Agent Skills Registryを安全に：SnykとTesslが基準を確立する方法

エージェントスキルは、AIネイティブなソフトウェア開発の構成要素になりつつあります。APIの使い方、コードベースでの開発方法、チームのポリシーの適用方法など、構造化されバージョン管理されたコンテキストをコーディングエージェントに提供します。開発者はnpmパッケージやPythonライブラリと同じように、レジストリからスキルをインストールします。

しかし、npmやPyPIとは異なり、エージェントスキルのエコシステムはまだ新しく、セキュリティ基盤は確立されていません。脆弱性データベースも、公開時の自動スキャンも、インストール時の信頼性の指標もありません。また、攻撃対象領域は従来のパッケージとは異なります。スキルは通常のコードではなく、自律型エージェントがコードベースに対して行う処理を左右する自然言語の指示です。

私たちが解決に取り組んできたのは、まさにこの課題です。本日、SnykとTesslが提携し、Tessl Registryのすべてのスキルにセキュリティスキャンを導入することを発表します。公開されているすべてのスキルにSnykのセキュリティスコアが付与され、スキルのページや検索結果に直接表示されます。

スキルには独自のセキュリティ対策が必要な理由

従来のアプリケーションセキュリティツールは、既知の脆弱性（CVE）や露出したシークレットがないか、コードをスキャンします。開発者がコードを読み、理解したうえで実行するかどうかを判断する世界を前提に作られています。

エージェントスキルは、このモデルを一変させます。AIエージェントはスキルの指示を読み取り、解釈し、自律的に実行します。エージェントは、いつスキルを呼び出すか、どのデータを渡すか、結果をどう扱うかを自ら判断します。この自律性によって、信頼モデルもリスクの種類も異なるものになります。（実際の影響については、Snyk Learnのエージェントの目標乗っ取りと過剰な自律性に関するレッスンをご覧ください。）

SnykのToxicSkillsの調査では、セキュリティ研究者がClawHubマーケットプレイスの3,984件のスキルをスキャンし、その36%にプロンプトインジェクションの手法が含まれていることを確認しました。悪意のあるものと確認されたスキルは、すべて悪意のあるコードペイロードとプロンプトインジェクションを組み合わせており、コード層と自然言語の指示層の両方が攻撃対象になっていることが分かりました。

Snykは、SKILL.mdファイルに書かれた3行のMarkdownだけで、エージェントにSSHキーを読み取り、攻撃者のインフラへ流出させる指示を与えられる実例を記録しています。従来のスキャナーはMarkdownファイルをスキャンしません。エクスプロイトは平易な英語で書かれているのです。

「トキシックフロー」という概念が捉えているのは、（1）プライベートデータにアクセスでき、（2）信頼できない情報源からの指示を含み、（3）外部と通信できるスキルが組み合わさる危険性です。この3つの条件がそろうと、たった1つのスキルが侵害につながる可能性があります。

こうした脅威を検出するには、従来とは異なる分析が必要です。そこで活用されるのが、Snykのエージェントセキュリティ技術です。この技術は、Invariant Labs（2025年6月にSnykが買収）の研究を基盤としています。既知のCVEとパターンを照合するのではなく、調整済みモデルと決定論的ルールを組み合わせたスキャンエンジンで、スキルの指示に込められた行動意図を分析します。プロンプトインジェクション（難読化やBase64エンコードによるものを含む）、マルウェアのペイロード、認証情報の不適切な取り扱い、トキシックフローのパターン、不審な外部ダウンロードなどを検査します。

これは、開発者が自身のエージェント設定をローカルでスキャンするために実行できる、Snykのオープンソースagent-scan CLIと同じ技術です。

Tessl：スキルを本格的なソフトウェアとして扱う

この提携に惹かれた理由は、Tesslが単なるスキルディレクトリを作っているのではなく、パッケージマネージャーを構築していることです。

ディレクトリが項目を一覧表示するのに対し、パッケージマネージャーはバージョンを管理し、評価を行い、依存関係を管理するための仕組みを開発者に提供します。Tesslのレジストリには、品質スコア、影響度評価、バージョン履歴、作成者情報とともに、数千件のスキルが登録されています。npx tessl installでスキルをインストールし、npx tessl searchで検索できます。バージョンの変更が追跡されるため、安心して更新できます。GitHubからインストールする場合、正確なコミットバージョンに固定される点も重要です。レジストリで良好なセキュリティスキャン結果を確認したバージョンをインストールすれば、スキャン時と同じ状態で利用できます。必要に応じて、いつでも最新バージョンに更新できます。

Tesslは、マージされたプルリクエストを通じて、エコシステム全体でツールが機能することをすでに実証しています。Matteo Collinaのスキルリポジトリ（Node.js TSCメンバー、スター数1.4K）では、Tesslのスキルレビューにより10件のスキルで改善点が見つかりました。oauthスキルは22%から100%に、nodejs-coreは45%から100%に、fastifyは48%から100%に向上しました。スター数27Kのプロジェクトで使われている認証ライブラリのBetter Authスキルリポジトリでは、6件すべてのスキルで説明のスコアが、最低22%から100%に上昇しました。スター数6.8KのJeffallanのclaude-skillsにある65件のスキルでは、ml-pipelineが45%から100%に、rag-architectが49%から100%に向上しました。ObsidianのCEOであるSteph Angoは4件のObsidianスキルの改善をマージし、Obsidian Markdownのスコアは71%から94%になりました。また、Anthony FuのSlidevプロジェクトでは、スキルのスコアが86%から100%に上がりました。

具体的な改善内容は、エージェントがユーザーの意図に合ったスキルをより確実に見つけられるよう、トリガー用語を含む説明を拡充すること、期待する出力形式を示した具体的な使用例を加えること、複数ステップのワークフローに検証ポイントを設けること、エージェントがすでに知っている重複情報を削除することです。これが実際の最適化サイクルです。何をどう直すべきかを特定するツールが役立ちます。

開発者がスキルのインストールを検討する際、判断に必要なセキュリティ情報は、その場で品質や影響度のスコアと並んで確認できるべきです。

インテグレーションの概要

Tessl Registryでは、すでに次の機能が利用できます。

すべてのスキルページにセキュリティスコアを表示。レジストリ内の各スキルに、既存の品質指標や影響度指標と並んでSnykのセキュリティ評価が表示されるようになりました。スコアはすぐに確認できるため、開発者はインストール前に明確な判断材料を得られます。詳細はSecurityタブに掲載されています。

検索や閲覧時にもセキュリティ情報を確認可能。開発者がレジストリを閲覧したりスキルを検索したりすると、各スキルカードにセキュリティスコアが表示されます。懸念事項の有無を知るために、スキルの詳細ページを開く必要はありません。

画像の説明を表示する

内部では、Tessl Registryに送信されたすべてのスキルが、SnykのBatch Skill Analysis APIに自動送信されます。分析は非同期で実行され（通常5～15秒で完了）、結果は保存されてTesslのUIに表示されます。データベース内の既存スキルもすべてSnykのセキュリティデータで補完済みのため、カバレッジに抜けはありません。

このインテグレーションは、公開時に危険なスキルをブロックするだけではありません。スキルのライフサイクル全体を通じて維持される、常に確認可能な品質の指標です。

• 公開時：新しいスキルは、レジストリに掲載される前にスキャンされます。

• 閲覧時：レジストリのUIにセキュリティスコアが表示されます。

• インストール時：既知のセキュリティ問題があるスキルについて、Tessl CLIが開発者に警告します。GitHubからのインストールは正確なコミットバージョンに固定されるため、スキャン時と同じ状態であることを確認できます。また、必要に応じていつでも最新バージョンに更新できます。

• 修正時：Tesslは、スキルの作成者が作成ワークフローの中で問題を修正できるよう、Snykのセキュリティ情報を活用する予定です。これにより、検出結果をフィードバックループにつなげます。

画像の説明を表示する

「スキルは、エージェントによって実行される新たなソフトウェアの単位として急速に普及しています。外部のスキルには、ソフトウェアの依存関係と同じサプライチェーンセキュリティのリスクがあります。」

と、Tesslの創業者兼CEOであるGuy Podjarny氏は述べています。

「開発者もエージェントも、安全な判断を下せるよう、利用する時点でセキュリティ制御を利用できる必要があります。SnykをTessl RegistryとCLIに直接統合することで、すでに提供しているスキルの品質スコアや影響度スコアと並べて、セキュリティ情報を確認できるようにします。」

エコシステムにとっての意味

エージェントスキルのサプライチェーンは、従来のオープンソースのサプライチェーンと多くの共通点があります。npm、PyPI、Docker Hubの初期にも、セキュリティツールの整備より導入が先行した時期がありました。タイポスクワッティング、依存関係の混乱、悪意のあるパッケージは、スキャンや出所を検証するツールが追いつく前に出現しました。

エージェントスキルも今まさにその初期段階にありますが、さらに厄介な点があります。スキルは単にコードを実行するのではなく、自然言語を通じてエージェントの動作を左右します。スキルが、エージェントに本来読むべきでないファイルを読ませたり、信頼できないエンドポイントを呼び出させたり、セッションをまたいで変更を維持するために設定ファイルを改変させたりすることもあります。また、エージェントは呼び出した開発者と同じ権限で動作するため、侵害されたスキルも、ローカル環境、コードベース、認証情報など、開発者と同じアクセス権を持つことになります。

同じことを繰り返す必要はありません。Tesslのようなレジストリに最初からセキュリティスキャンを組み込めば、エコシステムが大きくなり、後から対処するコストが膨らむ前に、信頼性の指標を確立できます。SnykとTesslの提携は、開発者がすでにスキルを見つけてインストールしている場所で、意思決定の時点にセキュリティ情報を届けます。

利用を開始する

現在、エージェントスキルを利用している開発者の方へ：

• Tessl Registryを閲覧し、利用するスキルのSnykセキュリティスコアを、Gitの特定コミットに固定されたバージョンで確認してください。

• agent-scanをローカルで実行して、ご自身のエージェント設定、MCPサーバー、インストール済みのスキルをスキャンしてください。

• ToxicSkillsの調査を読み、脅威の全体像と、スキルレベルのリスク分類に使用する8カテゴリーの分類体系について詳しく確認してください。

• Snyk Learnの AI/MLセキュリティのレッスンで、プロンプトインジェクション、エージェントの目標乗っ取り、過剰な自律性について学びましょう。

エージェントスキルのセキュリティは、レジストリ、CLI、ワークフローに組み込まれるべきです。SnykとTesslは、それを共同で実現します。

RSAC 2026で実際のデモをご覧ください。3月23～26日、Moscone CenterのSnykブース（S-1227）にお越しください。Tessl Registryとのインテグレーションを含むSnykのエージェントセキュリティスキャンをデモでご紹介します。また、AIエージェントのワークフローを保護する方法について、セキュリティ研究者とお話しいただけます。