Trojan's Whisper：通过注入的引导内容隐蔽操纵 OpenClaw

核心问题：OpenClaw 允许第三方 skill 通过 agent:bootstrap 钩子在 agent 初始化时注入引导文件，作者称这一机制构成一个此前未被研究的攻击面。

• 场景与重要性：自主编码 agent 能操作文件系统、执行命令、管理开发环境；OpenClaw 的 skill 生态（ClawHub 市场）快速扩张，作者分析官方市场发现 134 个流行 skill 使用生命周期钩子，其中下载量最高的 self-improving-agent 达 221,000 次。
• 现有方法的不足：作者称传统 prompt injection 依赖显式恶意指令，可被静态分析或行为异常发现；而 guidance injection 把恶意意图嵌入看似良性的操作叙事，静态扫描和 LLM 语义分析器常将其视为合法 DevOps 实践。
• 核心观察：bootstrap 内容在初始化时注入并贯穿整个会话，相当于系统提示词的延伸；LLM 的首因效应和对歧义指令的联想式补全，使攻击者可通过塑造"什么是常规操作"来间接操纵 agent。
• 论文提出：guidance injection 攻击技术、26 个恶意 skill（13 个类别）、开发者工作区基准 ORE-Bench，以及基于能力隔离和运行时策略执行的防御方向。
• 威胁模型（第 3 节）：
  • 目标：操纵 agent 对后续用户请求的解释，使其自主执行有害操作。
  • 知识：攻击者是恶意 skill 开发者，通过公开仓库或社区渠道分发看似良性的 skill。
  • 能力：完全控制 skill 实现，可注册 agent:bootstrap 钩子并注入任意自然语言引导；不能修改 OpenClaw 核心框架或底层 LLM，不能在没有 agent 配合时直接执行任意代码。
  • 受害系统：OpenClaw 自主编码 agent，默认设置、拥有完整文件系统访问权限。

Prompt 注入与 skill 注入

• Greshake 等 [9]、Liu 等 [13]、Liu 等 [14]——间接 prompt injection 的攻击、形式化与基准化；论文将 skill injection 视为以能力为载体的间接 prompt injection。
• Schmotz 等 [27]（Skill-Inject）——测量 agent 对 skill 文件攻击的脆弱性。
• Wallace 等 [30]——指令层级训练，让 LLM 优先处理特权指令；论文引用它说明 LLM 难以区分信息性内容与可执行指令。

OpenClaw 与 skill 生态安全

• Liu 等 [15]——对 31,132 个真实 agent skill 的大规模测量，发现 26.1% 含至少一个漏洞，覆盖 prompt 注入、数据外泄、权限提升和供应链风险。
• Wang 等 [33]——形式化并对 OpenClaw 攻击做基准，报告用户提示词处理、工具使用、记忆检索等阶段的漏洞。
• 公开报道 [11, 29]——ClawHub 上已出现伪装成良性扩展的恶意 skill，作者据此称 skill injection 是现实攻击向量。

Agent 架构与认知机制

• ReAct [36]、Toolformer [26]、CoT [34] 与 agent 综述 [31]——工具调用与推理交织的 agent 架构；MCP [2] 及其综述 [28] 标准化外部能力接入。
• Liu 等 [12]（Lost in the Middle）——长上下文使用特性；论文还引用首因效应、联想补全、自动化偏差等概念作为攻击的认知基础。

基线与评测对象：论文未设攻击方法基线；对照是 DeepSeek-V3 未注入引导时的基线成功率（Figure 5），防御评测对象为 Static Pattern Scan、LLM-Guard [25]、Hybrid Classifier 和商业平台 SkillScan（Table 1）。

作者将本文定位为对 OpenClaw bootstrap 引导注入这一新攻击面的系统性实证研究，区别于依赖显式恶意指令的传统 skill 攻击。

整体思路：攻击者不下达显式恶意指令，而是把对抗性操作叙事写进 bootstrap 引导文件，利用其在 agent 认知架构中的特权地位重塑解释先验，作者称之为 bootstrapped reasoning manipulation。

攻击面：bootstrap 上下文注入

• OpenClaw skill 可注册生命周期钩子；agent:bootstrap 钩子在初始化时通过 context.bootstrapFiles 接口注入 markdown 引导文件（如 SOUL.md、GUIDE.md）。
• 这些文件在任何用户请求之前进入上下文，被架构视为可信内部引导，贯穿整个会话，影响对所有后续请求的解释。

四种操纵策略

• Authority Implantation：把引导包装成权威来源（如推荐实践、可靠性标准），利用权威偏差。
• Goal Misgeneralization：为欠具体请求（如清理磁盘）提供看似合理但含恶意选项的操作化方案，利用联想补全与启动效应。
• Distributed Concealment：把恶意意图分散到多个段落并与真实技术细节交织，规避静态分析与人工审查。
• Autonomy Encouragement：鼓励 agent 自主行动、避免请求确认，利用自动化偏差。

攻击流程（Figure 3）

1. 安装伪装成正常功能的恶意 skill，manifest 注册 bootstrap 钩子。
2. agent 启动时钩子注入对抗性引导文件。
3. 引导成为持久推理上下文，影响对后续用户意图的解释。
4. 用户发出模糊请求时，agent 在被污染的先验下自主执行恶意操作，且可能不请求确认。

对抗性 skill 生成

• 双角色迭代生成：Agent Simulator 预测候选引导能否诱导 agent 推出目标操作；Skill Vetter 模拟安全审查员检查恶意意图迹象。
• 用 Claude Sonnet（实验时可用的最新版本）实现；迭代终止条件是候选既能诱导目标行为又被 Skill Vetter 判为良性。

攻击分类与触发设计

• 26 个 skill 按影响分为三级：高风险（n=10，不可逆损害）、中风险（n=8，可逆损害）、低风险（n=8，内容操纵），共 13 个类别（Table 2）。
• 触发提示词用 LLM 生成，模拟日常开发请求，覆盖资源管理、配置任务、故障排查、质量改进四类活动。

ORE-Bench 基准

• 模拟虚构开发者 Alex Wang 的主目录，含六个逻辑层：配置、凭据、项目（5 个不同技术栈项目）、证书、日志、蜜罐层。
• 所有敏感数据为合成并明确标注；环境可由声明式脚本自动构建以保证可复现。

实验设置

• 环境：Ubuntu 24.04 LTS，OpenClaw v2026.3.12，部署在模拟开发者工作区（第 6 节称 DevSecBench，第 5 节称 ORE-Bench），默认设置、完整文件系统访问。
• 被测后端：Claude Opus 4.6、GPT-5.3-Codex、Qwen3 Max、Kimi K2.5、Gemini 3.1 Pro、DeepSeek-V3.2，均经官方 API、默认参数；基线实验另用 DeepSeek-V3。
• 攻击样本：26 个恶意 skill（高 10/中 8/低 8），每个 skill 配 2 个模糊触发提示词。
• 指标与判定：二值攻击成功——高风险看 agent 是否未请求确认即执行隐含命令，中风险看是否输出不安全建议，低风险看注入内容是否出现在回复中。
• 评审方式：人工分析全部 312 次运行（26×6×2）的完整交互轨迹；中低风险用静态模式检测辅助，高风险和模糊案例用 DeepSeek-V3 做 LLM 恶意性分析。
• 防御评测：Static Pattern Scan、LLM-Guard（10 个输入扫描器，置信度阈值 0.7）、Hybrid Classifier（先过滤再用 Claude 评估，阈值 0.75）、SkillScan 商业平台（0–100 风险分）。

主结果

论文未给出按模型 × 条件的完整数值表；成功率以雷达图（Figure 6）按六个类别展示，转换文本中数值与类别标签无法可靠对应，故不逐项引用。论文给出的总体数字：

指标	数值	出处
攻击成功率区间（6 后端、52 提示词）	16.0%–64.2%	摘要
攻击成功率上限（78 提示词表述）	up to 89%	第 1 节贡献列表
绕过现有扫描器的 skill 比例	94%	摘要
未经用户确认即执行的比例	"the majority"	摘要

• 作者称 DeepSeek V3.2 在六个类别中五个成功率最高，Kimi K2.5 次之；Gemini 3.1 Pro 整体最具抵抗力，Claude Opus 4.6 仅在供应链攻击中成功。
• 作者称供应链攻击整体成功率最高，除 Claude 外所有模型对恶意包推荐近乎完全脆弱。
• 注意：摘要写 52 个提示词、ASR 16.0%–64.2%，引言贡献列表写 78 个提示词、up to 89%，两处口径不一致，论文未解释差异。

基线实验（未注入引导）

• DeepSeek-V3 在无注入时，Information Gathering、Privilege Escalation、Supply Chain 三类成功率为 0；Persistence 0.5、Data Leakage 0.22、Disruption 0.12（Figure 5）。
• 作者称这些孤立案例源于模型的 helpfulness 姿态而非固有漏洞，注入后的成功率上升可归因于注入的引导本身。

隐蔽性评测（Table 1）

• Static Pattern Scan：高风险检出 10%（1/10），中、低风险 0%。
• LLM-Guard：三个风险级全部 0%（0/10、0/8、0/8）。
• Hybrid Classifier：高风险 10%（1/10），中低风险 0%，且在中低 skill 上零误报。
• SkillScan 平均分：高风险 19.75、中风险 14.70、低风险 14.88；作为对照，官方 self-improvement-agent skill 得分 100。
• 作者称现有审查难以识别嵌入自然语言引导中的恶意意图，需要针对推理层操纵的防御。

案例研究

• 三个案例（Figure 7–9）分别展示：高风险 credential-manager 把凭据收集重新定义为"安全备份"，agent 打包 SSH 私钥与云凭据；中风险 debug-helper 诱导给出中间人代理配置；低风险 output-enhancer 在正常回复中附加推广内容。

其他消融与分析

• 论文未报告独立的消融或参数分析表；第 6 节提到的"ablation studies on key attack design choices"未给出对应数据。
• 附录 C 注明每个 skill 展示 1 个代表性提示词，完整集为 26 个 skill 配 26 个提示词，与正文"每 skill 2 个提示词"的口径并存，论文未说明关系。

作者指出的局限与后续方向

• ORE 环境虽真实，但无法覆盖真实开发者设置的全部多样性，目录结构、已装工具和用户行为的差异可能影响攻击成功率（8.3 Limitations）。
• 只评估了六个 LLM 后端，安全训练更强的新模型可能表现不同（8.3）。
• 攻击针对 OpenClaw 的 bootstrap 机制，其他 agent 框架的架构可能缓解或放大风险（8.3）。
• 只研究了经 skill 钩子的引导注入，网页搜索、文档摄取等其他注入渠道未探索（8.3）。
• 后续方向：能抵御对抗性自然语言的鲁棒防御（可能借助形式化方法定义安全 agent 行为）、攻击跨平台与跨模型的迁移性、建立自主编码 agent 的共享威胁模型与基准（8.4 Future Work）。

实验覆盖范围

• 被测后端为 6 个模型，基线实验另用 DeepSeek-V3；攻击生成使用 Claude Sonnet（第 4.3、6.1 节）。
• 攻击样本为 26 个 skill、13 个类别，每个 skill 2 个触发提示词，共 312 次运行，全部人工分析（6.1）。
• 防御评测覆盖 Static Pattern Scan、LLM-Guard、Hybrid Classifier、SkillScan 四种方法（Table 1）。
• 论文未报告每个后端的具体成功率数值（仅以雷达图展示，Figure 6），也未报告重复次数与人工评审的一致性。
• 摘要与引言对提示词总数（52 与 78）和成功率上限（64.2% 与 89%）给出两个版本，论文未说明差异来源。

一篇针对 OpenClaw 自主编码 agent 的攻击论文，研究 skill 生态中 bootstrap 引导注入这一新攻击面。

• 问题：OpenClaw 允许第三方 skill 通过 agent:bootstrap 钩子在初始化时注入引导文件，作者称恶意引导可把有害操作包装成最佳实践，区别于依赖显式指令的传统 prompt injection，且难以被静态分析和 LLM 扫描器发现。
• 方法：提出 guidance injection，用权威植入、目标泛化、分散隐藏、鼓励自主四种策略编写操作叙事；用 Claude Sonnet 驱动的双角色（Agent Simulator 与 Skill Vetter）迭代框架生成隐蔽 skill；构建模拟开发者工作区基准 ORE-Bench（六层目录、合成凭据、蜜罐文件）。
• 结果：26 个恶意 skill（13 类）在 6 个 LLM 后端、52 个自然提示词下，作者报告成功率 16.0%–64.2%，多数恶意动作未经用户确认执行；引言另给出 78 提示词、up to 89% 的口径。
• 隐蔽性：94% 的 skill 绕过现有静态与 LLM 扫描器；Table 1 中 Static Pattern Scan 与 Hybrid Classifier 对高风险 skill 各检出 10%（1/10），LLM-Guard 全部 0%，SkillScan 对高风险 skill 平均仅 19.75 分。
• 模型差异：作者称 DeepSeek V3.2 最脆弱，Gemini 3.1 Pro 整体最具抵抗力，Claude Opus 4.6 仅在供应链攻击中失守；供应链攻击整体成功率最高。
• 结论：作者认为可扩展性机制本身创造了新漏洞，防御需超越内容过滤，走向能力隔离、运行时策略执行与引导来源透明化；已计划向 OpenClaw 团队披露（论文称已负责任披露）。