SkillPoison 利用成功经验污染智能体技能库
一篇关于吉林大学团队研究的报道介绍了 SkillPoison：这种攻击不向 AI 智能体的技能库注入恶意指令，而是筛选经过验证的成功经验、添加归因注释，再跨任务类别反复投喂，诱导技能提取器泛化一条局部有效的规则并丢失适用条件。实验覆盖三个数据集、两个技能形成框架和一个受害模型，攻击预算为 15 条成功经验。报告中的最高攻击成功率为 95.71%；在相应实验中，任务准确率从 78.57% 降至 3.81%。论文未测试经过精细控制的低速攻击，在更强模型或更复杂商业技能管线上的表现仍不清楚。
报告表明，内容验证和词法检查未能阻止实验中测试的攻击，因此追踪经验来源并完整保存适用条件是重要防护方向。该攻击要求攻击者能够影响进入技能形成集的经验，因而在共享智能体或技能环境中更为相关；研究尚未证明其在封闭、由单一所有者运行的系统中具有可行性。
💡 一句话总结：吉林大学团队的 SkillPoison（arXiv 2610.07645）展示了一种新的 Agent 技能库投毒方式——不注入任何恶意内容，每条投喂经验都任务正确、验证通过、词法干净，只是精心挑选+注释，就能让技能提取器自己「悟」出一条坏规则，攻击成功率最高 95.71%。
你的 Agent 正在写自己的「武功秘籍」
先说背景。现在的 Agent 圈有个很热的方向：自进化。
Agent 干完活会把成功经验存下来，蒸馏成一条条可复用的「技能」（skill）——类似把「这次我怎么改好了这个 bug」抽象成「遇到这类 bug 该怎么改」的攻略。下次遇到类似任务，直接翻攻略，不用重新推理。Claude Code 的 skills、各家 Memory 系统、Agent Workflow Memory，走的都是这个路子。
好处显而易见：越用越快、越用越省 token。
但你想过一个安全问题吗——这些攻略是谁写的？
#SkillPoison#Jilin University#Trace2Skill#AutoSkill#DeepSeek-V4-Flash