Der Skill, der sauber aussah und erst später etwas anderes sagte

4. Oktober 2026

Die Sicherheitsfirma AIR hat am 22. Juni 2026 einen Versuch veröffentlicht, der zeigt, wo Prüfprogramme für Skills blind sein können. Die Forscher Niv Hoffman und Or Nevo bauten einen Skill namens „brand-landingpage“. Er sollte Marketern, Verkäufern und Designern helfen, mit Googles Design-Werkzeug Stitch Webseiten zu bauen, ganz ohne Vorkenntnisse.

Der Skill kam per Änderungsvorschlag in ein beliebtes Open-Source-Verzeichnis mit rund 36.000 Sternen und 156 Skills. Das gab ihm Glaubwürdigkeit. Verbreitet wurde er mit einer Instagram-Anzeige. Wer sie sah, konnte den Skill direkt installieren.

Dann der Kern des Versuchs. Laut AIR stuften die Prüfprogramme von Cisco, Nvidia und die auf der Plattform skills.sh den Skill als sicher ein. Das hat einen einfachen Grund: Sie prüfen die Skill-Datei und das, was im Paket mitliegt. Der Skill selbst enthielt nichts Schädliches. Er wies den Agenten nur an, eine Dokumentation auf einer bestimmten Internetadresse zu lesen. Diese Adresse sah der echten von Google ähnlich, gehörte aber den Forschern.

Zuerst leitete die Adresse auf die echte Stitch-Seite weiter. Erst nach der Verbreitung tauschten die Forscher den Inhalt aus. Jetzt stand dort die Anweisung, ein Installations-Skript herunterzuladen und auszuführen. Der Agent behandelte diese Anweisung mit derselben Autorität wie den Skill selbst. Das Skript sammelte nur die E-Mail-Adresse und schickte sie an die Forscher. Es hätte aber, so AIR, auch volle Kontrolle über den Rechner erlauben können.

Zur Zahl im Titel: AIR spricht von 26.000 Agenten, die erreicht wurden. Die Fachzeitschrift CSO Online, die den Fall am 24. Juni aufgriff, schreibt von Nutzern, die den Skill installiert und ausgeführt haben, und nennt auch Unternehmenskonten darunter. Wie genau gezählt wurde, steht im Bericht nicht. Die Zahl stammt von den Forschern selbst und ist nicht unabhängig bestätigt. Dass außer den Forschern jemand Schaden hatte, ist nicht belegt. Es war ein Versuch, kein Angriff von Kriminellen.

Auch die Interessenlage gehört dazu: AIR bietet selbst einen verwalteten Marktplatz für Skills an und empfiehlt ihn am Ende des Berichts. Die Beobachtung bleibt trotzdem richtig. Die Autoren fassen sie so zusammen: „A skill is more than its files.“ Eine saubere Prüfung ist eine Momentaufnahme, und der Boden kann sich danach bewegen. Auch zwei von CSO befragte Fachleute fordern, Skills wie fremde Bausteine zu behandeln, die man laufend im Blick behält, und Verweise auf Adressen festzuschreiben.

Wie das bei uns aussieht, sagen wir ehrlich dazu: Seit diesem Fall hat unsere Prüfung einen eigenen Punkt: Fordert ein Skill dazu auf, etwas von außen nachzuladen, also fremde Quellen zu lesen, etwas herunterzuladen oder ein Skript auszuführen, gibt es einen Warnhinweis mit Ampel Gelb. Abgelehnt wird deshalb nicht automatisch, denn ein Verweis auf eine Dokumentation kann harmlos sein. Der Hinweis steht im öffentlichen Ampel-Protokoll unter „Datenabfluss und externe Aufrufe“. Wir sehen dabei aber nur den Stand, der bei uns eingereicht wurde. Die Skills, die schon im Verzeichnis stehen, haben wir gegen diesen neuen Punkt noch nicht erneut geprüft. Was eine fremde Seite später sagt, sehen wir nicht, und wir prüfen einen veröffentlichten Skill nicht von selbst erneut. Auch wir haben also keinen Schutz davor, dass sich ein Verweis nachträglich ändert.

Was Sie als Nutzerin oder Nutzer daraus mitnehmen können: Lesen Sie in einem Skill nach, ob er auf fremde Internetadressen verweist. Seien Sie besonders misstrauisch bei Sätzen wie „lade dieses Skript herunter und führe es aus“. Lassen Sie sich vom Agenten fragen, bevor er etwas Heruntergeladenes ausführt, und bestätigen Sie nur, wenn Sie die Adresse kennen. Und rechnen Sie damit, dass ein Skill, der heute harmlos wirkt, morgen auf etwas anderes zeigen kann.