不需要恶意指令，也能污染 Agent Skill：SkillPoison 的三阶段渐进式攻击

2026 年 10 月发布的论文《SkillPoison》（arXiv 2610.07645）提出针对 Agent Skill 形成过程的渐进式投毒方法：不注入恶意指令，而是筛选通过成功验证的历史经验、附加成功归因信息并让目标行为跨任务重复，诱导 Agent 把局部有效的操作归纳为过度泛化的通用规则。论文在 HANS、PAWS、DS1000 数据集和 AutoSkill、Trace2Skill 两种框架上实验，Trace2Skill 在 PAWS 上准确率从 78.57% 降至 3.81%，攻击成功率 95.71%，为该特定设置下的最高值；PAWS+Trace2Skill 场景中成功经验从 5 条增至 15 条时，攻击成功率从 23.50% 升至 95.71%。