供应链安全 · 论文

SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。

本文研究第三方LLM智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。

• 论文定位：本研究系统探讨了基于 SKILL.md 的 LLM 智能体中存在的非安全信任链问题，即第三方不可信 skill 内容可跨越信任边界并滥用用户委托权限。
• 核心问题：现存智能体框架自动将已安装 skill 注入执行上下文，但在从 skill 输入到敏感系统调用的传播路径上普遍缺乏内容过滤、来源跟踪与有效的执行层审批校验。
• 方法要点：提出 TrustProbe 框架，通过静态提取 1,566 条 source-to-sink 路径构建种子，结合语义评分与调用图距离反馈指导灰盒模糊测试，并利用金丝雀标记与双重 bug oracle 验证真实危害。
• 最重要的定量结果：在 11 个主流开源智能体上发现并证实了 104 个污点漏洞，ASR 达 100%；直接提示词重放仅能复现 31.7% 的漏洞；在 8 个开启最严格非交互审批的智能体中仍有 34.8%（31/89）的漏洞可被利用；对 633 个真实 skill 的测试中有 25.1% 触发漏洞路径，经微调有 15 个转化为完整攻击。
• 作者结论与启示：作者认为，必须将第三方 skill 内容视为智能体执行安全边界的一部分，未来框架需在底层引入全链路来源标记、安装期能力声明，并在共享执行点实施细粒度的路径与参数级控制。

PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。

论文提出了一种针对模型上下文协议（MCP）智能体的两阶段黑盒劫持框架 A2M。

• 问题背景：MCP 智能体自主从第三方服务匹配工具并信任执行返回，带来了语义元数据与输出载荷双重受控的供应链安全隐患，而现有攻击未能有效串联工具选择与调用后操纵。
• 方法核心：A2M 将攻击解耦为吸引与操纵两阶段；前期运用五类说服策略迭代工具名称与描述，筛选高调用率精英元数据；后期依托分析器-优化器架构，根据执行轨迹的结构化诊断反馈定向精炼返回载荷。
• 直接攻击结果：在 LiveMCPBench 上以 GLM-4.6 为目标模型，A2M 的平均恶意工具调用率达到 93.6%，C-DoS 加权 token 成本扩大至良性基线的 32.4 倍，IE、EIC 和 RD 的攻击成功率分别达到 65.9%、64.3% 和 92.9%（Table 1）。
• 迁移攻击结果：将 GLM-4.6 上优化的工具直接迁移至 Qwen3-Max、DeepSeek-V3.1、Kimi-K2-0905 和 GPT-5 四个模型，平均调用率为 63.6%，C-DoS 平均成本为 2.7 倍，三个场景平均攻击成功率为 24.5%（Table 1）。
• 高调用与成功断层：实验显示工具调用并不等同于攻击成功，如 GPT-5 在 64.9% 至 76.3% 的调用率下 IE 和 EIC 的成功率均为 0.0%（Table 1）；未成功攻击中载荷被忽略为主要失效原因（Table 8）。
• 防御与生态启示：评估显示困惑度检测与元数据释义难以完全阻断攻击，信息流控制虽能降低攻击成功率但仍存残余风险；作者呼吁 MCP 生态应建立更为严格的工具准入审查与运行时隔离机制。

论文针对大语言模型智能体使用多技能串联时的安全隐患，提出对抗性技能链构建框架APEX。

该论文系统研究并量化了通过共享持久工件在具有独立私有内存的 LLM 智能体之间发生自传播的“工件介导传播”攻击风险。

• 研究定位：该研究针对持久状态化 AI 智能体的检查点与回滚（C/R）机制，探讨了状态还原过程中的系统安全性。
• 核心问题：随着智能体运行周期延长，C/R 成为从故障中恢复的关键手段；但现有机制仅关注状态本身的正确恢复，忽略了跨越恢复边界的安全依赖，导致恢复后的执行可能进入历史中从未合法共存的状态。
• 方法要点：作者将现有 C/R 归纳为框架、工作区和 OS/VM 三类恢复边界，提出了包含多进程与外部世界的执行模型；形式化定义了执行连续性概念，提炼出内部覆盖不全（SF1）、内部状态不一致（SF2）、外部状态不匹配（SF3）、无约束非确定性重放（SF4）和未记录外部效应（SF5）五类故障模式；并设计了集收集、分析、检查与原生验证于一体的多智能体分析管线。
• 关键实证结果：
  1. 在 TerminalBench 与 AgentBench 的 1735 次执行中，SF1 和 SF4 最普遍，出现率分别达 67.2%（1166 次）与 67.7%（1174 次）；SF5 因评估任务多为本地操作仅占 2.3%（40 次）（据 Table II）。
  2. 针对系统级沙箱的 E2B 未观察到 SF1 与 SF2；而仅恢复工作区文件的 Hermes 和 Cline 暴露出大量 SF2 故障，在两基准上分别出现 240 次与 249 次（据 Table II）。
  3. 在包含 96 个持久外部动作的微基准中，调整执行与提交顺序均无法解决恢复鸿沟，先执行后提交与先提交后执行的失败率分别为 93.8%（90 次）和 96.9%（93 次）（据 Table IV）。
  4. 构建的 3 个真实端到端攻击与 30 个基于恶意 skill 的测试用例均攻击成功，且未被现有恶意 skill 检测工具拦截。
• 作者结论与启示：作者指出正确恢复检查点内容并不等同于安全的执行恢复，回滚极易破坏支撑安全决策的上下文与依赖关系；未来的智能体恢复机制必须将恢复视为跨组件的安全边界，通过显式状态绑定、事务一致性与幂等协调机制保障恢复安全性。

本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。

本文系统分析了真实世界 AI 智能体 Harness 上下文组装机制的安全性。

本文针对Google智能体支付协议AP2 v0.2展开了系统性安全分析，揭示了密码学签名在智能体前置操作上下文遭到篡改时的安全局限。

• 论文定位：该研究揭示了现代 AI 智能体框架在插件生命周期钩子更新路径上的信任失效，提出了首个跨框架自动化的生命周期钩子供应链攻击框架 HOOKPRY。
• 解决的问题：智能体框架将系统 Shell 命令绑定至运行时事件，且在框架底层独立派生子进程，绕过了大语言模型的推理闭环；框架在插件更新时继承既有信任，使攻击者可通过元数据和钩子配置更新静默植入并执行恶意命令。
• 方法要点：HOOKPRY 串联三项机制：对抗清单优化（AMO）利用多意图代理目标提升良性插件检索概率；时间解耦（TD）利用良性探针定位低验证高权限的信任边界并实施条件激活；最小公共接口（LCI）提取通用能力规范并编译为目标框架的原生钩子配置。
• 关键实验结果：
  • 在 7 个框架与 5 个后端的 1,000 次端到端测试中，HOOKPRY 微平均 E2E-ASR 达到 77.0%，在 Hermes 上达到 92.5%，在 Claude Code 上为 52.5%（Table 2）。
  • 在跨模型测试中，Codex CLI 的后端间标准差为 0.0 个百分点，Claude Code 为 2.5 个百分点，体现了事件触发后执行路径与模型的解耦特性（Figure 5）。
  • 在 50 个目标对比中，HOOKPRY 原生钩子的 E2E-ASR 为 92.0%，显著高于转换后 MCP 描述投毒的 56.0%（单侧二项检验 p = 7.09×10⁻¹²，Table 4）。
  • 在 40:40 静态测试中，Microsoft Defender 召回率为 0.0%，三款静态防御联合漏报率达到 47.5%（Table 6）。
• 作者结论与启示：作者指出，模型层的内容安全过滤无法触及推理流之外的钩子执行；智能体安全必须将插件更新审查、钩子独立重新授权、子进程最小特权分配与运行时监控纳入全链路防护。

• 定位：论文研究了计算机使用智能体（CUA）中由持久化工件自主生成引发的内部供应链安全风险。
• 核心问题：现代 CUA 依赖自主编写并复用技能等持久工件来扩展能力，若底层模型受到供应链攻陷，可能在良性任务中生成带潜伏载荷的自合成工件，使得恶意行为无需外部新输入即可在后续任务中跨步激活。
• 方法设计：提出 SYNCHAIN 框架，通过面向持久化的定向 SFT，将恶意逻辑潜伏编码在良性工件的结构冗余中；工件被纳入系统扩展状态后，通过状态转移实现严格的延迟激活。
• 核心实验发现：在 OpenClaw、Codex 和 Claude Code 三个框架下，SYNCHAIN 在 Chain-1 无防御设置下取得 97.78%–98.89% 的平均 ASR，在 GuardAgent 下仍保持 87.78%–93.33%；在 Chain-2 取得 72.59% 的平均 ASR，显著优于适配基线 SkillJect 和 DemonAgent。
• 传播边界与衰减：在更长任务链中，受上下文截断和记忆总结等信息瓶颈影响，Chain-4 与 Chain-5 的 ASR 分别回落至 6.67% 与 1.11%，表明跨任务传播存在天然的马尔可夫衰减边界。
• 作者结论与启示：作者认为，持久性改变了智能体的安全边界，传统的单步输入过滤和输出审查无法防御内部工件传递的风险，未来需构建结合工件签名、权限约束与执行轨迹审计的来源感知防御。

• 研究定位：论文针对代码推理大模型提出了一种利用上下文学习与模型不忠实性构建的推断期隐蔽后门攻击框架AKRASIA。
• 核心问题：现有大模型推断期后门多针对自然语言或数学推理，依赖显式文本触发器，不仅无法适应代码语法结构，且在暴露的思维链中容易被黑盒防御和人工审查察觉。
• 方法设计：AKRASIA首先通过小样本探查受害模型生成上下文相关的代码触发器（涵盖注释、死代码、语法、自适应和双模态）；随后构建包含正负ICL示例的投毒提示词；最后利用模型在推理过程中的不忠实性，指示模型隐藏触发器并生成支持错误输出的合理化虚假推理。
• 关键实验发现：实验覆盖6个主流推理模型与3个代码基准。在CodeMMLU代码补全任务中，AKRASIA在Gemini-3.5-flash上达到99.34%平均ASR（Table 5）；在LiveCodeBench代码生成任务中，AKRASIA-U在Gemini-3.5-flash上实现90.4%平均ASR和93.0%中毒ACC（Table 4）；在3种SOTA防御测试中，AKRASIA在14/18个设置中维持55.36%至98.82%的平均ASR（Table 6）；人工盲审中，高级攻击变体的推理被判定为合理的比例达到70%至80%，触发器检出率降至30%至40%（Figure 3）。
• 特例与失效分析：GPT-5.5在CodeMMLU上的AKRASIA-UR版本ASR降至4.08%（Table 5），但在基础版本和不忠实版本下仍有44.04%与59.51% ASR（Table 12），作者将其归因于模型内部特定护栏的作用；自然语言基线BadChain在代码任务上的ASR降为0.0000（Table 9）。
• 作者结论与启示：作者认为，思维链推理机制为攻击者提供了生成误导性解释的攻击面，当前的黑盒防御和人工检查难以有效应对具备合理化伪装能力的后门攻击，迫切需要针对推理模型的防御机制与更稳固的模型内置安全对齐。

• 核心定位与问题：针对模型分发供应链中世界模型易受攻击的问题，论文提出了一种通过污染上游世界模型以操控内部想象、进而对闭环智能体动作施加定向控制的后门攻击框架 TrojanWorld。
• 方法核心机制：在保持下游决策模块冻结的前提下，该方法由三项互补目标驱动：决策反射诱导将下游决策反馈映射为世界模型优化信号，迫使触发状态偏好目标动作；干净行为锚定保留无触发输入时的决策一致性；因果传播则利用移除后的观测历史维持诱导偏好。
• 物理触发与持续性：攻击以环境中无需交互的物理球体作为视觉触发器，仅在有限时间窗口内出现，通过潜空间中形成的决策偏好盆地在触发器消失后继续维持恶意动作。
• 关键定量结果：在 DMC、MetaWorld、MyoSuite 和 RoboDesk 基准上，攻击在 R2-Dreamer 上取得了低至 0.026 的动作偏差（Win-E），在 MyoSuite 上移除后偏差低至 0.014（Post-E）；在所有被测架构中均保留了至少 98.8% 的干净性能，并在部分设置下将任务破坏率（TDR）提升至 90.00% 或 100.00%。
• 防御抵御表现：面对微调剪枝（Fine-Pruning）、SHINE 与 Neural Cleanse 等适配防御，该攻击未能在保全干净效用的前提下被彻底清除。
• 作者结论与启示：作者认为，仅在决策或策略层评估智能体安全性并不充分，世界模型的内部预测过程同样属于系统信任边界的重要一环；攻击表明破坏预测核心即可有效控制整体系统行为，亟需建立端到端的安全评测与防御体系。