何が起きたか
Snyk公式ブログ「ToxicSkills」（2026年2月5日公表）を直接確認したところ、調査対象は3,984件のAgent Skills（OpenClaw、Claude Code、Cursor向け）です。534件（13.4%）が重大度CRITICALのセキュリティ問題を抱え、1,467件（36.82%）が何らかのセキュリティ欠陥を持つと報告されています。人手検証で確認された悪意あるペイロードは76件、公表時点でも8件が配布プラットフォーム（ClawHub）上で稼働中だったとされています。
手口として挙げられているのは3パターンです。パスワード保護されたZIPファイルから実行ファイルを取得する「curl | bash」型の外部マルウェア配布、Base64エンコードで認証情報を難読化して送信するデータ窃取、そしてシステムファイル削除やバックドア組み込みによるセキュリティ無効化です。特筆すべきは、確認された悪意あるスキルの100%がマルウェアコードを含み、91%がプロンプトインジェクション技術を併用していた点です。AIの安全機構と従来型のセキュリティ対策の両方をすり抜けようとする、複合的な手口だったことになります。認証情報関連では、調査対象全体の10.9%がハードコードされたシークレットを保持しており、悪意あるサンプルに限れば32%で実際の認証情報漏洩が検出されています。
実務にどう効くか
当メディアの連載「話題のSkill検証」は、外部作者の未検証Skillを取り上げる前に、コードを精読し、外部送信や認証情報アクセスを含むものは実行せず精読レビューに切り替えるという手順を運用してきました。今回のSnyk調査の内容は、その手順が根拠のない慎重さではなく、実際に確認されているリスクへの対応だったことを裏づけています。
個人や組織でSkillを導入する場合、確認すべき点は調査結果からある程度具体化できます。まず、外部コマンドを取得して即座に実行する処理（curl経由でのファイル取得と実行など）が含まれていないか。次に、Base64エンコードなど内容を読みにくくする加工が施された不審な文字列がないか。そして、APIキーやパスワードらしき文字列がコード中に直書きされていないかです。いずれもSKILL.mdやスクリプトを一読すれば気づける範囲であり、実行前の精読という一手間が、今回報告されたような被害の多くを避ける現実的な防御線になります。
もう一つの示唆は、Skillの配布元・実行環境が持つ権限の大きさです。Snykの分析では、Agent Skillsは隔離された実行環境で動く従来のパッケージとは異なり、それを実行するAIエージェント本体と同じ権限で動作するとされています。信頼できる配布元かどうかの見極めが、通常のソフトウェア導入以上に重い意味を持つということです。
編集部の見立て
星の数やダウンロード数といった人気の指標は、Skillの安全性を保証しません。今回の調査で確認された悪意あるスキルも、正規の配布経路に紛れ込む形で存在していました。当メディアが検証記事で毎回「精読してから実行するか判断する」という手順を踏んでいるのは、この種のリスクを構造として織り込んだ結果です。話題のSkillを試す際は、話題性そのものではなく、中身を実際に読んだかどうかを判断基準にする必要がありそうです。
次号予告は購読でお知らせします。