Ataques entre sesiones mediante artefactos persistentes de skills de agentes
Un artículo de arXiv de octubre de 2026 muestra que los archivos y cachés que dejan los skills de agentes pueden llevar influencia maliciosa a sesiones posteriores, y propone una protección basada en procedencia.
What is this?
Los skills de agentes agrupan instrucciones, código y recursos en paquetes reutilizables. Cuando un skill se ejecuta, a menudo deja rastros: archivos, configuración, datos en caché. Las sesiones posteriores, y otros skills, reutilizan esos restos. El artículo Understanding and Mitigating Cross-Session Attacks via Persistent Artifacts in Agent Skill Composition, enviado a arXiv el 9 de octubre de 2026, sostiene que estos artefactos persistentes forman una superficie de ataque poco estudiada: la influencia maliciosa puede pasar de una ejecución a otra posterior sin que el atacante toque nunca la segunda sesión.
Se apoya en un trabajo anterior, What If Prompt Injection Never Left? (junio de 2026), que compara la inyección entre sesiones con el XSS almacenado. El nuevo trabajo acota la cuestión a la composición de skills.
How it works
Los autores caracterizan tres mecanismos:
- Instruction Propagation: instrucciones incrustadas en un artefacto se arrastran y una ejecución posterior las trata como guía.
- Data Boundary Violation: un artefacto escrito por un skill cruza una frontera de confianza y lo consume otro skill que no debería haberse fiado.
- Evidence Poisoning: un artefacto corrupto se trata después como evidencia fiable para una decisión.
Para medirlo, el artículo presenta SkillRelayBench: 270 casos adversariales construidos a partir de 30 escenarios de composición de skills entre sesiones en diez dominios. Se probaron siete modelos con Codex CLI, Gemini CLI y Claude Code. Las tasas de éxito del ataque van del 46,7 % al 77,4 %, y las cadenas de ataque completas tuvieron éxito en el 35,6 % al 61,1 % de los casos, afectando a las cinco categorías de consecuencias de seguridad definidas por los autores. No hacen falta cadenas de explotación para entender el resultado, y aquí no se reproduce ninguna.
Why it matters
Los equipos componen cada vez más skills y los hacen compartir un directorio de trabajo. En ese escenario, un archivo escrito por un paso de baja confianza parece, para el paso siguiente, uno escrito por el usuario. El agente no conserva registro del origen del contenido y puede elevar texto no fiable a contexto de confianza. El riesgo no depende de un producto: el artículo informa resultados en tres CLI de agentes distintos.
Defenses
Los autores proponen SkillRelayGuard, que restaura el contexto de procedencia de los artefactos (quién o qué escribió el archivo, en qué sesión, a partir de qué entrada) y añade una revisión consultiva previa a la ejecución, dejando la decisión final al agente. En su evaluación, el éxito global de los ataques bajó del 69,5 % al 10,9 %, el de las cadenas del 54,8 % al 10,0 %, y la finalización de tareas legítimas subió del 79,6 % al 87,5 %.
Medidas prácticas que se derivan de los resultados:
- Rastrear la procedencia de los archivos que escriben los skills y mostrarla al agente antes de actuar.
- Aislar los espacios de trabajo de los skills para que uno no lea en silencio la salida de otro.
- Tratar los artefactos persistidos como entrada no fiable, incluso cuando los escribió el propio agente.
- Limpiar o versionar las cachés entre sesiones en flujos sensibles, y revisar lo que persiste.
- Exigir aprobación explícita del usuario para acciones de alto impacto desencadenadas por el contenido de un artefacto.
Status
| Elemento | Detalle |
|---|---|
| Artículo | arXiv 2610.13227, enviado el 9 de octubre de 2026 |
| Benchmark | SkillRelayBench, 270 casos, 30 escenarios |
| Agentes probados | Codex CLI, Gemini CLI, Claude Code (siete modelos) |
| Defensa propuesta | SkillRelayGuard (prototipo de investigación; disponibilidad no indicada en el resumen) |
| Parches de proveedores | No aplica: debilidad de diseño, sin CVE citado |