Une compétence IA n’est pas un simple fichier Markdown décoratif. Elle peut embarquer du Python, appeler le système, lire des variables d’environnement ou envoyer des données vers le réseau. SkillSpector, l’outil open source publié par NVIDIA, part de ce constat peu confortable : avant de donner les clés à une compétence, il faut vérifier ce qu’elle fait vraiment. Le mot-clé du jour, c’est donc SkillSpector, pas la confiance aveugle.
Une compétence IA peut faire beaucoup plus que discuter
Les agents modernes chargent des compétences pour leur apprendre une procédure, ajouter un outil ou connecter un service. Sur le papier, cela ressemble à une documentation enrichie. En pratique, la compétence peut contenir des scripts exécutables, des dépendances et des instructions qui influencent directement le comportement de l’agent. Si l’installation se fait avec les droits de l’utilisateur, le fichier hérite d’un terrain de jeu plutôt généreux.
NVIDIA s’appuie sur une étude citée dans le dépôt : sur 42 447 compétences analysées, 26,1 % contiendraient au moins une vulnérabilité et 5,2 % des indices d’intention probablement malveillante. Le chiffre ne signifie pas que toutes ces compétences vont voler tes secrets demain matin. Il montre surtout que le modèle « je lis le README et je clique sur installer » est un contrôle de sécurité aussi sérieux qu’un cadenas dessiné au feutre.
SkillSpector accepte un dépôt Git, une URL, une archive, un dossier local ou un simple fichier SKILL.md. Le projet est publié sous licence Apache 2.0 et propose une utilisation en ligne de commande, un rapport JSON, du Markdown ou du SARIF pour les outils de sécurité. Autrement dit, il ne se contente pas de faire peur dans un terminal : il peut entrer dans le processus de validation d’un projet.
Crédit : dépôt GitHub officiel NVIDIA SkillSpector — https://github.com/NVIDIA/SkillSpector
Le premier tamis cherche le code qui ne devrait pas être là
La première passe est statique et rapide. Elle repère notamment des appels sensibles comme exec, eval, subprocess et les imports dynamiques, puis suit certaines données vers des sorties réseau. Des règles YARA complètent l’analyse pour retrouver des signatures de logiciels malveillants, de webshells ou de mineurs de cryptomonnaie. Ce n’est pas une sandbox : le scanner observe, il ne met pas la compétence en quarantaine pour l’exécuter sans risque.
Le projet ajoute une couche dédiée aux particularités des agents. Les règles couvrent l’injection de consignes, l’exfiltration de données, l’élévation de privilèges, l’empoisonnement de mémoire, l’abus d’outils, les déclencheurs cachés, les problèmes de chaîne d’approvisionnement et l’empoisonnement d’outils MCP. Les métadonnées ne sont pas oubliées : caractères invisibles, commentaires HTML ou caractères ressemblants peuvent cacher une instruction que l’œil humain ne verra jamais dans une revue rapide.
La vérification des dépendances s’appuie aussi sur OSV.dev. Une compétence qui installe une bibliothèque vulnérable n’est donc pas automatiquement saine parce que son propre code semble propre. C’est le même problème que dans une image Docker : le fichier que tu regardes n’est qu’une couche de la pile, et les couches d’en dessous peuvent déjà sentir le roussi.
Le score aide à trier, mais ne remplace pas le jugement
SkillSpector produit un score de risque de 0 à 100, une sévérité et une recommandation. La documentation NVIDIA décrit deux modes : l’analyse statique, déterministe et rapide, puis une analyse sémantique optionnelle qui utilise un modèle pour comparer ce que la compétence promet avec ce que son code semble réellement faire. Cette deuxième passe peut aider à réduire les faux positifs, mais elle ajoute une dépendance à un service d’inférence et ne transforme pas une décision probabiliste en preuve judiciaire.
Le dépôt rappelle une limite essentielle : SkillSpector ne sandboxe pas l’hôte. Il signale les motifs dangereux avant installation, mais il ne contient pas la compétence si tu décides de l’installer quand même. Il ne comprend pas non plus le comportement d’un binaire chiffré, les attaques dissimulées dans une image ou les effets qui n’apparaissent qu’à l’exécution. Un rapport vert veut dire « rien de détecté dans le périmètre analysé », pas « certificat de sainteté numérique ».
La bonne pratique consiste à traiter le rapport comme une décision de revue. Une alerte critique ou élevée bloque la livraison tant qu’elle n’est pas corrigée ou acceptée explicitement. Une capacité non déclarée doit être retirée ou documentée, une dépendance vulnérable doit être mise à jour, et une différence entre la description et le comportement doit être résolue. Le score est un thermomètre ; il ne choisit pas à ta place si tu laisses le malade entrer dans la maison.
Le vrai gain arrive quand le scanner entre dans la CI
Le format SARIF est le point intéressant pour les équipes qui publient plusieurs compétences. Une action GitHub peut installer SkillSpector, analyser le répertoire concerné et envoyer le rapport au volet Code scanning. Les résultats deviennent alors visibles dans la même chaîne que les alertes de code, avec une possibilité de bloquer une fusion selon la politique du projet. OWASP cite justement cette intégration comme une manière de relier les constats aux catégories Agentic Skills Top 10.
Pour un usage personnel, le rituel peut rester simple : télécharger la compétence dans un répertoire temporaire, lancer une analyse statique avec l’option --no-llm, lire chaque finding et comparer les permissions demandées au besoin réel. Ensuite seulement, on inspecte le code, on vérifie l’éditeur, l’historique et les dépendances, puis on installe dans un environnement aux droits limités. Si la compétence réclame l’accès aux secrets, au réseau et à l’exécution de commandes pour afficher trois paragraphes d’aide, la réponse n’a pas besoin d’un deuxième avis.
Il faut aussi conserver le contexte du scan : version de SkillSpector, commit de la compétence, mode utilisé, accès ou non à OSV.dev et décision finale. Une compétence peut changer après ton premier contrôle, surtout quand elle vient d’une URL ou d’une branche Git. Scanner une fois puis faire confiance pour toujours, c’est transformer un contrôle de version en superstition.
L’installation par défaut doit enfin mériter son nom
SkillSpector arrive au bon moment parce que les compétences deviennent une nouvelle forme de logiciel distribué. Elles mélangent texte, code et autorité dans un paquet que les agents interprètent parfois comme une consigne de premier rang. La sécurité ne peut donc pas se limiter à filtrer des paquets Python ou à vérifier une signature : il faut aussi regarder les intentions, les permissions et les chemins par lesquels une instruction peut devenir une action.
Le scanner de NVIDIA ne règle pas le problème tout seul. Il donne en revanche une base reproductible pour ralentir l’installation, rendre les risques visibles et brancher une règle de blocage dans la CI. C’est déjà beaucoup mieux que de confier ton terminal à un fichier parce que son icône avait l’air sympathique.
Sources
Dépôt officiel NVIDIA SkillSpector, code, fonctionnalités, limites et licence : https://github.com/NVIDIA/SkillSpector
Documentation NVIDIA, catégories analysées, modes statique et sémantique, formats de sortie et politique de triage : https://docs.nvidia.com/skills/scanning-agent-skills
OWASP, intégration de SkillSpector dans la CI et rapprochement avec Agentic Skills Top 10 : https://owasp.org/www-project-agentic-skills-top-10/skill-scanner-integration.html
Help Net Security, présentation technique publiée le 3 août 2026 et détails sur les règles d’analyse : https://www.helpnetsecurity.com/2026/08/03/skillspector-open-source-agent-skill-security-scanner/
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet