技能投毒进入 2.0：声明与执行解耦，良性请求直接驱动恶意动作

北京航空航天大学、百度和威尔弗里德·劳里埃大学的研究者 9 月 30 日在 arXiv 提交预印本，提出把技能投毒的借口与执行拆到上下游两个技能中，以绕过单技能审计。上游技能只往工作区文件写入伪装成元数据的持久化状态，下游技能保留完整恶意操作，读取该状态并判断前条件成立后执行。论文称整体攻击成功率在 DeepSeek-V4-Flash 上为 76.19%、GLM-5.3-Flash 51.23%、Claude-Sonnet-4.6 44.44%，任务完成率均为 100%；在未参与优化的 MiniMax-M3 与 GPT-5.5 上迁移成功率为 78.57% 至 96.88%，直接注入裸命令的基线为 0.00%。消融显示去掉下游解读后成功率降到 10.32%，跨生命周期场景为 95.31%、同一生命周期为 68.25%。