Agent 技能安全资源精选（2026 年 11 月）

Adversa AI 发布 2026 年 11 月首期 Agent 技能安全资源汇编，收录 17 项资源，其中攻击技术 8 项、防御 4 项。汇编称 10 月研究的共同主线是组合风险，各自通过审查的技能链接后仍会触发违规，图分析在 13,598 个干净 ClawHub 技能中发现 612 种不安全组合。其中 OpenAI 官方 render-deploy 技能把私有 Render 服务指向未注册域名 render-internal.com，该域名被注册为 sinkhole 后生产应用向其发送了带 token 的调用，目前 Render 已清除引用并接管域名，OpenAI 已下架该插件。文末建议按集合审查已装技能、在关键操作前检查信息流与授权，并核实技能引用的每个域名归属。