HookPry：利用插件生命周期钩子更新劫持 AI Agent 框架
提出HOOKPRY，利用插件生命周期钩子更新劫持智能体框架执行命令
- 论文定位：该研究揭示了现代 AI 智能体框架在插件生命周期钩子更新路径上的信任失效，提出了首个跨框架自动化的生命周期钩子供应链攻击框架 HOOKPRY。
- 解决的问题：智能体框架将系统 Shell 命令绑定至运行时事件，且在框架底层独立派生子进程，绕过了大语言模型的推理闭环；框架在插件更新时继承既有信任，使攻击者可通过元数据和钩子配置更新静默植入并执行恶意命令。
- 方法要点：HOOKPRY 串联三项机制：对抗清单优化（AMO）利用多意图代理目标提升良性插件检索概率；时间解耦（TD）利用良性探针定位低验证高权限的信任边界并实施条件激活；最小公共接口（LCI）提取通用能力规范并编译为目标框架的原生钩子配置。
- 关键实验结果：
- 在 7 个框架与 5 个后端的 1,000 次端到端测试中，HOOKPRY 微平均 E2E-ASR 达到 77.0%，在 Hermes 上达到 92.5%，在 Claude Code 上为 52.5%（Table 2）。
- 在跨模型测试中，Codex CLI 的后端间标准差为 0.0 个百分点，Claude Code 为 2.5 个百分点，体现了事件触发后执行路径与模型的解耦特性（Figure 5）。
- 在 50 个目标对比中，HOOKPRY 原生钩子的 E2E-ASR 为 92.0%，显著高于转换后 MCP 描述投毒的 56.0%（单侧二项检验 p = 7.09×10⁻¹²，Table 4）。
- 在 40:40 静态测试中，Microsoft Defender 召回率为 0.0%，三款静态防御联合漏报率达到 47.5%（Table 6）。
- 作者结论与启示：作者指出，模型层的内容安全过滤无法触及推理流之外的钩子执行；智能体安全必须将插件更新审查、钩子独立重新授权、子进程最小特权分配与运行时监控纳入全链路防护。