Skill maliciosa é um pacote de instruções para IA que, sob a aparência de fazer uma tarefa útil, direciona a ferramenta a executar código, acessar arquivos ou enviar dados de um jeito que não corresponde ao que promete. Ela existe porque skill não é texto colado: é um pacote que roda no seu ambiente, com o seu acesso, e pode executar código. A régua de segurança, portanto, é a mesma do anexo de e-mail desconhecido — e o mercado de "compre esta skill" está nascendo agora.
Este é um texto curto e preventivo. O tema ainda não tem caso brasileiro nomeado, e é exatamente por isso que vale escrever antes. Eu não sou advogado — sou de tecnologia, com mais de dez anos no mercado jurídico — e vi essa pergunta aparecer em sala antes de aparecer na imprensa.
O que é uma skill (em uma frase, para quem chegou agora)
Skill é uma pasta de instruções, exemplos e recursos que a IA carrega sozinha quando a tarefa pede — a definição completa e o método para criar a sua estão em skills de IA no Direito. O que importa aqui é uma característica dela: a pasta pode conter código executável, e a IA roda esse código no ambiente em que você a instalou, com as permissões que você deu.
É isso que torna a skill poderosa. E é isso que a torna um vetor.
Por que uma skill pode ser perigosa (nas palavras de quem a criou)
A Anthropic, que criou o padrão, dedica uma seção da documentação à segurança, e ela é direta: use skills apenas de fontes confiáveis — as que você mesmo criou ou obteve da própria Anthropic. Skills dão ao Claude novas capacidades por meio de instruções e código, "o que também significa que uma skill maliciosa pode direcionar o Claude a invocar ferramentas ou executar código de maneiras que não correspondem ao propósito declarado" (Anthropic, Agent Skills — Security considerations).
A mesma página lista os riscos, que traduzo para o escritório:
Risco (documentação) | O que significa na banca |
|---|---|
Uso indevido de ferramentas | A skill pode acionar operações de arquivo, comandos e execução de código de forma nociva |
Exposição de dados | Skill com acesso a dado sensível pode ser desenhada para vazar informação a sistemas externos |
Fontes externas | Skill que busca conteúdo em URLs pode receber instruções maliciosas embutidas — e uma skill confiável pode ser comprometida se a dependência externa mudar |
"Trate como instalar software" | Cuidado redobrado ao integrar skills em sistemas com dado sensível ou operações críticas |
A recomendação oficial para skill de origem desconhecida: auditar todos os arquivos — o arquivo principal, os scripts, as imagens, os recursos — procurando chamadas de rede inesperadas, acesso a arquivos fora do escopo e operações que não batem com o propósito declarado.
A régua do anexo de e-mail
A régua que uso em sala cabe numa frase: skill de origem desconhecida se trata exatamente como anexo de e-mail desconhecido. Todo escritório já tem esse reflexo para o .exe que chega por e-mail; falta estender o reflexo para a skill que chega por link.
Na prática, quatro perguntas antes de instalar qualquer coisa:
Quem fez? Fonte identificada, com nome e histórico, ou perfil anônimo que apareceu há duas semanas?
O que ela pede de acesso? Skill de revisão de contestação não precisa de acesso à internet nem ao seu e-mail. Se pede, a pergunta é por quê.
Tem código dentro? Se tem, alguém que entende de tecnologia abre o código antes. Não é paranoia — é o mesmo critério do TI para software.
O que acontece se ela for o que não diz ser? Se a resposta envolve dado de cliente, o risco é do escritório inteiro, não de quem instalou.
Na dúvida, não instala. E na dúvida com dado de cliente no mesmo ambiente, não instala de jeito nenhum.
O mercado que está nascendo (e o golpe que vem com ele)
Com o padrão de skills crescendo, vai aparecer — já está aparecendo — o "compre esta skill jurídica": pacotes vendidos por link, prometendo a petição perfeita ou a revisão infalível. Alguns serão legítimos. Outros vão ser o equivalente do site de download de software pirata dos anos 2000: a promessa é o produto, o pacote é outra coisa.
Três sinais de alerta que valem para qualquer oferta:
Promessa de resultado jurídico ("ganhe a causa", "jurisprudência garantida") — além de ferir a ética, ninguém sério promete isso.
Instalação que pede permissão ampla para uma tarefa estreita.
Origem sem rosto — sem nome, sem escritório, sem histórico verificável.
O mesmo raciocínio que já aplicamos ao prompt injection — instrução escondida num documento que a IA lê — vale aqui com um agravante: no prompt injection, a instrução maliciosa entra pelo conteúdo; na skill maliciosa, ela entra pela ferramenta, com permissão para agir.
A regra de governança que resolve
Skill pessoal, cada um instala por conta própria — no ambiente pessoal, sem dado de cliente. Skill do escritório passa por aprovação antes de entrar no plugin do time, do mesmo jeito que modelo de peça passa por revisão antes de ir para o repositório. Quem responde pela área aprova o conteúdo; quem responde pela tecnologia olha o código. Não é burocracia: é a única forma de a skill compartilhada ser vantagem de padrão em vez de vulnerabilidade compartilhada.
Vale somar a regra dos dois ambientes que tratamos no guia de segurança e confidencialidade: o ambiente em que você testa skill nova não é o ambiente em que mora o processo do cliente.
