针对 LLM 编码 Agent 技能生态的供应链投毒攻击
Supply-Chain Poisoning Attacks Against LLM Coding Agent Skill Ecosystems
AI 导读
研究者提出 PoisonedSkills 框架，用文档驱动的隐式载荷执行（DDIPE）把恶意逻辑藏进技能文档的代码示例与配置模板，使编码 Agent 在常规任务中复现并执行这些载荷。该流水线把 81 个种子扩展为 1,070 个对抗技能，覆盖 15 个 MITRE ATT&CK 类别。在 Claude Code、OpenHands、Codex、Gemini CLI 四个框架和五个模型上，绕过率为 11.6%–33.5%，而显式指令注入在最强防御配置下为 0%；Claude Code 加 Sonnet 4.6 的直接执行率为 2.3%。静态分析可拦截 90.7% 的样本，2.5% 同时绕过静态检测与模型对齐。负责任披露带来 4 个已确认安全问题和 2 个已部署修复。
推荐理由
论文用 1,070 个对抗技能测试四款编码 Agent，给出绕过率与已确认漏洞，可据此评估技能生态的信任边界。