Accueil › Skills d'agents IA › Comment on vérifie les skills d'agents IA

Comment on vérifie les skills d'agents IA

Chaque fiche du catalogue montre ce qu'on a lu, sur quelle version et à quelle date. Dernière mise à jour de cette méthode : 25/10/2026.

Les vrais risques des skills d'agents

• Des scripts qui tournent sur ta machine. Un skill peut contenir des scripts que l'agent lance avec tes droits. Une étude de 31 132 skills publics a trouvé au moins un motif dangereux dans 26,1 % d'entre eux, et des motifs graves dans 5,2 % ; les skills avec scripts étaient environ deux fois plus souvent vulnérables (arXiv 2601.10338, janvier 2026).
• Des logiciels malveillants présentés comme un prérequis. En février 2026, Koi Security a signalé 341 skills malveillants sur ClawHub, le registre de skills d'OpenClaw, qui demandaient pour la plupart d'installer un faux prérequis contenant un voleur de données (Koi Security, The Hacker News). Trend Micro a décrit 39 skills qui faisaient télécharger Atomic macOS Stealer par l'agent (Trend Micro).
• Des instructions cachées et de l'injection de prompt. Snyk a analysé 3 984 skills : 36,82 % avaient une faille de sécurité et 76 contenaient un code malveillant confirmé, dont des instructions cachées dans des fichiers SKILL.md (Snyk ToxicSkills).
• Des données envoyées à l'extérieur et des accès trop larges. Anthropic conseille de n'utiliser que des skills de sources de confiance et de relire chaque fichier fourni, car un skill malveillant peut faire mal utiliser des outils, lire des fichiers ou envoyer des données (documentation Claude). Le service informatique de Stanford donne le même conseil (Stanford UIT).
• Du code non figé et des auteurs inconnus. Une commande comme npx paquet@latest récupère la version du moment à chaque lancement. L'OWASP classe la chaîne d'approvisionnement, les autorisations trop larges et les éditeurs non vérifiés parmi les dix grands risques des skills (OWASP Agentic Skills Top 10).
• Les champs d'autorisation ne sont pas un bac à sable. Le champ allowed-tools du format SKILL.md est expérimental (spécification), et Grok Build précise qu'il n'accorde ni ne restreint aucun outil (documentation xAI).

Notre liste de contrôle (relecture passive)

1. On note le commit exact relu, avec sa date, et on compte les fichiers SKILL.md, les fichiers et les scripts. Les copies comptent une seule fois : dossiers miroirs des mêmes skills, fichiers identiques répétés dans plusieurs skills.
2. On lit chaque SKILL.md : ce qu'il demande à l'agent, les instructions cachées ou inhabituelles (texte invisible, commentaires HTML, texte encodé, consignes d'ignorer l'utilisateur ou de masquer des actions).
3. On lit les scripts, la configuration et les hooks, et on cherche dans tout le dépôt les motifs à risque : appels réseau, curl | bash, commandes encodées (base64, eval), accès aux clés, jetons, fichiers SSH ou données du navigateur, écritures hors du projet, persistance.
4. On liste ce que le skill peut faire, les fichiers qu'il touche, les services qu'il appelle et les identifiants qu'il utilise.
5. On regarde comment il s'installe : version figée ou dernière version, nombre de dépendances, parties hébergées qu'on ne peut pas lire.
6. On vérifie l'auteur (plateforme, éditeur du service ou communauté), la licence et, pour les réseaux sociaux, les règles des plateformes.
7. Gros dépôts : on lit les SKILL.md, la configuration et chaque ligne signalée par la recherche, et on l'indique dans un point d'attention.

Construite à partir de la liste de contrôle de l'OWASP et des conseils d'Anthropic cités plus haut.

Niveaux de confiance

• ✓ Vérifié selon notre méthode Code public relu, aucun signal d'alerte, aucun point d'attention. 25 entrées.
• ⚠ Vérifié, avec avertissements Code public relu, aucun signal d'alerte, mais au moins un point d'attention : scripts exécutés en local, données envoyées à un service tiers, actions faites en ton nom (envoi, publication, dépense), version non figée, nombreuses dépendances, relecture partielle, partie hébergée, règles des plateformes. 85 entrées.
• ○ Non vérifié Code non public ou non relu, ou proposition récente. On décrit seulement ce que l'éditeur documente. 40 entrées.
• Exclu. Un signal d'alerte (instructions cachées, exfiltration, code obscurci, téléchargement de logiciel malveillant, vol d'identifiants) fait sortir le skill du catalogue. Aucune des entrées relues à ce jour n'en avait.

Ce qu'on ne fait pas

• On n'exécute jamais un skill, un script ou un installateur, et on ne teste jamais un service ou un système tiers.
• « Vérifié » n'est pas une garantie. Une relecture humaine peut rater quelque chose, une nouvelle version peut changer le code, et un serveur MCP ou un service peut changer de son côté.
• On ne vérifie pas l'assistant IA lui-même, ni les services auxquels un skill se connecte, ni le code tiers qu'il télécharge au moment de tourner.
• Personne ne peut payer un niveau de confiance, et l'affiliation ne change jamais l'ordre.

Nouvelles vérifications

Chaque vérification couvre un commit. Quand le code change, la date et le commit affichés indiquent la version qu'on a lue ; on relit avant de changer le niveau. Si tu vois un problème dans un skill listé, signale-le via le formulaire de proposition et on le relit. Proposer ou signaler un skill →

Ce que tu peux faire

• Installe depuis le dépôt officiel, figé sur un commit ou une version publiée quand c'est possible.
• Lis le SKILL.md et les scripts avant le premier lancement, et après chaque mise à jour.
• Donne l'accès le plus réduit : clés en lecture seule, compte de test, jamais d'identifiants de production.
• Garde la validation manuelle pour les actions qui envoient, publient ou dépensent, et considère les pages web et e-mails lus par l'agent comme du contenu non fiable.

Voir le catalogue (150) →