株式会社ウォーカーは、AIエージェント向けのセキュリティ対策スキル3本を無料公開しました。
スキルや設定ファイルの隠し命令、npmのサプライチェーン攻撃への備えを検査できます。
情報漏えい時の初動整理や、個人情報保護委員会への報告文の下書きにも対応します。
記事の概要
ウォーカーは、Agent Skillsを日本語で探せるマーケット「cccskills」の公式GitHubで3本を公開しました。
Claude CodeやCodexなどに追加すると、スキルや設定ファイルを読むだけで安全性を検査できます。
「skill-security-audit」は、Unicode文字に隠された命令や認証情報の送信などを検出します。
「npm-supply-chain-check」は、公開直後のバージョンやインストール時に動くスクリプトを点検します。
「incident-first-response-jp」は、情報漏えい時の初動や報告期限、各種文書の下書きを支援します。
個人情報保護委員会への速報は3〜5日以内、確報は30日以内が目安として示されます。
3本はいずれもMITライセンスでGitHubに公開され、検査対象を実行せずファイルも書き換えません。
cccskillsでは2026年10月27日時点で、6,087件のスキルに安全面の判定を付けています。
記事のポイント
- 隠し命令を検出： SKILL.mdやフック設定などを読み、隠された命令や危険な処理を検出して導入可否を判定します。
- npm設定を点検： ロックファイル内のパッケージを調べ、公開直後の版や実行スクリプトへの対策を示します。
- 事故初動を支援： 最初の72時間の対応や報告期限を整理し、社内外への通知文と公表文の下書きを作成します。
このニュースがもたらす影響
- 導入を検討する企業： AIエージェントの導入前に、スキルや設定ファイルを検査する工程を調達・開発の標準手順へ組み込む必要が高まりそうです。
- 開発・情シス部門： npmパッケージやエージェント設定を対象に、導入時の点検と権限管理を分けて運用し、事故時の初動手順まで事前に整えることが求められそうです。
- スキル提供者： スキルの機能だけでなく、外部送信やコマンド実行の有無を利用者が確認できる説明と検査可能性が、選ばれるための条件になる可能性があります。
このニュースの背景
Agent Skillsは、指示書やスクリプトの内容にエージェントが従うため、スキル自体が攻撃経路になり得ます。
元記事では、公開スキル3,984件のうち76件で悪意のある処理が確認された調査が紹介されています。
npmでは、乗っ取られた開発者アカウントや多数のパッケージへのマルウェア混入が報告され、設定ファイルを開いただけで動く仕掛けも確認されています。
国内企業には、情報漏えいの発覚後に個人情報保護委員会への速報などを限られた期限で進める対応も求められます。
関連するニュース
- ウォーカーが、AIエージェント向けスキルを検索・比較できるMCPサーバーとAPIを公開しました。
- ウォーカーが、AIエージェント向けスキル94,786件を日本語で検索・評価できるcccskillsを公開しました。
- ウォーカーは、AIエージェント向けセキュリティスキル6,898本を13領域に整理し、安全面を確認できるWeb版を公開しました。
詳しい記事の内容はこちらから（引用元）
株式会社ウォーカーのプレスリリース（2026年10月27日 15時20分）AIエージェントの「スキル」に隠された命令を、…
https://prtimes.jp/main/html/rd/p/000000086.000041726.html