Ungeprüfte Community Agent Skills Hold
Überblick
Ungeprüfte Community Agent Skills, Rules und MCP-Bundles verhalten sich wie nicht auditierte Supply-Chain-Dependencies. Sie können Secrets exfiltrieren, destruktive Tools ausführen oder Prompts injizieren (Snyk, Claude Agent Skills).
Hold für die Installation von Skills aus Marketplaces ohne Security Review, Signierung und Version Pinning wie bei Produktions-Dependencies.
Adoptionssignale
Diese Signale zeigen, dass das Anti-Pattern ausgenutzt wird; sie sind keine Gründe für eine Einführung.
- Snyks ToxicSkills-Audit (5. Februar 2026) von 3.984 Skills fand 534 mit kritischen Problemen und 1.467 mit mindestens einer Schwachstelle, darunter Prompt Injection, Malware-Verteilung und offengelegte Secrets (Snyk).
- Koi Security meldete am 2. Februar 2026, dass 341 von 2.857 geprüften ClawHub-Skills bösartig waren; 335 davon gehörten zur Kampagne ClawHavoc, getarnt als Krypto-Tools, YouTube-Utilities und ClawHub-Typosquats (The Hacker News).
- Der erste in freier Wildbahn beobachtete bösartige MCP-Server,
postmark-mcp, setzte ab Version 1.0.16 (17. September 2025) jede versendete E-Mail per BCC an einen Angreifer, nach 1.643 Downloads (The Hacker News). - Anthropics eigene Dokumentation rät, Skills nur aus vertrauenswürdigen Quellen zu nutzen und jede mitgelieferte Datei vor der Verwendung zu prüfen (Claude Agent Skills).
- Die Sicherheitsleitlinien der MCP-Spezifikation verlangen von Clients mit One-Click-Einrichtung lokaler Server, vor dem Start den exakten Befehl anzuzeigen, und empfehlen Sandboxing mit minimalen Standardrechten (MCP security).
Risiken
- Volle Agent-Rechte. Laut Snyk erben Skills die Berechtigungen des Agents, einschließlich Shell- und Credential-Zugriff (Snyk); ein einziger bösartiger Skill kompromittiert jedes Repository und jedes Secret, das der Agent erreicht.
- Social Engineering über Voraussetzungen. ClawHavoc-Skills wirkten professionell und forderten Nutzer auf, als „Prerequisite“ ein verschleiertes Shell-Skript auszuführen oder ein trojanisiertes Archiv herunterzuladen (The Hacker News).
- Heute harmlos, morgen bösartig.
postmark-mcpverhielt sich unauffällig, bis sich in einer späteren Version eine Zeile änderte (The Hacker News); nicht gepinnte Installationen übernehmen solche Änderungen automatisch. - Zur Laufzeit nachgeladene Anweisungen. Skills, die Inhalte von externen URLs abrufen, können nach dem Review neue bösartige Anweisungen erhalten (Claude Agent Skills).
- Moderation der Registries hinkt hinterher. Acht der von Snyk bestätigten bösartigen Skills waren bei Veröffentlichung noch auf ClawHub abrufbar (Snyk), und ClawHubs Reaktion stützt sich auf Meldungen von Nutzern (The Hacker News).
Vorteile & Nachteile
Vorteile
- Öffentliche Registries wie ClawHub und skills.sh bieten Tausende fertiger Skills, die sich in einem Schritt installieren lassen; das geht schneller, als eigene Skills zu schreiben und zu prüfen.
- Agent Skills sind ein offenes, portables Format, das mehrere Agents unterstützen, darunter Cursor und Claude; eine Installation scheint damit Fähigkeiten für die gesamte Toolchain eines Teams hinzuzufügen.
- Ein Skill sieht aus wie eine Markdown-Anweisungsdatei und wirkt deshalb harmloser als ein Binary, obwohl er Skripte mitbringen kann, die der Agent ausführt.
Nachteile
- Snyk untersuchte im Februar 2026 3.984 Skills aus ClawHub und skills.sh und fand kritische Probleme bei 13,4 %, mindestens eine Sicherheitslücke bei 36,82 % und 76 bestätigt bösartige Skills.
- Koi Security fand 341 bösartige unter 2.857 Skills auf ClawHub; die meisten lieferten den Infostealer Atomic Stealer (AMOS) über gefälschte „Prerequisite“-Installationsschritte aus.
- Ein Skill läuft mit den vollen Rechten des Agents, den er erweitert, einschließlich Shell- und Credential-Zugriff, und selbst ein vertrauenswürdiger Skill kann bösartig werden, wenn sich eine externe Abhängigkeit oder eine spätere Version ändert.
Empfehlung
Hold für die Installation von Agent Skills, Rules oder MCP-Bundles aus öffentlichen Registries ohne Review. Jedes Paket ist wie eine Produktionsabhängigkeit zu behandeln: alle mitgelieferten Dateien lesen, auf einen Commit-Hash oder eine exakte Version pinnen, scannen (Snyks mcp-scan ist eine Option) und freigegebene Versionen über eine interne Allowlist-Quelle bereitstellen, etwa einen privaten Claude Code Plugin Marketplace (Trial auf diesem Radar). Agents, die Skills von Dritten nutzen, sollten in Sandboxes mit eingeschränktem Netzwerk-Egress laufen (siehe Sandboxed Execution for Coding Agents, Trial).
Für bereits installierte Skills empfiehlt sich eine Bestandsaufnahme auf Entwicklerrechnern und in CI, das Entfernen alles Ungeprüften und die Rotation der Zugangsdaten, die der Agent erreichen konnte, falls ein gemeldeter Skill vorhanden war. Agent Skills als Format bleiben in Assess; dieser Eintrag betrifft die ungeprüfte Beschaffung, nicht das Format.
Quellen
Beratung
Vom Radar zur Umsetzung
Du hast Technologien bewertet — wir helfen dir, sie sicher und messbar in produktive Systeme zu bringen.
