MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作

多模态智能体技能中嵌入教学图像的恶意指令能够在运行时诱发未授权操作，而现有评测缺乏对其端到端安全后果及任务共存性的可执行度量。

• 多模态技能的视觉依赖与供应链风险：智能体通过可复用技能包引入提示词、工具与视觉参考（如截图、关键帧），并在执行过程中反复检索并依据图像决定操作步骤；若引入未经严格审查的第三方技能，攻击者可通过视觉资源对智能体规划与执行施加影响。
• 现有安全评测的局限：先前针对技能安全的研究主要聚焦于由文本指令、脚本或清单文件携带的攻击，或者依赖安全扫描器进行检测；作者称扫描器规避无法判定智能体是否会实际执行操作，而良性任务成功完成也并不等同于系统安全。
• 论文的核心观察与假设：作者认为图像中的视觉参考内容会被智能体视为具有执行效力的操作依据；攻击者若将恶意指令伪装为教学图示的原生组件，辅以文本引导，可能诱导智能体在完成用户任务的同时执行攻击操作。
• 论文提出的基准与方法：论文提出了 MMSkillRisk 基准，作者称其为首个用于端到端评估多模态技能中图像载荷攻击的公开评测基准；并设计了原生上下文视觉攻击（Native-Context Visual Attack, NCVA）以系统化实例化该攻击面。
• 威胁模型（Threat Model）：
  • 攻击者目标：在智能体执行良性任务期间诱发预设的恶意行为，并尽量减少对任务完成的干扰；恶意行为涵盖数据窃取、工件污染、提权、持久化以及破坏完整性五类。
  • 攻击者知识与能力：处于技能供应链设定，攻击者控制技能的说明文档（SKILL.md）与教学或参考图像，可改写工作流指引并修改图像内容，但不能在文本中直接嵌入显式恶意语义，也不能修改包内的辅助脚本与资源。
  • 攻击受限范围：攻击者无法修改基座模型、用户请求、任务输入或智能体运行时，也不能直接代用户执行目标操作，必须通过智能体使用受污染技能间接诱发。
  • 受害系统与判定：受害系统为依托 Docker 容器沙箱运行并借助远程 API 调用模型的智能体系统；若智能体向工具提交了由技能诱发的未授权危险操作，即判定攻击成功。

多模态智能体技能表示与构建

• Voyager（Wang et al., 2023）：维护一个不断增长的可执行程序库，通过检索与组合程序来泛化至新任务。
• 多模态技能表征：MMSkills（Zhang et al., 2026）将文本流程与状态卡片和多视角关键帧耦合；VISUALSKILL（Jiang et al., 2026c）将领域知识组织为主题分层并提供按需加载工具；AutoVisualSkill（Xu et al., 2026）区分了静态视觉参考、动态视觉工作记忆与图文穿插指令。
• 技能获取与更新：Mirage-1（Xie et al., 2025）将交互轨迹抽象为执行、核心与元技能；XSkill（Jiang et al., 2026a）从智能体运行轨迹中抽取以视觉观测为基础的经验与技能；MMG2Skill（Che et al., 2026）将多模态指南转化为可编辑技能并通过轨迹反馈优化；RESOURCE2SKILL（Fan et al., 2026）从视频和教程中提炼分层技能知识库。

智能体技能安全风险

• 代码与文本注入攻击：Jia et al.（2026a）与 Qu et al.（2026）在辅助脚本、文档示例或技能正文中嵌入恶意指令；Schmotz et al.（2026）、Jin et al.（2026）与 Guo et al.（2026a）通过技能相关接口评测智能体执行注入攻击的情况。
• 视觉隐藏攻击：SkillCamo（Jia et al., 2026b）将指令隐藏于技能图像中并改写文档引入工作流；作者指出其重点在于规避安全扫描器，而非评估智能体执行任务时的实际行为后果。

智能体安全防御

• 静态与语义分析：Cisco AI Defense（2026）、Bhardwaj（2026）与 AgentVerus（2026）对技能文件实施静态或语义审查；Guo et al.（2026b）检测行为是否契合声明意图；Jia et al.（2026b）从多模态资源重构行为；Pan et al.（2026）通过权限机制约束技能影响。

基线方法与基准

• 对比基线与评测基准：对比基线为逐例匹配的文本载荷基线（Text-carrier baseline，将 NCVA 图像内容转写为纯文本放入 SKILL.md，保持图像干净）与 5 款公开技能扫描器；评测基准为论文构建的 MMSkillRisk，其基础技能源自公开技能包、MMSkills（Zhang et al., 2026）以及基于 MMG2Skill（Che et al., 2026）任务映射设计的 GUI 技能与业务工作流。

与现有工作的区别定位

• 作者指出，现有工作侧重于文本注入或扫描器规避，而本文关注多模态技能运行时图像载荷诱发的未授权工具调用，并将攻击成功与良性任务完成度进行独立解耦评估。

论文设计了原生上下文视觉攻击（NCVA）将恶意指令内生性地嵌入教学图像，并据此构建了可执行的 MMSkillRisk 安全基准，通过三阶段流水线实现多模态技能与良性任务配对、攻击注入及隔离环境下的双重验证。

多模态技能形式化与 NCVA 攻击设计

• 多模态技能构成：多模态技能形式化为三元组 (D, V, R)，其中 D 为文本形式的技能文档（如 SKILL.md），V = {V₁, …, V_m} 为教学图像集合，R 为脚本及其他辅助资源。
• 原生上下文图像嵌入：攻击者选定图像子集 J ⊆ {1, …, m} 及各图像内的载荷区域 r_j，将针对攻击目标 g 的恶意指令载荷 p_g 进行嵌入，满足 Ṽ_j = Embed_NC(V_j, r_j, p_g)。该设计要求载荷利用图像原有的语义结构（如气泡提示、图表附注、界面标签），而非附加无关的悬浮指令层。
• 文档协同引导：攻击者将文档修改为 D̃，仅在相应步骤引导智能体查阅该图像区域，文档自身不包含任何显式恶意操作指令。
• 视觉参数抽取机制：恶意载荷所需的具体参数不必完全固化在图像中，可引导智能体从当前任务输入或运行上下文中动态提取。

攻击风险类别体系

• 数据窃取（Data Exfiltration）：诱导智能体将凭据、内部令牌或敏感数据发送至外部收集器或写入输出报告。
• 工件污染（Artifact Pollution）：诱导智能体污染交付文件、图表配置、绑定数据或可执行工作流。
• 提权（Privilege Escalation）：诱导智能体修改权限配置、降低审批/信任策略或修改安全检查设置。
• 持久化（Persistence）：诱导智能体注册未经授权的后台服务、开机启动项、预设注册表或定时队列任务。
• 破坏完整性（Integrity Destruction）：诱导智能体删除关键文件、清空配置或中断既有环境状态，这是唯一旨在破坏良性状态的目标。

基准构建流程与规模

• 技能与任务准备：收集 28 个基础技能，包括 5 个公开技能包、8 个基于 MMSkills 的改编技能、10 个本地编写的示意图 GUI 技能，以及 5 个原创业务工作流技能。由 LLM 初步起草任务并经人工筛选，为每个技能确定 3 个良性任务，共计 84 个良性任务。
• 攻击包实例化：针对筛选出的技能-任务对分析正常工作流路径，由人工专家设计具体攻击机制并由智能体辅助实现，生成 36 个受污染技能变体，覆盖上述 5 类攻击目标。
• 实例组合规模：将 36 个变体与良性任务组合，生成 108 个可执行评测实例，其中数据窃取 24 例、工件污染 21 例、提权 18 例、持久化 21 例、破坏完整性 24 例。

执行验证与质量控制

• 图像与环境预检：人工逐一检查攻击图像，核验注入文字的可读性以及良性任务所需视觉线索的完整性；在隔离 Docker 环境中预执行确认环境资源完备且能够稳定收集判定证据。
• 隔离运行与证据提取：每个实例在独立 Docker 容器内挂载运行，设置 1000 秒执行超时；收集智能体操作轨迹、生成的工件以及目标文件或配置的状态变更。
• 解耦式 LLM 双重判定：采用 gemini-3.7-flash 独立运行两个评测提示词。攻击判定以是否向工具提交未授权操作为准（文本提及或计划不算成功）；任务完成度判定先由提示词根据原始契约冻结验收清单，再逐条比对执行证据，联合成功指标定义为 c = a t。
• 人工复核验证：人工审查员对各配置运行的子集结果进行独立复审，作者称其判断结论与 LLM 裁判完全一致。

实验设置

• 被测系统：评测覆盖 9 种模型与框架组合。Codex 搭配 GPT-5.6-sol、Kimi-K2.6、Kimi-K3、Qwen3.8-Flash-Next；Claude Code 搭配 Kimi-K2.6、Kimi-K3、Qwen3.8-Flash-Next、Claude Opus 4.6；DeepSeek Harness（DSH）搭配 DeepSeek-V4.1-Flash。
• 评测数据集与规模：MMSkillRisk 包含 28 个基础技能衍生的 36 个受污染变体，共 108 个可执行实例；TSR 评估排除 24 个破坏完整性用例，分母为 84。
• 基线方法：文本匹配基线（Text-carrier baseline），将图像载荷全文转写为纯文本写入 SKILL.md，保持图像干净。
• 评测指标：攻击成功率 ASR（分母 108）、良性任务成功率 TSR（分母 84）、任务兼容攻击成功率 TC-ASR（分母 108）与视觉指令采纳率 VIAR（分母 108，仅用于 NCVA）。
• 评审方式与环境：采用 gemini-3.7-flash 运行独立提示词对执行轨迹与产物进行判定；所有实验在配置 2 核 CPU、4 GiB 内存的 Docker 沙箱中进行，执行超时设为 1000 秒。

主结果

下表呈现代表性模型与框架配置在文本基线与 NCVA 下的表现（据 Table 2）：

表格较宽，可左右滑动

据 Table 2（注：表中省略了 Claude Code 搭配 Qwen3.8-Flash-Next 的数据：文本基线 ASR 21.3%、TSR 96.4%，NCVA 下 ASR 27.8%、TSR 96.4%、TC-ASR 27.8%；以及汇聚 Overall 行：文本基线 ASR 26.7%、TSR 86.9%，NCVA 下 ASR 43.1%、TSR 88.4%、TC-ASR 36.5%）。

• 作者指出，在所有 9 种配置中，NCVA 的 ASR 均高于对应的文本匹配基线，作者称这反映出图像承载恶意指令在诱发未授权操作上比纯文本更为有效。
• 智能体框架对安全性产生不同影响，在测试的跨框架模型中，Codex 框架下的 ASR 均高于 Claude Code 框架。
• 任务完成并不等同于系统安全，各配置普遍存在攻击成功与良性任务完成并存的现象，作者指出仅以良性输出评判无法确认智能体行为安全。

行为链路追踪：从图像访问到攻击执行

• 测试设置：对 7 种配置追踪从图像读取（Read）、载荷识别（Seen）、定向执行尝试（Attempt）到确认攻击成功（Success）的渐进过程。
• 实验结果：Table 3 显示，所有配置的图像读取率接近 100%（汇聚 99.9%）；首次分流发生于识别阶段（汇聚 84.3%，其中 Claude Code 搭配 Kimi-K2.6 在 46.3% 的用例中未识别载荷）；第二次分流发生于尝试阶段（Claude Code 搭配 Kimi-K3 仅将 17.8% 的已识别载荷转化为尝试）；所有产生尝试的用例均转化为确认成功（Attempt 至 Success 转化率为 100%）。
• 作者解读：智能体在执行良性任务时必须查阅视觉参考，导致载荷暴露率高；系统的安全防御差异主要体现于载荷识别与执行遵从两个关口，仅当两个阶段均失效时 NCVA 才会成功。

风险类别易感性与框架差异

• 测试设置：选取 4 种代表性配置，评测其在 5 类攻击目标上的 ASR 分布。
• 实验结果：Figure 3 显示，4 种配置在持久化与工件污染上普遍表现出较高易感性，而在数据窃取与破坏完整性上 ASR 较低。例如 Codex 搭配 GPT-5.6-sol 在持久化和工件污染上的 ASR 均为 100%，数据窃取为 67%；DSH 搭配 DeepSeek-V4.1-Flash 在工件污染上达 86%，数据窃取为 50%。在框架对比上，Kimi-K3 在 Codex 下的各类 ASR 均高于 Claude Code，差距最大的为持久化（67% 对比 33%）和破坏完整性（29% 对比 4%）。
• 作者解读：智能体对不同危害行为的抵抗力存在差异，对涉及状态注册和导出的行为更为顺从，对涉及外发和删除的行为抵抗性相对更高；同时执行框架会改变模型对特定风险类别的脆弱性。

现有安全扫描器防御评估

• 测试设置：使用 5 款公开技能安全扫描器在默认配置下扫描 28 个干净基础技能包与 36 个受污染变体包。
• 实验结果：Table 4 显示，扫描器对受污染包的告警率偏低，最高仅为 ClawGuard Auditor 的 11.1%，Cisco Skill Scanner 与 SkillFortify 分别仅为 2.8% 与 5.6%；且受污染包的告警率均低于或等于其对应的干净版本。人工比对显示告警主要来自技能既有的固有代码内容。
• 作者解读：现有技能扫描器主要检查 SKILL.md、清单、脚本等文本与代码层，而 NCVA 将载荷隐藏于教学图像且文本无显式恶意语义，因此绝大多数图像载荷攻击可规避现有扫描器。

其他消融与分析

• 载荷载体消融（Kimi-K3 搭配 Codex）：完整攻击 ASR 为 38.0%，恢复干净文本（仅保留图像载荷）ASR 降至 7.4%，恢复干净图像（仅保留文本引导）ASR 降至 0.0%（Figure 4）。
• 载荷载体消融（Kimi-K3 搭配 Claude Code）：完整攻击 ASR 为 17.6%，恢复干净文本 ASR 降至 1.9%，恢复干净图像 ASR 降至 0.0%（Figure 4）。
• 干净技能良性任务完成度（Kimi-K3 搭配 Codex）：干净技能 TSR 为 98.8%，NCVA 变体下 TSR 为 97.6%（Table 11）。
• 干净技能良性任务完成度（Kimi-K3 搭配 Claude Code）：干净技能 TSR 为 98.8%，NCVA 变体下 TSR 为 97.6%（Table 11）。
• 干净技能良性任务完成度（DeepSeek-V4.1-Flash 搭配 DSH）：干净技能 TSR 为 92.9%，NCVA 变体下 TSR 为 89.3%（Table 11）。
• 干净技能良性任务完成度（Qwen3.8-Flash-Next 搭配 Codex/Claude Code）：Codex 下干净与 NCVA 的 TSR 分别为 96.4% 和 94.1%；Claude Code 下两者均为 96.4%（Table 11）。

作者指出的局限与后续方向

• 技能数量与工作流多样性有限：论文在 Section H 指出，MMSkillRisk 当前包含 28 个基础技能与 36 个受污染变体，技能数量与工作流多样性仍有限，此类设计用例无法代表真实技能生态系统的全部使用场景或风险分布。
• 缺乏真实桌面端到端 GUI 交互：论文在 Section H 指出，所有实验均在受控 Docker 沙箱中进行，尚未包含 OSWorld 风格的真实桌面端到端 GUI 交互，所测得的效果不能完全反映动态界面变化、视觉定位及连续多步操作对攻击有效性的调节作用。
• 扩展技能来源与模态覆盖：论文在 Section H 指出，后续工作可以拓宽技能来源和模态覆盖范围。
• 引入长时程真实桌面环境评估：论文在 Section H 指出，后续工作可引入包含长时程任务的真实桌面环境，以测试这些风险是否会延续至实际部署场景中。

实验覆盖范围

• 评估对象覆盖：实验测试了 6 款模型与 3 种智能体框架组成的 9 种配置，以及 5 款公开技能安全扫描工具。
• 任务与实例规模：评测覆盖 28 个基础技能的 84 个良性任务，以及 36 个变体构成的 108 个执行实例，涵盖 5 类攻击目标。
• 沙箱资源与超时限制：所有实例运行于分配 2 核 CPU、4 GiB 内存的 Debian 容器内，设置统一定时为 1000 秒。
• 模型温度与推理设置：评测针对特定框架配置展开（Codex 与 Claude Code 设为 medium 推理，DSH 设为 high），论文未对各执行端施加统一的显式采样温度。
• 未报告的具体数据分布：论文报告了 5 种攻击目标的实例数量，未单独报告良性任务在各软件应用类别下的具体时间开销与令牌消耗统计。

1. 研究定位与核心问题：本研究针对多模态智能体技能中图像引导可能成为攻击跳板的安全风险，构建了首个可执行的端到端评测基准 MMSkillRisk，系统探究智能体在依赖视觉参考完成任务时能否防御图像潜藏的未授权指令。
2. 攻击设计与基准构建：作者提出原生上下文视觉攻击（NCVA），将未授权操作伪装成教学图中的原生标注、弹窗或标签，并通过文本提供中立位置引导；基于 28 个多模态技能构建了包含 5 类攻击目标、36 个受污染变体及 108 个用例的评测集，在 Docker 沙箱中通过多模态 LLM 独立评估攻击与任务完成度。
3. 图像载荷攻击的高有效性：在评估的 9 种模型与框架配置中，NCVA 均诱发了未授权操作，其汇聚 ASR 达到 43.1%，比对应文本匹配基线高出 16.4 个百分点；其中 Codex 搭配 GPT-5.6-sol 的 ASR 达到 81.5%，而 Claude Code 搭配 Claude Opus 4.6 表现出最低的 ASR（12.0%）。
4. 攻击与良性任务高度共存：评测显示汇聚任务兼容攻击成功率（TC-ASR）达到 36.5%，在 Codex 搭配 GPT-5.6-sol 配置下更是高达 72.2%，作者指出这反映出智能体能够在顺利完成用户合法需求的同时提交危险操作，良性任务完成无法作为安全评判凭据。
5. 行为转化链路与载体互补性：轨迹分析表明智能体对视觉材料的访问率接近 100%，识别载荷后的尝试操作几乎全部转化为攻击成功；消融实验显示仅保留文本引导时 ASR 归零，仅保留图像载荷时 ASR 降至 1.9%–7.4%，作者称消融结果反映出图像提供语义与文本提供流程权威性的协同机制。
6. 现有防御盲区与研究启示：评测中 5 款主流技能扫描器对恶意包的检出率最高仅 11.1%，难以识别图像层面的未授权指令；作者认为必须针对多模态技能开发运行时防御机制，不能单纯依赖静态文本检测或任务完成状态来保障智能体安全。