攻击arXiv 2610.08098
CORSA：面向技能路由器的技能注入攻击可跨路由器与 LLM 迁移
提出 CORSA，按任务簇优化技能注入的检索与执行
- arXiv
- 2610.08098
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.4、DeepSeek-V4-Pro、Qwen3.8-27B 等5个
- 评测与基准arXiv 2609.35912
MMSkillRisk：多模态技能图像中的隐藏指令可诱导 Agent 执行未授权操作
提出 MMSkillRisk 基准，评测多模态技能图像中的隐藏指令诱导 Agent 越权操作
- arXiv
- 2609.35912
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.6-sol、Kimi-K2.6、Kimi-K3 等6个
摘要论文提出 MMSkillRisk 基准与 NCVA 攻击，揭示多模态技能中教学图像潜藏指令可引发未授权操作并与良性任务共存。
- 攻击arXiv 2609.18217
研究：跨通道碎片化攻击可绕过 MCP 单通道防御
提出跨通道分段攻击，利用 MCP 隐式信任外发敏感文件
- arXiv
- 2609.18217
- 发表
- 层
- 应用层
- 被测模型
- GPT-4o、GPT-4o-mini、GPT-5.4 等15个
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
- 攻击arXiv 2608.25776
EvoMal 攻击利用自我进化编码 Agent 的自我投毒实现蠕虫式传播
提出 EVOMAL，诱导自演化编码 Agent 在创建技能时自我投毒并蠕虫传播
- arXiv
- 2608.25776
- 发表
- 层
- 应用层
- 被测模型
- Devstral-Small-2、Gemma-4-31B-IT、Qwen3-Coder-Next 等7个
摘要论文指出了自演化智能体模仿检索代码的自我毒化漏洞，提出 EVOMAL 攻击与防御，阐明了供应链新风险。
- 攻击arXiv 2607.12340
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
提出技能名称抢注攻击，利用 Agent 虚构技能名实施供应链劫持
- arXiv
- 2607.12340
- 发表
- 层
- 应用层
- 被测模型
- GLM-4.5-Air、GPT-5.4-mini、Claude Sonnet 4.6 等12个
摘要研究证实智能体虚构技能名具有高发生率与可预测性，现有防御难以兼顾安全与效用，亟需注册表结构性防护。
本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。
- 攻击arXiv 2604.03081
针对 LLM 编码 Agent 技能生态的供应链投毒攻击
提出 PoisonedSkills，评测编码 Agent 技能生态的文档投毒
- arXiv
- 2604.03081
- 发表
- 层
- 应用层
- 被测模型
- Claude Sonnet 4.6、GLM-4.7、MiniMax-M2.5 等5个
摘要作者称技能文档可成为系统操作攻击入口，但结果只评估加载后的阶段。
PoisonedSkills 研究编码智能体的技能供应链投毒，重点是文档内容如何进入实际系统操作。。
- 攻击arXiv 2602.14211
SkillJect：为技能型 Agent 自动生成基于技能的提示注入
提出 SkillJect，自动生成投毒 skill 诱导代码 Agent 执行隐藏脚本
- arXiv
- 2602.14211
- 发表
- 层
- 应用层
- 被测模型
- Claude-4.6-Sonnet、GPT-5-mini、GLM-4.7 等10个
摘要SkillJect 用双通道和闭环精炼投毒 skill。
SkillJect 是针对可安装 agent skill 的自动化提示注入框架。作者要解决的是：公开或手工放入 skill 的恶意指令常常被拒绝或忽略，而 skill 一旦安装就会被反复当作可信指导加载。
已经到底了