftiging een persistente en moeilijk te detecteren aanvalsvector is.

Het AI-agentvaardigheden-ecosysteem is een software-supply chain die rigoureuze beveiligingscontrole vereist. Hoewel de lessen uit de open source-era van toepassing zijn, zijn de inzetten nu veel hoger, aangezien AI-agents opereren met bredere machtigingen en grotere autonomie dan enige pakketbeheerder ooit deed. Een enkele gecompromitteerde vaardigheid kan zich snel verspreiden, toegang krijgen tot kernreferenties en productiesystemen in duizenden organisaties, waardoor beveiligingsleiders een smal venster hebben om proactief te handelen.

De AI-supply chain is al hier. De vraag is of een organisatie’s beveiligingspostuur erop voorbereid is. Organisaties die inventarisatie, minimale privileges en runtime-beveiligingsbarrières implementeren, zullen snel en veilig met AI werken; terwijl organisaties die wachten op een hoogprofielincident om het probleem te dwingen, zullen ontdekken dat de kosten van herstel ver boven de kosten van preventie uitstijgen.