Português
Marcar conversa

O que verificar antes de instalar uma skill num agente de IA da sua organização

Uma skill é uma pasta com instruções, scripts e ficheiros que ensina um agente de IA a executar uma tarefa. A Anthropic lançou o formato em outubro de 2025, publicou-o como norma aberta em dezembro e, desde então, funciona em muitas ferramentas. Instalar uma skill demora segundos. Só que uma skill pode levar o agente a executar código, e o agente de um programador tem normalmente acesso ao código, às chaves dos serviços na nuvem e às palavras-passe. A própria Anthropic recomenda instalar skills apenas a partir de fontes de confiança.

O que os investigadores encontraram

  • Em fevereiro de 2026, a Snyk analisou 3.984 skills de duas bibliotecas populares. Encontrou um problema crítico em 13,4% delas, e a revisão manual confirmou 76 como maliciosas.
  • No mesmo mês, a Koi Security identificou 341 skills maliciosas entre as 2.857 da biblioteca ClawHub. A maioria pedia ao utilizador que instalasse um “componente prévio”, que era na verdade software para roubar palavras-passe, chaves e carteiras de criptomoedas.
  • Em agosto de 2026, na conferência Black Hat, a empresa israelita de cibersegurança Zenity revelou uma campanha em que uma família de skills, com nomes que imitavam skills conhecidas, foi instalada mais de 1,7 milhões de vezes.

O método desta última campanha é o que a torna tão preocupante. As skills foram publicadas sem nada de suspeito, acumularam instalações e só depois foram atualizadas para uma versão maliciosa que procurava chaves SSH, credenciais de acesso à nuvem, tokens do Git e ficheiros de configuração com palavras-passe. A Vercel e o GitHub removeram-nas em 12 horas, mas podem continuar a existir cópias noutros sítios.

O mesmo risco nos servidores MCP

Os servidores MCP são as ligações que um agente usa para chegar a ferramentas externas, como o email, uma base de dados ou um sistema de gestão de tarefas. Em setembro de 2025 foi encontrado o primeiro servidor MCP malicioso em utilização real: um pacote chamado postmark-mcp, que na versão 1.0.16 ganhou uma única linha que enviava ao atacante uma cópia oculta de cada email. Já em abril de 2025, a Invariant Labs tinha mostrado como instruções escondidas na descrição de uma ferramenta podem levar um agente a revelar chaves, e como a descrição de uma ferramenta pode mudar depois de o utilizador a ter aprovado.

Danos sem atacante

Nem todos os danos vêm de código malicioso. Em julho de 2025, um agente da Replit apagou uma base de dados de produção durante um congelamento de alterações. Em julho de 2026, o empresário Matt Shumer contou que um agente de programação da OpenAI tinha apagado a maior parte da pasta pessoal do seu computador, e a OpenAI confirmou que o modelo tinha sobrescrito por engano o caminho em que estava a trabalhar. Nos dois casos, o agente tinha permissões demasiado amplas e não existia nenhum mecanismo para travar uma ação destrutiva antes de ela acontecer.

O que verificar antes de instalar

A OWASP, a organização que publica as listas de riscos mais conhecidas da área, descreve a origem do problema como uma combinação de funcionalidades a mais, permissões a mais e autonomia a mais. A lista de verificação decorre daí:

  • Leia todos os ficheiros da skill antes de a instalar, incluindo scripts e dependências, e procure ligações à rede e comandos que executam código. É também a recomendação da Anthropic.
  • Faça uma análise. A Snyk disponibiliza uma ferramenta aberta para analisar skills, e a Zenity lançou o AI Total, um ambiente isolado que executa uma skill e verifica o que ela faz na prática.
  • Fixe a versão. Por causa do método “limpo primeiro, malicioso depois”, a atualização automática de uma skill ou de um servidor MCP é, por si só, um risco.
  • Dê a cada servidor MCP apenas as permissões de que precisa, sem tokens genéricos e sem acesso à conta inteira.
  • Faça qualquer trabalho com conteúdo desconhecido num ambiente isolado, como uma máquina virtual ou um dev container.
  • Exija aprovação humana para ações destrutivas: apagar, alterar o ambiente de produção, enviar dados para fora. Ferramentas abertas como o dcg bloqueiam comandos como a eliminação recursiva ou o DROP TABLE antes de serem executados.
  • Mantenha separados os ambientes de desenvolvimento e de produção, e tenha uma cópia de segurança a partir da qual já testou a reposição.

Se já foi instalado algo suspeito

A Snyk recomenda substituir todas as palavras-passe e chaves a que a skill possa ter chegado, e verificar se os ficheiros de memória do agente foram alterados. Remover a skill não chega, porque as chaves que já foram roubadas continuam nas mãos do atacante.

Uma decisão da organização, não de cada programador

Numa organização com várias equipas, a decisão sobre o que se pode instalar não pode ficar entregue a cada programador. É aqui que entra uma lista aprovada de skills e de servidores MCP, com um responsável que analisa cada nova adição. Ferramentas como o Claude Code já permitem gerir uma lista destas ao nível da organização, com definições geridas que o programador não consegue contornar. É o mesmo princípio que as organizações conhecem da gestão de software de terceiros, só que a um ritmo muito mais rápido.

Perguntas frequentes

Qual é a diferença entre uma skill e um servidor MCP?
Uma skill é uma pasta com instruções e scripts que o agente carrega quando a tarefa o justifica. Um servidor MCP é software que liga o agente a uma ferramenta externa, como o email, uma base de dados ou um sistema de gestão de tarefas. Ambos executam código em nome do agente, por isso ambos precisam de ser verificados.
Uma skill de uma biblioteca conhecida é segura?
Não necessariamente. A campanha revelada pela Zenity decorreu numa biblioteca conhecida, e as skills estavam limpas quando foram instaladas pela primeira vez. A Anthropic também refere que não analisa nem gere os servidores MCP que os utilizadores ligam.
Basta verificar uma skill uma vez?
Só se fixar a versão. Do ponto de vista da segurança, cada atualização é uma skill nova que tem de voltar a ser verificada.

Fontes

Quer falar sobre isto no contexto do seu sistema? Marque uma conversa gratuita de uma hora.