被投毒的技能：越狱通过 Agent Markdown 文件传播

研究者展示了一种通过 Agent Markdown 技能文件传播越狱的攻击，七款开源权重模型的平均攻击成功率从 0.5% 升至 45%，个别模型达 68.9%。实验构建了一个系统提示词由用户提供的 Markdown 文件组装的 LangChain 问答 Agent，载荷结合人设操纵与基于 GPTFUZZER 的攻击，并用 270 个跨九类危害的违禁问题评测。良性系统提示下模型几乎全部拒答，平均攻击成功率仅 0.5%；注入技能文件后升至 45%。两种混淆策略，基于零宽字符的隐形载荷与基于字素到音素转换的语音载荷，均未超过明文注入，语音变体反将平均成功率降到 30%。作者指出 Markdown 技能文件是尚未被充分研究的 Agent 攻击面，对配置型越狱的脆弱性更多取决于底层模型而非混淆技术。