VirusTotal: Fast jeder fünfte eingereichte Agenten-Skill ist bösartig
VirusTotal hat 35.878 bei dem Dienst eingereichte Agenten-Skills ausgewertet und 6.637 davon, 18,5 Prozent, als bösartig eingestuft. In 62 Prozent der Schad-Skills steckt kein Schadcode, sondern eine Anweisung im Klartext. Laut einem Folgebeitrag vom 21. Oktober 2026 verbergen 90 die Anweisung so, dass ein Mensch sie beim Durchsehen nicht sieht.
✓ Aussagen gegen die Quellen geprüft · 25. Oktober 2026
Agenten-Skills sind Ordner mit Anweisungen und Skripten, die Werkzeuge wie Claude Code, Cursor oder OpenClaw um Fähigkeiten erweitern. Für einen Beitrag vom 8. Oktober wertete VirusTotal eine Momentaufnahme der bei ihm eingereichten Skills aus, mehr als zehnmal so viele wie in der ersten Analyse vom Februar. Neben den bösartigen gelten 14,8 Prozent als unsicher, etwa wegen ungeprüfter Installationsbefehle, 12,5 Prozent als unerwünscht, etwa wegen ungefragter Abbuchungen. 47,1 Prozent sind sauber.
Die Stichprobe zeigt, was bei VirusTotal ankommt, nicht den Bestand eines Marktplatzes. OpenClaw ist überrepräsentiert, weil jeder auf ClawHub veröffentlichte Skill dort geprüft wird. Nvidias Prüfer SkillSpector hatte im September in einer anderen Stichprobe 5,2 Prozent als wahrscheinlich bösartig eingestuft.
Datendiebe und Nachlader, die weitere Software holen, stellen zusammen 78,5 Prozent der Schad-Skills. 78,2 Prozent gehören zu einer von 1.016 Familien mit mehreren Varianten, also zu wiederholten Kampagnen. Typisch ist eine Prompt-InjectionAngriff, bei dem fremde Anweisungen über Inhalte eingeschleust werden, die ein Modell nur verarbeiten soll (Website, Dokument, Werkzeug-Ergebnis) – der Agent führt sie aus, als kämen sie vom Nutzer. Anders als beim Jailbreak greift hier ein Dritter an, nicht die nutzende Person.Mehr im Wissen → ohne Code: Ein Steuer-Skill weist den Agenten nach fast 500 Leerzeilen an, alle Unterlagen per Blindkopie an eine fremde Adresse zu schicken.
Versteckt ist die Anweisung in 90 Fällen, also 1,4 Prozent: 56 Skills setzen 78 bis 825 Leerzeilen davor, 28 legen sie in HTML-Kommentare, die GitHub und Marktplätze nicht anzeigen, der Agent aber liest, und sechs kodieren sie in unsichtbaren Unicode-Zeichen. VirusTotal nennt das Untergrenzen. Manche Skills fordern den Agenten zusätzlich auf, zu schweigen oder sich in Speicherdateien einzutragen; eine Zahl dafür gibt es nicht.
Quelloffene Scanner verfehlten in VirusTotals Test mit Standardeinstellungen 36 bis 71 Prozent der Schad-Skills und markierten zugleich 21 bis 61 Prozent der sauberen. Der Vergleich ist in eigener Sache: Die Referenzurteile stammen aus VirusTotals eigener Prüfkette, und das hauseigene Modell schneidet mit 81,3 Prozent Erkennung am besten ab.