Hoe kwaadaardige skills AI-programmeerassistenten misbruiken

TL;DR

• Wat: Onderzoekers van Snyk vonden 76 bewezen kwaadaardige skills tussen bijna 4.000 uitbreidingen voor AI-programmeerassistenten — ruim een derde bevat minstens één beveiligingsprobleem.
• Waarom relevant: Steeds meer bedrijven laten AI-agents code schrijven; die agents installeren skills die wachtwoorden en bedrijfsdata kunnen stelen zonder dat je het merkt.
• Wat je ermee kunt: Vraag je IT-partner of ontwikkelaar welke agent-skills er actief zijn in jullie ontwikkelomgeving en of daar een reviewproces voor bestaat.

Ik stuitte op een bericht van beveiligingsonderzoeker Liran Tal, die liet zien hoe een kwaadaardige skill een AI-programmeerassistent kan overnemen — inclusief het openen van de Windows-rekenmachine als bewijs. Dat klinkt als een grapje, maar de implicaties zijn dat niet.

Wat zijn agent-skills eigenlijk?

Om dit verhaal te begrijpen, moet je weten wat een "skill" is in de wereld van AI-agents. Denk aan een recept dat je aan een assistent geeft: "Als ik X vraag, doe dan Y met tool Z." Zo'n skill is in essentie een klein instructiebestand — vaak niet meer dan een Markdown-bestand genaamd SKILL.md — dat de AI-agent vertelt welke tools hij mag gebruiken, welke API's hij mag aanspreken en welke commando's hij mag uitvoeren.

Het verschil met een gewone browser-extensie of plugin? De rechten. Als een AI-agent een skill installeert, krijgt die skill in veel gevallen volledige toegang tot de terminal, het bestandssysteem, opgeslagen wachtwoorden en zelfs e-mail. Dat is alsof je een nieuwe medewerker op dag één de sleutel van elk kantoor, elke kluis en elke server geeft — zonder sollicitatiegesprek.

De platforms waar dit speelt zijn onder meer OpenClaw, Claude Code en Cursor. Dat zijn tools die steeds populairder worden bij ontwikkelteams, ook in het MKB.

Wat het onderzoek laat zien

Snyk, een gerespecteerd beveiligingsbedrijf, onderzocht in februari 2026 in totaal 3.984 skills van ClawHub en skills.sh — de belangrijkste marktplaatsen voor agent-skills. ClawHub kun je vergelijken met een app store, maar dan voor AI-assistenten.

De uitkomsten zijn wat mij betreft opvallend:

• 36,82% van alle skills (1.467 stuks) bevat minstens één beveiligingsfout.
• 13,4% (534 skills) heeft een kritieke kwetsbaarheid.
• 76 skills bevatten bewezen kwaadaardige code — denk aan het stelen van inloggegevens of het downloaden van malware.
• Op het moment van publicatie waren er nog 8 kwaadaardige skills gewoon beschikbaar op ClawHub.

Wat ik bijzonder vind: 91% van de kwaadaardige skills combineert twee aanvalstechnieken tegelijk. Ze gebruiken prompt-injectie (een techniek om de AI-agent te manipuleren zodat hij zijn eigen veiligheidsregels negeert) én traditionele malware (kwaadaardige software die daadwerkelijk iets uitvoert op je systeem). Die combinatie maakt ze effectiever dan klassieke softwareaanvallen.

Drie veelvoorkomende aanvalspatronen

1. Externe malware-distributie: De skill bevat een link naar een bestand dat de agent downloadt en uitvoert. Soms verpakt in een wachtwoord-beveiligd archief, zodat antivirussoftware het niet oppikt.
2. Verborgen data-exfiltratie: Via gecodeerde commando's worden wachtwoorden en API-sleutels uit configuratiebestanden gestolen en naar een externe server gestuurd.
3. Uitschakeling van beveiliging: De skill past systeeminstellingen aan of probeert de veiligheidsmechanismen van de AI-agent zelf te omzeilen.

Waarom dit een supply-chain-probleem is

Als je ooit hebt gehoord van supply-chain-aanvallen in software, dan herken je het patroon. Bij een supply-chain-aanval vergiftigt een aanvaller niet jouw systeem direct, maar een onderdeel dat jij vertrouwt — een bouwsteen, een bibliotheek, een plugin. Dat is precies wat hier gebeurt, maar met een extra dimensie.

Bij traditionele supply-chain-aanvallen — denk aan besmette npm- of PyPI-pakketten — bevat de kwaadaardige code programma-instructies. Een beveiligingsscanner kan die in principe herkennen. Bij agent-skills zit de aanval deels in natuurlijke taal: het zijn instructies die de AI-agent leest en interpreteert. Dat maakt detectie lastiger, want voor een scanner ziet het eruit als gewone tekst.

En de drempel om een skill te publiceren? Die is laag. Op ClawHub heb je alleen een GitHub-account nodig dat minstens een week oud is en een Markdown-bestand. Geen code-ondertekening, geen beveiligingsreview, geen sandbox. Vergelijk dat met een appstore waar je een app kunt plaatsen zonder enige controle — en die app heeft vervolgens toegang tot alles op de telefoon van de gebruiker.

De Cloud Security Alliance publiceerde in mei 2026 een apart onderzoek over dit fenomeen, specifiek over hoe SKILL.md-bestanden de context van een agent kunnen vergiftigen. Dat bevestigt dat dit niet het werk is van één onderzoeker met een theorie, maar een breder erkend risico.

Wat betekent dit voor een ondernemer?

Kun je je voorstellen dat je ontwikkelteam een AI-assistent gebruikt die keurig code schrijft, maar ondertussen stilletjes je API-sleutels naar een onbekende server stuurt? Dat is het scenario waar we het over hebben.

Nu denk je misschien: "Wij gebruiken zulke tools niet." Maar als je een extern bureau of freelancer inschakelt voor softwareontwikkeling, is de kans groot dat zij wél met AI-agents werken. Volgens meerdere bronnen worden tools als Cursor en Claude Code in 2026 breed ingezet door ontwikkelaars.

Een paar concrete vragen die je zou kunnen stellen:

• Aan je ontwikkelaar of IT-partner: Welke AI-agents en skills worden er gebruikt in ons project? Is er een lijst?
• Over het reviewproces: Wie controleert welke skills er worden geïnstalleerd? Is er een goedkeuringsproces?
• Over toegangsrechten: Hebben de AI-agents toegang tot productie-omgevingen, klantdata of API-sleutels?

Ik denk dat de meeste MKB-ondernemers hier eerlijk gezegd nog niet naar vragen. En dat is begrijpelijk — het is nieuw terrein. Maar het risico is reëel: als één skill toegang heeft tot je broncode en credentials, kan een aanvaller in theorie bij je klantgegevens, je betalingssysteem of je volledige infrastructuur.

Wordt het opgelost?

Dat is de vraag die mij het meest bezighoudt. Op dit moment zijn er geen standaard beveiligingsmechanismen voor agent-skills die breed zijn geïmplementeerd. Er is geen code-ondertekening, geen verplichte review, geen sandbox die voorkomt dat een skill bij je wachtwoorden kan.

Er zijn onderzoekers en organisaties die werken aan oplossingen — denk aan benchmarks om kwaadaardige skills automatisch te detecteren en frameworks voor risicobeoordeling. Maar de marktplaatsen zelf bewegen volgens de beschikbare bronnen nog langzaam.

Voor mij is dit vooral een signaal dat de beveiliging van AI-tools niet automatisch meegroeit met de adoptie ervan. We stappen als ondernemers steeds enthousiaster in AI-gestuurde ontwikkeling, en dat snap ik — de productiviteitswinst is echt. Maar het gesprek over beveiliging mag daar niet bij achterblijven. Het feit dat iemand via een simpel Markdown-bestandje een rekenmachine kan openen op je systeem is op zich onschuldig. Het punt is: als dat kan, kan er meer.

Bronnen: Snyk ToxicSkills-onderzoek (ClawHub), Cloud Security Alliance — SKILL.md Agent Context Poisoning, HiddenLayer — Malicious Skills in Agentic AI, Liran Tal op X