---
type: "Comparison"
title: "Geprüfte vs. ungeprüfte Agent-Skills (2026): Vor der Installation prüfen oder nicht?"
description: "Agent-Skills vor der Installation prüfen oder ungeprüft installieren (2026): Daten von Snyk, Mondoo und NVIDIA SkillSpector — und warum der CVE-Feed selbst verunreinigt ist."
resource: "https://www.contextstudios.ai/de/vergleich/scanned-agent-skills-vs-unvetted-skills"
language: "de"
generated:
  by: "process:contextstudios-md/1"
  at: "2026-10-08T22:31:04.173Z"
status: "stable"
---

# Geprüfte vs. ungeprüfte Agent-Skills (2026): Vor der Installation prüfen oder nicht?

KI-Agent-Skills — die modularen, teilbaren Pakete aus Anweisungen und Code, die den Funktionsumfang eines Agenten erweitern — sind 2026 explodiert: Öffentliche Registries wuchsen von unter fünfzig neuen Skills pro Tag auf über fünfhundert. Mit dieser Bequemlichkeit kam ein Lieferketten-Problem. Sicherheitsforscher haben schädliche Payloads, versteckte Prompt-Injection, Diebstahl von Zugangsdaten und zu weit gefasste Berechtigungen in Skills gefunden, die in ihrer Beschreibung harmlos aussehen. Die Frage, vor der heute jedes Team steht: jeden Skill vor der Installation prüfen und freigeben — mit Werkzeugen wie NVIDIAs quelloffenem SkillSpector — oder weiterhin Skills direkt installieren und darauf vertrauen, dass die Registry sich selbst kontrolliert. Dieser Vergleich gewichtet beide Ansätze nach Lieferketten-Risiko, Installationsaufwand, Erkennungstiefe, Schutz vor neuartigen Bedrohungen, Sicherheit von Zugangsdaten, Tempo des Ökosystems, Betriebsaufwand und Compliance, damit Sie entscheiden können, wie viel Prüfung Ihre Agenten-Infrastruktur wirklich braucht.

## Detaillierter Vergleich

| Faktor | Geprüfte Agent-Skills | Ungeprüfte Agent-Skills | Gewinner |
|--------|------|------|--------|
| Senkung des Lieferketten-Risikos | Fängt schädliche Payloads, Trojaner und versteckte Prompt-Injection ab, bevor die Skill je in Ihrer Umgebung läuft | Erbt alles, was die Registry übersehen hat — bekannte Kampagnen haben Hunderte schädlicher Skills platziert, die eine oberflächliche Kuratierung passierten | Geprüfte Agent-Skills |
| Geschwindigkeit & Aufwand bei der Installation | Fügt einen Prüfschritt hinzu (Sekunden bis Minuten je Skill) sowie eine Sichtung der gemeldeten Funde vor der Installation | Sofort mit einem Befehl installiert — kein Aufwand, was genau der Grund ist, warum die meisten die Prüfung überspringen | Ungeprüfte Agent-Skills |
| Erkennungstiefe bei Schadmustern | Werkzeuge wie SkillSpector prüfen 64 Schwachstellenmuster über 16 Kategorien: Prompt-Injection, Diebstahl von Zugangsdaten, verdächtige Downloads, zu weit gefasste Berechtigungen | Keine systematische Erkennung — verlässt sich allein darauf, dass einem Menschen etwas in der SKILL.md oder im Code auffällt | Geprüfte Agent-Skills |
| Schutz vor neuartigen / Zero-Day-Skills | Stark bei bekannten Mustern, doch Forscher haben gezeigt, dass Scanner durch ausreichend verschleierte Payloads umgangen werden können | Fängt von sich aus nichts ab — doch ein sorgfältiger menschlicher Prüfer entdeckt gelegentlich einen brandneuen Trick, für den ein Scanner noch keine Signatur hat | Unentschieden |
| Schutz vor Diebstahl von Zugangsdaten | Meldet Skills, die Umgebungsvariablen auslesen, Tokens abfließen lassen oder nach Zugangsdaten greifen, die sie nicht brauchen | Skills, die Zugangsdaten stehlen, laufen beim ersten Aufruf mit dem vollen Zugriff Ihres Agenten, bevor Sie etwas bemerken | Geprüfte Agent-Skills |
| Zugang zu neuesten Skills & Tempo des Ökosystems | Die Prüfung hinkt einer Registry hinterher, die täglich über 500 Skills aufnimmt; die allerneuesten Skills sind womöglich noch nicht geprüft oder signiert | Sofortiger Zugriff auf alles Veröffentlichte, sobald es erscheint, ohne Warten auf Prüf-Pipelines | Ungeprüfte Agent-Skills |
| Betriebsaufwand & Kosten | Erfordert einen Scanner im Installationsablauf oder in der CI, die Pflege seiner Regeln und das Sichten der Funde | Keine zusätzlichen Werkzeuge, Infrastruktur oder Prozesse zu pflegen — bis ein Vorfall einen erzwingt | Ungeprüfte Agent-Skills |
| Compliance & Prüfprotokoll | Erzeugt einen Nachweis darüber, was geprüft, was gemeldet und was freigegeben wurde — nützlich für SOC 2 und Kundenaudits | Kein Beleg für Sorgfalt; in einem regulierten oder Kundenumfeld ist diese Lücke ein Haftungsrisiko | Geprüfte Agent-Skills |
| Verlässlichkeit des Schwachstellen-Feeds, den der Scanner liest | Nur so gut wie seine Quelle — JFrog zeigte am 30. Juli 2026, dass 54 von 55 CVEs aus einem einzigen GitHub-Konto KI-erfunden waren, und NVD sowie CISAs ADP hatten sechs davon bereits als kritisch eingestuft | Gar kein Feed, also auch kein falsches Vertrauen — aber ebenso wenig Signal: Jede echte Meldung entgeht Ihnen zusammen mit den erfundenen | Geprüfte Agent-Skills |

## Wichtige Statistiken

- **Snyks ToxicSkills-Studie — angekündigt als erster umfassender Sicherheitsaudit der Agent-Skill-Lieferkette — fand Prompt-Injection in 36 % der geprüften Skills und 1.467 schädliche Payloads im Ökosystem** — [Snyk ToxicSkills study](https://snyk.io/blog/toxicskills-malicious-ai-agent-skills-clawhub) (2026)
- **Mondoos Untersuchung ergab, dass mehr als jede vierte (über 25 %) öffentlich verfügbare KI-Agent-Skill Sicherheitslücken enthält** — [Mondoo](https://mondoo.com/blog/agent-skills-real-power-real-risk) (2026)
- **NVIDIA SkillSpector ist ein quelloffener (Apache-2.0) Sicherheitsscanner, der KI-Agent-Skills vor der Installation auf Prompt-Injection, Diebstahl von Zugangsdaten, Lieferketten-Risiken und Schadcode prüft und dabei 64 Schwachstellenmuster über 16 Kategorien erkennt** — [NVIDIA SkillSpector / AI Native Landscape](https://landscape.jimmysong.io/projects/skillspector) (2026)
- **Die ClawHavoc-Kampagne platzierte 341 schädliche Skills in einer öffentlichen Agent-Skill-Registry, verbreitete den Atomic macOS Stealer und umging die Kuratierung mit eine Woche alten GitHub-Konten** — [Termdock (ClawHub incident postmortem)](https://www.termdock.com/en/blog/clawhub-malicious-skills-incident) (2026)
- **CVE-2025-53773 zeigte, dass versteckte Prompt-Injection in Pull-Request-Beschreibungen über GitHub Copilot die Ausführung von Schadcode aus der Ferne ermöglichte — mit einem kritischen CVSS-Wert von 9,6** — [Cycode](https://cycode.com/blog/ai-security-vulnerabilities) (2026)
- **Forscher von Trail of Bits umgingen den Schad-Skill-Detektor einer öffentlichen Registry und warnten davor, das Vertrauen allein einem Scanner zu überlassen — ein Beleg dafür, dass Prüfung notwendig, aber nicht hinreichend ist** — [Trail of Bits](https://blog.trailofbits.com/2026/06/03/the-sorry-state-of-skill-distribution) (2026)
- **JFrog Security Research meldete am 30. Juli 2026, dass 54 von 55 CVEs aus einem einzigen GitHub-Konto vollständig KI-erfunden waren — darunter sechs SQLite-Meldungen mit bis zu 9,8 „kritisch", die Funktionen nannten, die es in der angegebenen Version nicht gab, und Zeilennummern jenseits der Dateilänge.** — [JFrog Security Research — Afek Berger](https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/) (2026)
- **Die von JFrog benannte Ursache ist struktureller Natur: Das CVE-Einreichungsformular von MITRE prüft keine Identität, und die manuelle NVD-Analyse des NIST — das Sicherheitsnetz, das so etwas früher abfing — ruht seit Februar 2024, wodurch die Anreicherung auf CISA und weitere ADPs zersplittert ist.** — [JFrog Security Research — Afek Berger](https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/) (2026)

## Wählen Sie Geprüfte Agent-Skills, wenn...

- Sie installieren Skills aus öffentlichen Registries, deren Autoren Sie nicht kontrollieren
- Ihre Agenten verarbeiten Zugangsdaten, Kundendaten oder alles, was mit echtem Geld verbunden ist
- Sie arbeiten in einem regulierten oder Kundenumfeld, das ein Prüfprotokoll verlangt
- Sie betreiben Multi-Agenten- oder autonome Abläufe, in denen sich eine einzige schlechte Skill schnell ausbreiten kann

## Wählen Sie Ungeprüfte Agent-Skills, wenn...

- Die Skill stammt von Ihnen selbst oder aus einer von Ihnen vollständig kontrollierten Quelle
- Sie prototypisieren in einer Wegwerf-Sandbox ohne Geheimnisse und ohne Netzwerkzugriff auf etwas Sensibles
- Sie brauchen eine brandneue Skill im Moment ihrer Veröffentlichung und gehen das Risiko bewusst ein
- Sie haben andere starke Kontrollen (strikte Sandbox, kein Zugriff auf Zugangsdaten), die eine schlechte Skill ohnehin eindämmen

## Unsere Empfehlung

Agent-Skills vor der Installation zu prüfen ist die klare Grundlinie — die Datenlage ist eindeutig. Wenn Snyk in 36 % der geprüften Skills Prompt-Injection und 1.467 schädliche Payloads in der Lieferkette findet und Mondoo berichtet, dass mehr als jede vierte öffentliche Skill Schwachstellen trägt, dann ist es 2026 schlicht Pflicht, jede Drittanbieter-Skill als nicht vertrauenswürdigen Code zu behandeln. Ein Scanner wie NVIDIAs quelloffenes SkillSpector — das vor der Installation 64 Schwachstellenmuster über 16 Kategorien prüft — fängt die offensichtlichen Lieferketten-Fallen ab, in die eine ungeprüfte Installation direkt hineinläuft. Doch verwechseln Sie einen sauberen Scan nicht mit Sicherheit: Trail of Bits hat den Schad-Skill-Detektor einer öffentlichen Registry bereits umgangen, der Scan ist also notwendig, aber nicht hinreichend. Der Ansatz, den Context Studios verfolgt und empfiehlt, ist mehrschichtig: jede Skill vor der Installation prüfen, sie mit minimalen Rechten in einer Sandbox ausführen, Herkunft und angeforderte Berechtigungen kontrollieren und niemals einen Agenten Skills eigenständig installieren lassen. Den Scan auszulassen ergibt nur Sinn bei Skills, die Sie selbst geschrieben haben oder die aus einer von Ihnen vollständig kontrollierten Quelle stammen. Bei allem aus einer öffentlichen Registry gilt: zuerst prüfen, immer in der Sandbox ausführen und nichts ungefragt vertrauen.

Eine Aktualisierung seit der Erstfassung dieser Seite, und sie trifft die Schicht unterhalb des Scanners. Am 30. Juli 2026 wies JFrog nach, dass 54 von 55 CVEs aus einem einzigen GitHub-Konto KI-erfunden waren — sechs SQLite-Meldungen mit bis zu 9,8 „kritisch" nannten Funktionen, die es in der Zielversion nicht gab, verwiesen auf Zeilennummern hinter dem Dateiende und behaupteten Patches, die ein Diff als nie erfolgt ausweist. NVD stufte sie als kritisch ein, CISAs ADP schloss sich an. Die Ursache ist struktureller Natur: Das Einreichungsformular von MITRE prüft keine Identität, und die manuelle NVD-Analyse des NIST ruht seit Februar 2024. Das Argument fürs Scannen gilt also weiterhin, doch die Aussage, die es trägt, ist enger als sie wirkt — ein Scanner ist nur so vertrauenswürdig wie sein Feed, und dieser Feed ist nachweislich verunreinigt. Prüfen, in der Sandbox ausführen, minimale Rechte vergeben — und jeden Befund, der echte Arbeit auslösen würde, gegen die Advisory-Seite des Upstream-Projekts verifizieren.

## Häufig gestellte Fragen

**Q: Sind KI-Agent-Skills wirklich ein Sicherheitsrisiko?**
A: Ja. 2026 fand Snyks ToxicSkills-Audit Prompt-Injection in 36 % der geprüften Agent-Skills und 1.467 schädliche Payloads in der Lieferkette, während Mondoo berichtete, dass mehr als jede vierte öffentliche Skill Sicherheitslücken enthält. Echte Kampagnen wie ClawHavoc platzierten Hunderte schädlicher Skills in öffentlichen Registries und verbreiteten Schadsoftware zum Diebstahl von Zugangsdaten. Weil eine Skill versteckte Anweisungen, zu weit gefasste Berechtigungen oder ausführbaren Code enthalten kann, der mehr tut als ihre Beschreibung zugibt, ist es heute Standard, Skills als nicht vertrauenswürdigen Drittanbieter-Code zu behandeln.

**Q: Was prüft ein Werkzeug wie NVIDIA SkillSpector eigentlich?**
A: SkillSpector ist ein quelloffener (Apache-2.0) Scanner, der eine Agent-Skill vor der Installation untersucht. Er sucht nach Prompt-Injection, Diebstahl von Zugangsdaten, verdächtigen Downloads, zu weit gefassten Berechtigungen und Schadcode und deckt dabei 64 Schwachstellenmuster über 16 Kategorien ab. Ziel ist es, eine einfache Frage zu beantworten — tut diese Skill mehr, als ihre Beschreibung sagt? —, bevor die Skill je mit dem Zugriff Ihres Agenten läuft.

**Q: Bin ich sicher, wenn ich jede Skill prüfe?**
A: Prüfen macht Sie deutlich sicherer, ist aber keine Garantie. Forscher von Trail of Bits haben den Schad-Skill-Detektor einer öffentlichen Registry bereits mit verschleierten Payloads umgangen, weshalb ein sauberer Scan als notwendig, nicht als hinreichend gelten sollte. Der robuste Ansatz ist mehrschichtig: vor der Installation prüfen, Skills dann mit minimalen Rechten in einer Sandbox ausführen, Herkunft und angeforderte Berechtigungen kontrollieren und Agenten Skills nicht eigenständig installieren lassen.

**Q: Wann ist es vertretbar, eine ungeprüfte Skill zu installieren?**
A: Den Scan auszulassen ist vertretbar bei Skills, die Sie selbst geschrieben haben oder die aus einer von Ihnen vollständig kontrollierten Quelle stammen, oder wenn Sie in einer Wegwerf-Sandbox ohne Geheimnisse und ohne sensiblen Netzwerkzugriff prototypisieren. Bei allem aus einer öffentlichen Registry — besonders wenn Ihr Agent Zugangsdaten, Kundendaten oder Geld berührt — gilt: zuerst prüfen, immer in der Sandbox ausführen und nichts ungefragt vertrauen.

**Q: Wenn die CVE-Datenbank selbst KI-Müll enthält, lohnt sich das Scannen dann noch?**
A: Ja, aber kalibrieren Sie, was ein sauberer Scan wirklich wert ist. JFrogs Analyse vom 30. Juli 2026 fand 54 von 55 CVEs aus einem Konto erfunden — sechs SQLite-Meldungen mit bis zu 9,8 „kritisch" nannten Funktionen, die es in der Zielversion nicht gab, eine verwies auf Zeilennummern hinter dem Ende einer 2.706 Zeilen langen Datei. NVD und CISAs ADP hatten sie bereits durchgewinkt. Die Lehre ist nicht, das Scannen einzustellen, sondern: Ein Scanner erbt das Vertrauensniveau seines Feeds. Behandeln Sie Schweregrade als Priorisierungshinweis, nicht als Urteil, und prüfen Sie alles, was echte Arbeit auslösen würde, gegen die Advisory-Seite des Upstream-Projekts.