OWASP Agentic Skills Top 10、v1の公開レビューを完了し、スキルのサプライチェーンを独立した攻撃対象領域に位置付け

OWASP Agentic Skills Top 10（AST10）は7月31日、v1ドラフトの公開意見募集期間を終了した。既存のLLM、エージェント、MCPのセキュリティ・チェックリスト間にある空白を埋めることを目指している。対象とするのは、単発のプロンプトインジェクションやプロトコルそのものではなく、エージェントによって読み込まれ、長期保存され、ファイルシステム、shell、ネットワーク、外部ツールと連携する「スキル」だ。対象フォーマットには、YAML frontmatter付きのSKILL.md、Claude Codeスキル、Cursor／Codex manifest、VS Code拡張機能が含まれる。

ドラフトはリスクをAST01からAST10までに分類している。これには、悪意あるスキル、サプライチェーンや依存関係の改ざん、不十分な権限宣言、シークレットの漏えい、隔離の欠如、クロスプラットフォームでの再利用によるセキュリティ上の意味の喪失などが含まれる。工学的な価値は、スキルのインストールを「パッケージのインストール＋ワークフローの認可」として扱う点にある。スクリプトのスキャンに加えて、出所、バージョン、ハッシュを検証し、最小権限を適用し、ネットワークのエグレスを制限するとともに、スキルのトリガー、ツール呼び出し、機密リソースへのアクセスを記録する必要がある。プロジェクトはさらに、YAMLを使ってスキルの識別情報、権限、依存関係、完全性、実行制限を正規化する「Universal Skill Format」を提案しており、異なるエージェントプラットフォームで類似したCIチェックを利用できるようにすることを目指している。

ただし、これはまだ正式に完成した業界標準ではない。OWASPのプロジェクトページでは継続的に開発中の新規プロジェクトと位置付けられており、共通フォーマットも提案段階にすぎない。現時点では、異なるプラットフォーム間で共通の強制適用機構も存在しない。リポジトリに記載された脆弱性の割合や悪意あるスキルの件数は複数の外部調査に基づいているため、サンプリング手法や「セキュリティ上の欠陥」の定義を直接比較することはできない。プラットフォームチームは当面、AST10を脅威モデリングと調達のチェックリストとして活用し、スキル向けの署名、権限diff、sandbox、失効プロセスを整備できる。今後は、v1の確定版で分類名が安定するか、また主要なスキルレジストリが機械検証可能なmanifestを実装するかが焦点となる。