Das Agent Skills Registry absichern: Wie Snyk und Tessl neue Standards setzen

Agent-Skills entwickeln sich zu den Bausteinen der KI-nativen Softwareentwicklung. Sie liefern Coding-Agenten strukturierte, versionierte Informationen – etwa dazu, wie sie Ihre APIs nutzen, in Ihrer Codebasis arbeiten und die Richtlinien Ihres Teams einhalten. Entwickler installieren sie aus Registries, genau wie npm-Pakete oder Python-Bibliotheken.

Doch anders als npm oder PyPI ist das Agent-Skills-Ökosystem noch neu. Eine etablierte Sicherheitsinfrastruktur gibt es bislang nicht: keine Schwachstellendatenbanken, keine automatisierten Prüfungen bei der Veröffentlichung, keine Vertrauenssignale bei der Installation. Und die Angriffsfläche unterscheidet sich von der herkömmlicher Pakete: Skills sind kein gewöhnlicher Code. Es handelt sich um natürlichsprachliche Anweisungen, die das Verhalten autonomer Agenten in Ihrer Codebasis prägen.

Diese Lücke wollten wir schließen. Heute geben Snyk und Tessl ihre Partnerschaft bekannt, mit der sie Sicherheitsprüfungen für jeden Skill im Tessl Registry ermöglichen. Jeder öffentliche Skill erhält jetzt einen Snyk-Sicherheits-Score, der direkt auf der Skill-Seite und in den Suchergebnissen zu sehen ist.

Warum Skills einen eigenen Sicherheitsansatz brauchen

Herkömmliche Anwendungssicherheitstools prüfen Ihren Code auf bekannte Schwachstellen (CVEs) und offengelegte Geheimnisse. Sie sind für eine Welt konzipiert, in der Entwickler Code lesen, verstehen und dann entscheiden, ob sie ihn ausführen.

Agent-Skills kehren dieses Modell um. Ein KI-Agent liest die Anweisungen eines Skills, interpretiert sie und setzt sie autonom um. Der Agent entscheidet, wann er einen Skill aufruft, welche Daten er ihm übergibt und was er mit den Ergebnissen macht. Diese Autonomie schafft ein anderes Vertrauensmodell und eine andere Risikoklasse. (Weitere Informationen dazu finden Sie in den Lektionen von Snyk Learn zu Agent Goal Hijacking und übermäßiger Autonomie.)

Im Rahmen der ToxicSkills-Forschung von Snyk haben unsere Sicherheitsforscher 3.984 Skills aus dem ClawHub-Marktplatz untersucht. 36 % davon enthielten Prompt-Injection-Techniken. Alle bestätigten schädlichen Skills kombinierten schädliche Code-Payloads mit Prompt-Injection. Das zeigt, dass Angriffe sowohl auf die Code-Ebene als auch auf die Ebene der natürlichsprachlichen Anweisungen abzielen.

Snyk hat reale Angriffe dokumentiert, bei denen drei Markdown-Zeilen in einer SKILL.md-Datei ausreichten, um einen Agenten anzuweisen, SSH-Schlüssel auszulesen und an die Infrastruktur des Angreifers zu übermitteln. Herkömmliche Scanner ignorieren Markdown-Dateien. Der Exploit ist in einfachem Englisch verfasst.

Das beschreibt das Konzept der „Toxic Flows“: die gefährliche Kombination aus einem Skill, der (1) auf private Daten zugreifen kann, (2) Anweisungen aus einer nicht vertrauenswürdigen Quelle enthält und (3) extern kommunizieren kann. Wenn alle drei Bedingungen erfüllt sind, kann ein einzelner Skill zu einer Kompromittierung führen.

Um diese Bedrohungen zu erkennen, ist eine andere Art der Analyse erforderlich. Hier kommt die Agent-Sicherheitstechnologie von Snyk ins Spiel, die auf Forschung von Invariant Labs basiert (im Juni 2025 von Snyk übernommen). Statt Muster mit bekannten CVEs abzugleichen, analysiert die Scan-Engine mithilfe kalibrierter Modelle und deterministischer Regeln die Verhaltensabsicht hinter den Anweisungen eines Skills. Sie prüft auf Prompt-Injection (einschließlich verschleierter und Base64-codierter Varianten), Malware-Payloads, unsachgemäßen Umgang mit Zugangsdaten, Toxic-Flow-Muster, verdächtige externe Downloads und mehr.

Dieselbe Technologie steckt hinter der Open-Source-CLI agent-scan von Snyk, mit der Entwickler ihre eigenen Agent-Konfigurationen lokal prüfen können.

Tessl: Skills als echte Software behandeln

Was uns an dieser Partnerschaft überzeugt hat: Tessl baut nicht einfach ein weiteres Skills-Verzeichnis. Das Unternehmen entwickelt einen Paketmanager.

Ein Verzeichnis listet Inhalte auf. Ein Paketmanager dagegen versioniert und bewertet sie und bietet Entwicklern strukturierte Möglichkeiten, Abhängigkeiten zu verwalten. Das Tessl Registry erfasst Tausende von Skills mit Qualitätsbewertungen, Auswirkungsbewertungen, Versionsverläufen und Angaben zu den Autoren. Skills installieren Sie mit npx tessl install, suchen mit npx tessl search und aktualisieren sie mit der Gewissheit, dass Versionsänderungen nachverfolgt werden. Wichtig ist: Installationen von GitHub sind an exakte Commit-Versionen gebunden. Wenn ein Skill im Registry eine gute Sicherheitsbewertung hat und Sie genau diese Version installieren, wissen Sie, dass sie dem von uns geprüften Stand entspricht. Bei Bedarf können Sie jederzeit auf die neueste Version aktualisieren.

Tessl hat bereits gezeigt, dass die Tools im gesamten Ökosystem funktionieren – und zwar in zusammengeführten Pull Requests. Im Skills-Repository von Matteo Collina (Mitglied des Node.js TSC, 1,4 Tsd. Stars) identifizierte die Skill-Prüfung von Tessl Verbesserungsmöglichkeiten bei zehn Skills: Der OAuth-Skill stieg von 22 % auf 100 %, nodejs-core von 45 % auf 100 % und fastify von 48 % auf 100 %. Im Skills-Repository von Better Auth (der Auth-Bibliothek hinter einem Projekt mit 27 Tsd. Stars) stiegen die Beschreibungsbewertungen aller sechs Skills von nur 22 % auf 100 %. Bei 65 Skills in Jeffallans claude-skills (6,8 Tsd. Stars) stieg die Bewertung von ml-pipeline beispielsweise von 45 % auf 100 % und die von rag-architect von 49 % auf 100 %. Steph Ango (CEO von Obsidian) führte Verbesserungen an vier Obsidian-Skills zusammen; Obsidian Markdown stieg dabei von 71 % auf 94 %. Und im Slidev-Projekt von Anthony Fu stieg die Bewertung des Skills von 86 % auf 100 %.

Die Verbesserungen sind konkret: ausführlichere Beschreibungen mit Trigger-Begriffen, damit Agenten Skills zuverlässiger der Absicht des Nutzers zuordnen können; konkrete Anwendungsbeispiele mit erwarteten Ausgabeformaten; Validierungspunkte zwischen mehrstufigen Workflows; und die Entfernung überflüssiger Inhalte, die dem Agenten bereits bekannt sind. So funktioniert die Optimierungsschleife in der Praxis: Ein Tool zeigt, was verbessert werden muss und wie.

Wenn Entwickler entscheiden, ob sie einen Skill installieren, sollte das Sicherheitssignal direkt neben den Qualitäts- und Auswirkungsbewertungen stehen und so genau im entscheidenden Moment in die Entscheidung einfließen.

So sieht die Integration aus

Das ist heute im Tessl Registry verfügbar.

Sicherheitsbewertungen auf jeder Skill-Seite. Jeder Skill im Registry zeigt jetzt neben den vorhandenen Qualitäts- und Auswirkungskennzahlen eine Snyk-Sicherheitsbewertung an. Der Score ist sofort sichtbar und gibt Entwicklern vor der Installation einen klaren Hinweis. Einzelheiten finden Sie auch im Security-Tab.

Sicherheit ist beim Suchen und Durchstöbern sichtbar. Wenn Entwickler das Registry durchstöbern oder nach Skills suchen, werden die Sicherheitsbewertungen auf jeder Skill-Karte angezeigt. Sie müssen nicht erst die Detailseite eines Skills öffnen, um mögliche Bedenken zu erkennen.

Bildbeschreibung anzeigen

Im Hintergrund wird jeder Skill, der im Tessl Registry eingereicht wird, automatisch an die Batch Skill Analysis API von Snyk gesendet. Die Analyse läuft asynchron und ist in der Regel nach 5 bis 15 Sekunden abgeschlossen. Die Ergebnisse werden gespeichert und in der Tessl-Benutzeroberfläche angezeigt. Für alle bestehenden Skills in der Datenbank wurden die Snyk-Sicherheitsdaten nachträglich ergänzt – es gibt also keine Lücken bei der Abdeckung.

Die Integration beschränkt sich nicht darauf, problematische Skills bei der Veröffentlichung zu blockieren. Sie liefert ein sichtbares, dauerhaftes Qualitätssignal, das den Skill über seinen gesamten Lebenszyklus hinweg begleitet:

• Bei der Veröffentlichung: Neue Skills werden geprüft, bevor sie gelistet werden.

• Beim Durchstöbern: Die Sicherheitsbewertungen sind in der Benutzeroberfläche des Registry sichtbar.

• Bei der Installation: Die Tessl-CLI warnt Entwickler, wenn ein Skill bekannte Sicherheitsprobleme aufweist. Installationen von GitHub sind an exakte Commit-Versionen gebunden. So wissen Sie, dass der Skill dem von uns geprüften Stand entspricht. Sie können bei Bedarf aber auch jederzeit auf die neueste Version aktualisieren.

• Bei der Behebung: Tessl plant, die Sicherheitssignale von Snyk zu nutzen, um Skill-Autoren im Rahmen ihres Erstellungs-Workflows bei der Behebung von Problemen zu unterstützen und die Erkennung so in eine Feedbackschleife zu überführen.

Bildbeschreibung anzeigen

„Skills entwickeln sich schnell zu einer neuen Softwareeinheit, die von Agenten ausgeführt wird. Externe Skills bergen dieselben Supply-Chain-Sicherheitsrisiken wie Softwareabhängigkeiten“,

sagte Guy Podjarny, Gründer und CEO von Tessl.

„Entwickler und Agenten brauchen Sicherheitskontrollen zum Zeitpunkt der Nutzung, damit sie sichere Entscheidungen treffen können. Durch die direkte Integration von Snyk in das Tessl Registry und die CLI machen wir Sicherheit genau dort sichtbar, wo auch die Qualitäts- und Auswirkungsbewertungen der Skills angezeigt werden.“

Was das für das Ökosystem bedeutet

Die Supply Chain für Agent-Skills hat viel mit der herkömmlichen Open-Source-Supply-Chain gemeinsam. In der Anfangszeit von npm, PyPI und Docker Hub ging die Verbreitung den Sicherheitstools voraus. Typosquatting, Dependency Confusion und schädliche Pakete tauchten auf, bevor Scan- und Herkunftsnachweis-Tools Schritt halten konnten.

Agent-Skills befinden sich jetzt in dieser frühen Phase – mit einer zusätzlichen Besonderheit: Ein Skill führt nicht einfach nur Code aus, sondern beeinflusst das Verhalten eines Agenten durch natürlichsprachliche Anweisungen. Ein Skill kann einen Agenten anweisen, Dateien zu lesen, auf die er nicht zugreifen sollte, nicht vertrauenswürdige Endpunkte aufzurufen oder Konfigurationsdateien so zu ändern, dass die Änderungen über mehrere Sitzungen hinweg bestehen bleiben. Da Agenten mit den Berechtigungen des Entwicklers arbeiten, der sie aufgerufen hat, hat ein kompromittierter Skill denselben Zugriff wie dieser Entwickler: auf die lokale Umgebung, Codebasen und Zugangsdaten.

Wir müssen diesen Kreislauf nicht wiederholen. Wenn wir Sicherheitsprüfungen von Anfang an direkt in Registries wie Tessl integrieren, können wir Vertrauenssignale schaffen, bevor das Ökosystem so groß wird, dass eine nachträgliche Bereinigung kostspielig wäre. Die Partnerschaft von Snyk und Tessl erreicht Entwickler dort, wo sie Skills bereits entdecken und installieren, und versorgt sie genau im Moment der Entscheidung mit Sicherheitsinformationen.

Erste Schritte

Wenn Sie heute Agent-Skills verwenden:

• Durchstöbern Sie das Tessl Registry und prüfen Sie die Snyk-Sicherheitsbewertungen der von Ihnen verwendeten Skills für bestimmte, an Git-Commits gebundene Versionen.

• Führen Sie agent-scan lokal aus, um Ihre Agent-Konfigurationen, MCP-Server und installierten Skills zu prüfen.

• Lesen Sie die ToxicSkills-Forschung, um mehr über die Bedrohungslandschaft und die acht Kategorien zu erfahren, nach denen wir Risiken auf Skill-Ebene klassifizieren.

• Entdecken Sie die Sicherheitslektionen zu KI/ML von Snyk Learn zu Prompt-Injection, Agent Goal Hijacking und übermäßiger Autonomie.

Sicherheit für Agent-Skills sollte Bestandteil des Registry, der CLI und des Workflows sein. Gemeinsam machen Snyk und Tessl das möglich.

Erleben Sie es live auf der RSAC 2026. Snyk ist am Stand S-1227 im Moscone Center vom 23. bis 26. März vertreten. Besuchen Sie uns für eine Demo der Agent-Sicherheitsscans von Snyk, einschließlich der Integration mit dem Tessl Registry, und sprechen Sie mit unseren Sicherheitsforschern darüber, wie Sie Ihre KI-Agent-Workflows schützen können.