Attaques inter-sessions via les artefacts persistants des skills d'agents

What is this?

Les skills d’agents regroupent instructions, code et ressources dans des paquets réutilisables. Lorsqu’un skill s’exécute, il laisse souvent des traces : fichiers, configuration, données en cache. Les sessions suivantes, et d’autres skills, réutilisent ces restes. L’article Understanding and Mitigating Cross-Session Attacks via Persistent Artifacts in Agent Skill Composition, soumis sur arXiv le 9 octobre 2026, soutient que ces artefacts persistants constituent une surface d’attaque peu étudiée : une influence malveillante peut passer d’une exécution à une autre sans que l’attaquant n’accède jamais à la seconde session.

Il prolonge un article antérieur, What If Prompt Injection Never Left? (juin 2026), qui compare l’injection inter-sessions au XSS stocké. Le nouveau travail restreint la question à la composition de skills.

How it works

Les auteurs caractérisent trois mécanismes :

• Instruction Propagation : des instructions intégrées à un artefact sont reportées et traitées comme des consignes par une exécution ultérieure.
• Data Boundary Violation : un artefact écrit par un skill franchit une frontière de confiance et est consommé par un autre skill qui n’aurait pas dû s’y fier.
• Evidence Poisoning : un artefact corrompu est ensuite traité comme une preuve fiable pour une décision.

Pour mesurer cela, l’article présente SkillRelayBench : 270 cas adverses construits à partir de 30 scénarios de composition de skills inter-sessions couvrant dix domaines. Sept modèles ont été testés via Codex CLI, Gemini CLI et Claude Code. Les taux de réussite d’attaque vont de 46,7 % à 77,4 %, et les chaînes d’attaque complètes réussissent dans 35,6 % à 61,1 % des cas, touchant les cinq catégories de conséquences de sécurité définies par les auteurs. Aucune chaîne d’exploitation n’est nécessaire pour comprendre le résultat, et aucune n’est reproduite ici.

Why it matters

Les équipes composent de plus en plus de skills et les font partager un répertoire de travail. Dans ce cas, un fichier écrit par une étape peu fiable ressemble, pour l’étape suivante, à un fichier écrit par l’utilisateur. L’agent n’a aucune trace de l’origine du contenu et peut promouvoir un texte non fiable au rang de contexte de confiance. Le risque n’est pas lié à un produit : l’article rapporte des résultats sur trois CLI d’agents différents.

Defenses

Les auteurs proposent SkillRelayGuard, qui restaure le contexte de provenance des artefacts (qui ou quoi a écrit ce fichier, dans quelle session, à partir de quelle entrée) et ajoute une revue consultative avant exécution, tout en laissant la décision finale à l’agent. Dans leur évaluation, le taux de réussite global des attaques passe de 69,5 % à 10,9 %, celui des chaînes de 54,8 % à 10,0 %, et l’achèvement des tâches légitimes progresse de 79,6 % à 87,5 %.

Mesures pratiques qui découlent de ces résultats :

• Tracer la provenance des fichiers écrits par les skills et la montrer à l’agent avant toute action.
• Isoler les espaces de travail des skills afin qu’un skill ne lise pas silencieusement la sortie d’un autre.
• Traiter les artefacts persistés comme des entrées non fiables, même lorsque l’agent les a lui-même écrits.
• Vider ou versionner les caches entre les sessions pour les flux sensibles, et examiner ce qui persiste.
• Soumettre à approbation explicite de l’utilisateur les actions à fort impact déclenchées par le contenu d’un artefact.

Status

Élément	Détail
Article	arXiv 2610.13227, soumis le 9 octobre 2026
Benchmark	SkillRelayBench, 270 cas, 30 scénarios
Agents testés	Codex CLI, Gemini CLI, Claude Code (sept modèles)
Défense proposée	SkillRelayGuard (prototype de recherche ; disponibilité non précisée dans le résumé)
Correctifs éditeurs	Sans objet : faiblesse de conception, aucun CVE cité