ElasticBack：通过触发词与规则耦合在 LLM Agent 技能中植入条件后门

如何在单个 agent skill 中植入 weight-free 的条件后门，使 payload 仅在攻击者控制的 trigger 出现时执行，良性查询上保持休眠。

• 场景：skill 由 Skill.md 和脚本等资源组成，智能体凭短描述判断匹配后读取全文并执行。作者称技能被公开且几乎原样采用，因而被隐式信任，单个被投毒 skill 会持续影响每个安装者。Liu et al. 2026 审计 3,984 个社区技能，13.4% 带有论文所称 severe security issues。
• 现有不足：SkillJect 与 Skill-Inject 在 Skill.md 中放入始终生效的指令，Sleeper 在普通良性查询上醒来。BadSkill 要捆绑微调模型，SkillTrojan 把 payload 分到多个 skill。作者称因此做不到既隐蔽又低成本的条件后门。
• 核心观察：分开写的规则容易匹配良性请求，泛化的 trigger 又不能稳定满足规则；只检查静态文本或良性查询的防御会放过休眠规则。
• 本文提出：ElasticBack 用 trigger-as-switch 绑定 Skill.md 中的规则 R 与查询中的 trigger T，payload 仅在二者同时出现时执行。作者称据其所知，这是首个条件式单 skill 后门。
• 威胁模型
  • 目标：在一个 skill 中放入条件、weight-free 后门。payload 用于外泄秘密、执行未授权代码或改结果；只在攻击者控制的 trigger 下激活，其余时候行为正常。
  • 知识：gray-box。离线有 skill 公开文本，并可黑盒查询本地 surrogate LLM，且不必与受害者同族。部署时把受害者当 black box，不能观察其查询。
  • 能力：篡改并发布该 skill。完全控制位置 pR 上的规则 R、良性封面名下的脚本 s，以及经 skill 管辖通道注入的自然短语 T；通道包括示例提示或 tool/RAG 输出。不能访问权重、embedding 或 system prompt，不能改 harness 和工具权限，不能看在线查询。
  • 受害系统：原样安装该 skill 的 LLM agent。工件需通过困惑度筛选、LLM-judge 审计和运行时行为监控。

引言和 §2 把讨论分成技能供应链、经典后门、技能工件攻击和部署时防御。

智能体技能

• Anthropic 2025b 把 skill 规定为 Skill.md 加可选脚本、模板或数据；Claude Code、Codex CLI、Gemini CLI 按需加载。
• 论文称智能体只凭短描述判断是否匹配，匹配后读取全文并执行，技能常被几乎原样采用（Liu et al. 2026）。
• 引言用同一审计作背景：3,984 个社区技能中，13.4% 带有论文所称 severe security issues。

经典后门与运行时通道

• 图像、图和 LLM 后门通过污染训练数据或参数，使 trigger 产生指定输出、干净输入保持正常。论文称技能发布者没有权重或训练数据，这类方法不适用。
• 间接提示注入（Shi et al. 2025）、记忆或知识库投毒 AgentPoison（Chen et al. 2024）和 sleeper 攻击（Li et al. 2026c）不改骨干权重。论文称它们或只在当次交互生效，或在普通查询上醒来，而不是由可共享工件上的选择性 trigger 触发。

技能工件攻击

• Skill-Inject（Qu et al. 2026）、SkillJect（Jia et al. 2026a）和 instruction-level backdoor（Zhang et al. 2024）在每次使用时触发，而不是选择性 trigger。
• BadSkill（Tie et al. 2026）要微调并捆绑一个模型；SkillTrojan（Feng et al. 2026）把加密 payload 分片到多个 skill。论文称二者成本更高。

防御与实验基线

• 静态检查包括困惑度筛选（Shu et al. 2023）和 LLM judging（Zheng et al. 2023），运行时行为测试见 Luo et al. 2026。论文称它们能抓住显式 payload，但会漏过休眠的条件规则。
• 基线方法：Unconditional Injection（SkillJect 变体）、Handcrafted Conditional、Instruction-Backdoor；防御基线即上述三类检测器。基准/数据集：从 ClawHub 整理的技能，每种目标行为 50 个。

作者的定位是：此前没有同时做到 weight-free、条件触发、且只改一个 skill 的后门；作者称 ElasticBack 据其所知是首个条件式单 skill 后门。

ElasticBack 在单个 skill 中捆绑固定 payload s，用 payload 的 gate words 把文档侧规则 R 和查询侧 trigger T 做成 trigger-as-switch：先生成并冻结 R，再只演化 T。

设定与成功标准

• 干净文档为 D，受害智能体为 A。对手选择 R、插入位置 pR 和 T，得到插入 R 并捆绑脚本 s 的文档。
• Fire(q) 表示 A 在查询 q 上执行 s，Solve(q) 表示完成良性任务。Q+ 为触发查询分布，Q− 为良性查询分布。
• 攻击要提高 Q+ 上的 ASR，压低 Q− 上的 FPR 和良性解决率下降 ΔCAC。论文还要求 R 融入 Skill.md、T 读起来自然。

语义锚定的规则注入

• 定位：只用结构和位置线索为 D 建显著性图，得到低显著候选及局部上下文。封面场景按与技能核心词的 SBERT 最大成对余弦选取，再用该场景文本暂代尚未写好的 R 给位置打分。pR 取与上下文相合、且显著性低的加权最大者。论文称这样 R 像所在章节的正常能力。
• 门控词：从 payload 词表中取与技能核心距离大于阈值的词，默认 θ_g = 0.60。写成 G={w∈ W_pay:sim(w,D_core)<θ_g}，sim 为 SBERT 余弦。G 既是规则条件中的 Marker，也锚定后续 trigger。
• 成文：骨架是条件成立则调用 s 并给出技能原有交付物，否则走正常流程。LLM 只填条件和调用目的，并受三项约束：条件用字面匹配动词、Marker 至少含一个 gate word、条件与动作不共享内容词。祈使、收尾和负范围子句由程序拼接。论文称 gate word 只经 T 进入请求，故条件只在 trigger 下成立，ASR 与 FPR 可以分开处理。
• 定稿：润色时保留 gate word。T 尚未演化，行为探测用由条件派生的临时 trigger，并在良性查询上计误触发。保留激活与误触发边际最大的候选后冻结。

语料驱动的 trigger 演化

• 语料：搜索池含原文和同意图改写，用于演化和探测；主池只有原文，最终指标不用合成输入。论文称这是为避免报告数字被合成查询抬高。
• C-HGA：在 AutoDAN 的遗传搜索上改为条件激活和双侧隐蔽。种群锚在 G 及其良性影子 token（如同义词、缩写），而不是技能自身的词。行为 oracle 检查智能体是否调用 s。适应度为 F(T)=α[ASR̂(T)+λ Stealth(T)−Π(T)]。Stealth 是流畅与领域相似、T 与条件的 SBERT 余弦、以及依存附着分的加权和，权重和为 1。ASR 估计达到饱和阈值后降低 α、提高 λ。论文称适应度不含显式 FPR 或 ΔCAC，因为 R 已冻结，良性查询又不带 trigger，这两项几乎不随 T 变。
• 搜索与部署：锦标赛选择后交叉，每个后代至多一次变异；轮盘保留不变异份额。变异后若丢失 gate 概念则回滚。定期注入新个体，最优个体跨代保留。部署前把候选修成仍含 gate word 的名词短语。对 top-K 重测，取 LCB 最高者；LCB 为 ASR 均值减去 k 倍标准差。论文未给出 K 和 k。最后把 R 放在 pR，s 以封面名打包，T 写入 skill 管辖通道，运行时进入用户查询。

论文给出的默认值

• 在留出开发集上设定 α = 3.0、λ = 1.5，隐蔽权重 ws = 0.40、wr = 0.35、wd = 0.25，θ_g = 0.60，ASR 饱和阈值 0.8。最终评测 temperature 为 0。

实验设置

• 平台与模型：受害平台为 Claude Code。四个骨干为 GLM-5.2、MiniMax-M3、GPT-5.4、Claude-Sonnet-4.6。默认 surrogate 为 GLM-5.2，离线生成 R 和 T 后再迁移；另以 MiniMax-M3 作 surrogate。论文未写明填规则、改写查询和 LLM-as-Judge 的模型名。
• 数据：从 ClawHub 整理，覆盖软件工程、内容生成、数据分析等领域。每种目标行为 50 个技能，各含 Skill.md、配套资源和少量域内示例查询。
• 行为：InfoDisc、MalInject、OutManip，各由封面名下的脚本实现，并由共同优化的 R 和 T 激活。
• 基线：Unconditional Injection（SkillJect 变体）、Handcrafted Conditional、Instruction-Backdoor。防御为 PPL Detection、LLM-as-Judge Audit、Behavioral Monitoring。
• 指标：ASR 是触发查询中执行 payload 的比例；FPR 是良性查询中 payload 执行的比例；ΔCAC 是良性任务准确率下降。规避率是防御未能拦住的攻击比例。隐蔽性报 Cos-Sim、MMD、Saliency。ASR 由行为 oracle 看是否调用 s；论文未写明 Solve 的判定模型。
• 协议：temperature 0。每技能 1 条触发查询测 ASR，1 条良性查询测 FPR 与 CAC。解码确定，故 n=50 的单次运行决定报告率。论文未报告重复次数或统计检验。

主结果

下表只列 Table 1 中 ElasticBack 的一部分。攻击在 GLM-5.2 surrogate 上生成。省略 GLM-5.2 与 MiniMax-M3 的 MalInject、OutManip，以及 GPT-5.4 的 OutManip；这些格子见 Table 1。

| 受害模型 | 行为 | ASR | FPR | ΔCAC | | GLM-5.2（亦为 surrogate） | InfoDisc | 98.0% | 0.0% | 0.0% | | MiniMax-M3 | InfoDisc | 96.0% | 0.0% | 0.0% | | GPT-5.4 | InfoDisc | 94.0% | 0.0% | 0.0% | | GPT-5.4 | MalInject | 82.0% | 2.0% | 0.0% | | Claude-Sonnet-4.6 | InfoDisc | 72.0% | 24.0% | 12.0% | | Claude-Sonnet-4.6 | MalInject | 74.0% | 20.0% | 8.0% | | Claude-Sonnet-4.6 | OutManip | 76.0% | 24.0% | 6.0% |

• 作者称只看高 ASR 不够：三种基线 ASR 有竞争力，但在 FPR 或 ΔCAC 上失败；并称 ElasticBack 是唯一同时守住三项的方法。作者给出的 12 组平均为 ASR 89%、FPR 6%、ΔCAC 3%；ΔCAC 在 7 组为 0，且不超过 12%。这 12 组含上表省略格，也含 surrogate 兼受害模型的行。
• 作者称无条件注入没有 trigger，FPR 平均 81%；Claude 受害模型上 MalInject 的始终执行命令被拒绝，ASR 为 10.0%（Table 1）。手工条件规则的 FPR 为 36% 到 84%。Instruction-Backdoor 的 FPR 最高 86%，ΔCAC 最高 34%。
• 摘要写 near-zero FPR。上表 Claude-Sonnet-4.6 三行的 FPR 与 ΔCAC 高于同表其他 ElasticBack 行，不能把 12 组平均读成每个受害模型都是 0。

隐蔽性与防御规避

• Table 2 在 GLM-5.2 上测三种行为：Cos-Sim 为 0.966、0.943、0.945；MMD 为 0.0019、0.0043、0.0043；Saliency 为 0.408、0.400、0.409。表题写 (%)，表内是这些小数。作者称 Cos-Sim 约 0.95；MMD 约为干净对照 0.032 到 0.033 的 6% 到 14%；插入位置注意力约 0.40，候选最大 0.66。
• Table 3 的规避率在 GLM-5.2 上，顺序为 InfoDisc、MalInject、OutManip。PPL 为 82.0%、86.0%、86.0%；LLM-as-Judge 为 78.0%、54.0%、74.0%；行为监控为 100.0%、98.0%、98.0%。作者称 PPL 规避 82–86%，行为监控规避 98–100%。
• 作者称 MalInject 的 LLM-judge 规避率 54% 是例外，因为注入外部 URL 的指令更难伪装。该表的受害模型就是默认 surrogate。

跨 surrogate 与跨任务

• Figure 3 把 surrogate 换成 MiniMax-M3，再部署到 GLM-5.2 与 MiniMax-M3。作者称 ASR 为 86.0% 到 100.0%，FPR 不超过 4.0%，并称 FPR 不超过一条良性查询。作者称不依赖特定 surrogate，同族部署也可执行。文本中的 ASR 标注含 86.0、92.0、94.0、92.0、100.0、98.0，FPR 标注含 4.0、2.0 和多个 0.0；转换后无法把每根柱对应到具体模型。
• Figure 4 固定毒化 skill，在 GLM-5.2 上用 20 条 LLM 生成的同技能任务指令。作者称三种行为的跨任务 ASR 为 76.6–83.2%，源任务为 96–98%；FPR 为 12.4–15.8%，源任务至多 2%。作者称规则和 trigger 没有过拟合一条指令，但 gate 按源任务标定，所以 FPR 升高；ASR 仍高于 FPR。

规则形式与组件

• Table 4 在 GLM-5.2、InfoDisc 上改形式。作者称条件式用来分开激活和误触发：祈使句 ASR 96.0%、FPR 92.0%、ΔCAC 10.0%；陈述句 ASR 58.0%、FPR 36.0%、ΔCAC 6.0%。
• 作者称 R 固定时，gate word 越不显眼 ASR 越低：名词短语 98.0%，介词短语 92.0%（FPR 6.0%、ΔCAC 0.0%），副词 80.0%（FPR 14.0%、ΔCAC 2.0%）。98.0%、0.0%、0.0% 与 ElasticBack 行相同。
• Table 5 同设置：去掉句法约束后 ASR 80.0%、FPR 42.0%、ΔCAC 8.0%，作者称条件退回技能自身词汇。去掉探测与 skip 子句后 FPR 6.0%、ΔCAC 4.0%；作者称 gate word 仍限制激活。去掉语料扩充后 ASR 86.0%，去掉 LCB 后 ASR 94.0%，二者 FPR 为 0.0%；完整方法为 98.0%、0.0%、0.0%。

其他消融与分析

• Figure 5（四种受害模型，InfoDisc）：作者称 ASR 在 θ_g = 0.6 单峰；非 Claude 的 FPR 在 0.6 之前为 0.0%，超过后至多 14.0%；Claude-Sonnet-4.6 更高，至多 32.0%。
• Figure 6（GLM-5.2，InfoDisc）：作者称 α 到 3 后，各 λ 上 ASR 为 94.0%–100.0%；FPR 在 α = 5、λ = 0.5 时为 12.0%。作者称 α = 3.0、λ = 1.5 是稳健配置。
• 成本：作者称方法 weight-free，代价是对 surrogate 的离线查询；GLM-5.2 上 C-HGA 在 3–5 代内收敛，发布后运行时成本为零。论文未报告查询次数。

作者指出的局限与后续方向

• Conclusion & Discussion 写：后续将探索更强的执行层防御，如脚本沙箱和能力门控，用以针对 LLM agent skills 中的隐蔽条件后门。作者计划做这件事，不是已经完成。
• 论文没有单独的 Limitations 节，也没有把 Table 1 中 Claude 行的 FPR、跨任务 FPR 升高写成方法局限。伦理句只说明实验在沙箱中使用清洗后的良性 payload、未部署有害攻击、并计划负责任披露，这里不把它算作局限。

实验覆盖范围

• 受害平台为 Claude Code，骨干为 GLM-5.2、MiniMax-M3、GPT-5.4、Claude-Sonnet-4.6（§5.1）。
• 三种目标行为各 50 个 ClawHub 技能；每技能 1 条触发查询和 1 条良性查询，temperature 0，单次运行（§5.1）。
• 默认 surrogate 为 GLM-5.2；Figure 3 另用 MiniMax-M3 作 surrogate，部署到 GLM-5.2 与 MiniMax-M3。
• 防御规避率报告在 GLM-5.2（Table 3）。跨任务评测在该模型上，每种行为 20 条 LLM 生成指令（Figure 4）。
• 论文未报告 C-HGA 的查询次数、LCB 的 k 与 top-K、LLM-as-Judge 的模型名，以及重复次数或统计检验（§4.3、§5.1、Table 3）。

ElasticBack 是放在 LLM agent 单个 skill 里的条件后门攻击。

• 技能被原样安装并默认信任后，一次投毒会跟着安装者扩散。已有攻击或者每次请求都开火，或者要微调权重、拆到多个 skill。作者要的是 weight-free、只改一个 skill、并且只在攻击者 trigger 下执行的后门。
• 文档侧写入条件规则，查询侧放入自然 trigger，两边用 payload 独有的 gate words 对齐。规则经行为探测后冻结，trigger 由 C-HGA 在流畅、与规则对齐和语法约束下演化，经 skill 管辖通道进入查询。
• 主实验在 Claude Code 上，受害模型为 GLM-5.2、MiniMax-M3、GPT-5.4、Claude-Sonnet-4.6，三种行为各 50 个 ClawHub 技能，默认 surrogate 是 GLM-5.2。Table 1 中，GPT-5.4 的 InfoDisc 为 ASR 94.0%、FPR 0.0%、ΔCAC 0.0%；Claude-Sonnet-4.6 的 InfoDisc 为 ASR 72.0%、FPR 24.0%、ΔCAC 12.0%。
• 作者称 12 组平均 ASR 89%、FPR 6%、ΔCAC 3%。Table 3 在 GLM-5.2（即该 surrogate）上，作者把行为监控规避率写为 98–100%；MalInject 的 LLM-as-Judge 规避率为 54.0%。
• 固定毒化 skill、换 20 条任务指令后，作者称 GLM-5.2 上 ASR 为 76.6–83.2%，FPR 为 12.4–15.8%（Figure 4）。
• 作者的结论是：在文中技能和四种模型上，该方法优于所列基线，并维持正常任务表现。摘要中的 near-zero FPR 与 Table 1 的 Claude-Sonnet-4.6 行并不一致。作者计划下一步研究脚本沙箱和能力门控。