💬 NLP

SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents

Dit artikel introduceert SkillBloat, een tweefasig framework dat vertrouwde kanalen voor skill-injectie in LLM-coderingsagenten exploiteert om significante token-amplificatie (5,4x–10,1x) te bereiken, wat een duidelijke economische dreiging van misbruik van middelen onthult die orthogonaal staat aan traditionele beveiligingsaanvallen.

Oorspronkelijke auteurs: Yuanjin Zheng, Jingbang Chen

Gepubliceerd 2026-08-25

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Yuanjin Zheng, Jingbang Chen

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

In het moderne landschap van kunstmatige intelligentie zijn grote taalmodellen geëvolueerd van eenvoudige tekstgeneratoren naar autonome agenten die in staat zijn tot complexe redeneringen en acties. Deze digitale assistenten kunnen code lezen, commando's uitvoeren en softwareprojecten beheren, waarbij ze vaak vertrouwen op een systeem van "vaardigheden" (skills) om hun mogelijkheden uit te breiden. Beschouw deze vaardigheden als modulaire instructiehandleidingen of gereedschapskisten die een agent kan downloaden en kan vertrouwen om hem te helpen bij het oplossen van specifieke problemen. Net zoals een mens een gespecialiseerde gids kan raadplegen om een auto te repareren of een financieel rapport te analyseren, laadt een AI-agent deze digitale gidsen om te begrijpen hoe hij een taak moet aanpakken. Dit ecosysteem van gedeelde vaardigheden heeft agenten krachtiger en veelzijdiger gemaakt, maar heeft ook een nieuw soort kwetsbaarheid gecreëerd. Omdat deze agenten deze gidsen behandelen als vertrouwde instructies, zou een kwaadwillende actor potentieel schadelijke commando's kunnen verbergen in een ogenschijnlijk nuttige handleiding, waardoor de agent wordt misleid om iets te doen wat hij niet had mogen doen.

Onderzoekers maken zich al lang zorgen over het feit dat deze agenten kunnen worden misleid om gegevens te stelen of systemen binnen te dringen, maar een nieuwe studie onthult een andere, stillere dreiging die zich richt op de portemonnee in plaats van op de beveiligingskluis. De onderzoekers, Yuanjin Zheng en Jingbang Chen, onderzochten een fenomeen dat zij "token-amplificatie" noemen. In de wereld van AI kost elk woord dat het model leest en schrijft geld, gemeten in eenheden die tokens worden genoemd. Het team ontdekte dat een kwaadaardige vaardigheid zo vervaardigd kan worden dat de agent wordt gedwongen veel meer werk te verrichten dan nodig is om een eenvoudige taak te voltooien, waardoor de kosten van de operatie worden opgeblazen zonder het uiteindelijke resultaat te veranderen. Het is een vorm van economisch misbruik waarbij de agent wordt verleid om rondjes te rennen, zijn werk herhaaldelijk te controleren of overmatige rapporten te genereren, terwijl het lijkt alsof de functie volkomen normaal verloopt.

Om te begrijpen hoe dit werkt, bouwden de onderzoekers een framework dat zij SkillBloat noemden. Ze begonnen met een bibliotheek van vijftien verschillende manieren om een agent te misleiden om middelen te verspillen. Deze methoden omvatten instructies die de agent dwongen om overmatig lange rapporten te schrijven, onnodige kwaliteitscontroles uit te voeren of fouten te simuleren die de agent dwongen zijn werk opnieuw te doen. De onderzoekers testten deze trucs vervolgens tegen echte programmeeragenten, specifiek die gebouwd door grote technologiebedrijven. Ze ontdekten dat het simpelweg selecteren van het juiste type truc de hoeveelheid werk die een agent verrichtte met gemiddeld vijf tot tien keer kon verhogen. In sommige extreme gevallen werd een enkele taak die normaal gesproken slechts enkele centen kostte om uit te voeren, opgedreven tot een kostprijs van meer dan vijf dollar, simpelweg omdat de agent een vergiftigde instructiehandleiding volgde die hem opdroeg om excessief grondig te zijn.

De studie stopte niet bij het vinden van één effectieve truc. De onderzoekers ontwikkelden een tweestaps-proces om hun aanvallen te verfijnen. Eerst screenden ze hun bibliotheek met trucs om te vinden welke het beste werkte voor een specifieke agent en taak. Zodra ze de meest effectieve methode hadden geïdentificeerd, gebruikten ze een tweede kunstmatige intelligentie om het volledige vaardigheidsdocument te herschrijven en de instructies te polijsten om het verspillende gedrag nog overtuigender te maken. Deze tweede stap stelde de aanval in staat om zich aan te passen aan de specifieke eigenaardigheden van de doel-agent, waardoor de extra arbeid eruitzag als een natuurlijk onderdeel van de workflow. De resultaten waren opmerkelijk: de verfijnde aanvallen presteerden consequent beter dan de initiële trucs, waardoor het gemiddelde resourceverbruik nog verder werd opgedreven. In één gedetailleerd voorbeeld werd een agent die een meditatieverslag analyseerde, misleid om een reeks complexe verificatiestappen en bestandswijzigingen uit te voeren die het tokengebruik met meer dan zesentwintig keer verhoogden, terwijl de oorspronkelijke opdracht om de logboekgegevens te categoriseren succesvol werd voltooid.

Wat deze ontdekking bijzonder zorgwekkend maakt, is dat de agenten niet faalden; ze slaagden in hun taken. De kwaadwillende instructies waren ontworpen om de schijn van normale werking te bewaren terwijl ze in het geheim de kosten opdreven. De onderzoekers testten of deze vergiftigde vaardigheden werkten over verschillende taken heen of dat ze alleen effectief waren voor het specifieke probleem waarvoor ze waren ontworpen. Ze ontdekten dat de vaardigheden zeer draagbaar waren; een vaardigheid die werd vervaardigd om middelen te verspillen op één type project, werkte vaak net zo goed op volkomen andere projecten. Dit suggereert dat een enkele kwaadwillende vaardigheid breed verspreid kan worden en aanzienlijke financiële schade kan veroorzaken bij veel verschillende gebruikers en applicaties. De studie merkte ook op dat lichtere, snellere versies van de AI-modellen vaak kwetsbaarder waren voor deze aanvallen dan hun krachtigere tegenhangers, aangezien de sterkere modellen beter leken te zijn in het herkennen en negeren van redundante instructies.

De onderzoekers benadrukken dat deze dreiging verschillend is van traditionele beveiligingsaanvallen. Waar eerdere studies zich richtten op hoe agenten kunnen worden misleid om geheimen te lekken of ongeautoriseerde code uit te voeren, belicht dit werk een kwetsbaarheid in het economische model van AI-diensten. De aanval vereist niet dat de agent zijn regels breekt of zijn beveiliging in gevaar brengt; het exploiteert simpelweg het verlangen van de agent om grondig en behulpzaam te zijn. Door instructies in te bedden die excessieve verificatie, herhaalde pogingen en uitgebreide rapportage aanmoedigen, kan een aanvaller middelen uitputten zonder de veiligheidsalarmen te triggeren die normaal gesproken kwaadaardig gedrag onderscheppen. De bevindingen suggereren dat naarmate AI-agenten meer geïntegreerd raken in ons digitale leven, het beschermen van hen meer zal vereisen dan alleen het blokkeren van slechte actoren; het zal ook nieuwe manieren vereisen om te detecteren wanneer een agent wordt gemanipuleerd om onnodig werk te verrichten. De studie concludeert dat het ecosysteem van agent-vaardigheden, hoewel het een krachtig hulpmiddel is voor innovatie, momenteel een praktisch en gevaarlijk aanvalsoppervlak blootlegt dat gemakkelijk te exploiteren en moeilijk te verdedigen is.

Technische Samenvatting: SkillBloat

Probleemstelling

Het paper behandelt een nieuw dreigingsvector in Large Language Model (LLM) coding agents: Token Amplificatie via Skill Injection. Terwijl bestaand onderzoek naar agent-skills (modulaire instructiepakketten zoals SKILL.md) zich richt op beveiligingsrisico's zoals datalekken, privilege escalatie en backdoor-injectie, identificeert dit werk een afzonderlijke klasse van dreiging: economisch hulpbronnenmisbruik.

In moderne coding agent-ecosystemen (bijv. Anthropic's Agent Skills, Gemini CLI) worden skills behandeld als hoog-geprivilegieerde, vertrouwde capaciteitsuitbreidingen. Een kwaadwillende actor kan een "vergiftigde" skill ontwerpen die, hoewel deze de legitieme taak van de gebruiker lijkt te voltooien, de agent dwingt om aanzienlijk meer tokens te verbruiken dan nodig is. Dit resulteert in disproportionele economische kosten voor de gebruiker of serviceprovider zonder traditionele beveiligingsdetectoren te triggeren die zijn ontworpen voor data-exfiltratie of systeemcompromis. De kernuitdaging ligt in de moeilijkheid om onderscheid te maken tussen legitieme, uitgebreide instructies en kwaadwillige amplificatie-directieven, aangezien skills met een hoog vertrouwen worden geladen.

Methodologie: Het SkillBloat Framework

De auteurs stellen SkillBloat voor, een tweefasig framework dat is ontworpen om token-amplificatie-aanvallen via skill injection systematisch te ontdekken en te optimaliseren. Het framework opereert onder een dreigingsmodel waarbij een aanvaller de inhoud van een skill-document en de bijbehorende scripts controleert.

Fase 1: Attack-Type Screening

De eerste fase omvat het screenen van een bibliotheek van diverse aanvalstype-condities ( $Z = \{z_1, ..., z_K\}$ ) om de meest effectieve amplificatiemechanisme voor een specifieke skill-taak-combinatie te identificeren.

Attack Library: De auteurs instantiëren 15 verschillende aanvalsvoorwaarden gericht op drie amplificatiemechanismen:
1. Output Inflation: Het induceren van verbose rapportages, multi-perspectief analyse of fijnmazige decompositie.
2. Tool-Driven Amplification: Het afdwingen van multi-stage pipelines, herhaalde kwaliteitscontrole (QA) loops, file read-write-verify cycli, of error retry mechanismen.
3. Context Amplification: Het opblazen van de werkcontext met referentiemateriaal of monotoon groeiende samenvattingen.
Tool-Fusion Attack Agent: Voor elke conditie herschrijft een gespecialiseerde LLM (de Attack Agent) het volledige SKILL.md document. Het integreert hulp-toolscripts als standaard setup-, analyse- of verificatiestappen, waardoor de aanval de oorspronkelijke taakintentie behoudt terwijl de amplificatie-logica wordt ingebed.
Selectie: Het systeem voert de doel-agent uit met elke herschreven skill en selecteert de conditie ( $z^*$ ) die de hoogste amplificatieverhouding oplevert ( $R_{total} = C_{adv} / C_{base}$ ).

Fase 2: LLM-Guided Iteratieve Verfijning

De tweede fase verfijnt de sterkste kandidaat uit Fase 1 door middel van een iteratieve feedbackloop.

Proces: Beginnend met de winnaar van Fase 1, voert de Attack Agent $N$ verfijningsiteraties uit. In elke iteratie herschrijft de agent het volledige skill-document op basis van gestructureerde feedback van de vorige executie-trace.
Feedback Mechanisme: Een Failure Analyzer diagnosticeert de uitkomst (bijv. lage amplificatie, taalfalen, weigering door de agent) en biedt specifieke feedback. De system prompt van de Attack Agent wordt aangepast op basis van deze diagnoses om de herschrijfstrategie aan te passen (bijv. de integratie met de workflow aanscherpen als deze genegeerd wordt, of de bewoording verzachten als de agent weigert).
Doel: Deze loop stelt de aanval in staat om zich aan te passen aan de specifieke gedragspatronen van de doel-agent, waarbij geoptimaliseerd wordt voor maximaal tokenverbruik met behoud van taakvoltooiing.

Belangrijkste Bijdragen

Eerste Systematische Studie: Het paper presenteert de eerste systematische onderzoek naar token-amplificatie-aanvallen via skill injection, waarbij het wordt gecategoriseerd als een dreiging die orthogonaal is aan traditionele beveiligingsgerichte skill-poisoning.
Tweefasige Pipeline: De auteurs stellen een en gevalideerd een pipeline voor die brede aanvalstype-screening combineert met iteratieve, LLM-gestuurde volledige document-herschrijving.
Empirische Evaluatie: Het framework wordt geëvalueerd op een real-world benchmark van coding-agent skills en taakprompts over meerdere agent frontends (Claude Code, OpenAI Codex CLI) en backend modellen.

Experimentele Resultaten

De evaluatie werd uitgevoerd op een benchmark die real-world skills bevat binnen software engineering, wetenschappelijke computing en dataverwerking. De studie testte tegen Claude Code (gebruikmakend van GLM-4.7-Flash en glm-5) en OpenAI Codex (gebruikmakend van gpt-5.4-mini en gpt-5.5).

Amplificatie Grootte: SkillBloat bereikte een gemiddelde beste amplificatie variërend van 5.4184× tot 10.1455× over verschillende configuraties.
- De maximale enkele taak-amplificatie die werd waargenomen was 75.86× (Codex met gpt-5.4-mini).
- Een specifieke case study op de "consciousness-principles" taak toonde een toename van 38.410 tokens naar 1.013.561 tokens (26.39×), wat de geschatte kosten verhoogde van $0.21 naar $5.41.
Taakvoltooiing: Cruciaal is dat de aanvallen de taakvoltooiing behielden. In veel configuraties was het voltooiingspercentage van de aangevallen runs vergelijkbaar met of zelfs hoger dan de benigne baseline (bijv. de Codex gpt-5.4-mini verbeterde van 86% naar 92% voltooiing onder de aanval).
Model Kwetsbaarheid: Lichtere backend modellen (bijv. GLM-4.7-Flash, gpt-5.4-mini) bleken kwetsbaarder dan hun sterkere tegenhangers, waarschijnlijk omdat sterkere modellen beter zijn in het comprimeren van redundante instructies of het weerstaan van letterlijke naleving van geïnjecteerde validatie-loops.
Ablatie Studie: De studie bevestigde dat Fase 2 (iteratieve verfijning) significante waarde biedt bovenop Fase 1 alleen. De feedback-gestuurde loop presteerde consistent beter dan een "geen-feedback" resampling baseline, wat aantoont dat de winsten voortkomen uit het aanpassen aan het gedrag van de doel-agent in plaats van simpelweg meer kandidaten te samplen.
Cross-Taak Persistentie: Het paper demonstreert dat vergiftigde skills niet over-fitted zijn op een enkele taak. Wanneer ze worden ingezet op nieuwe taakvarianten zonder her-optimalisatie, behielden de skills ongeveer 92% van hun oorspronkelijke amplificatie-effect, waarbij sommige zelfs krachtiger werden.

Betekenis en Claims

De auteurs beweren dat SkillBloat een praktisch en voorheen onderbelicht aanvalsoppervlak blootlegt in agentic AI-ecosystemen. De betekenis van dit werk ligt in drie hoofdgebieden:

Orthogonale Dreiging: In tegen tegenoverking beveiligingsaanvallen die proberen data of systemen te compromitteren, richt deze dreiging zich op economische middelen. Het is onderscheidend omdat het niet noodzakelijkerwijs kwaadwillige operaties triggert die bedoeld zijn voor beveiligingsdetectie, aangezien de agent functioneel normaal lijkt te werken en de taak voltooit.
Exploitatie van Agent Eigenschappen: De meest effectieve aanvallen (bijv. "fake error retry", "task decomposition") exploiteren gewenste agent-eigenschappen zoals persistentie, gestructureerde planning en zelfverificatie. Dit maakt ze moeilijk te onderscheiden van legitieme, hoogwaardige skill-instructies.
Defensie Implicaties: De bevindingen suggereren dat huidige defensies onvoldoende zijn. Het beschermen van agent-ecosystemen vereist mechanismen die niet alleen redeneren over kwaadwillige operaties, maar ook over abnormaal hulpbronnenverbruik dat wordt geïnduceerd door anders plausibele skill-instructies. Het paper concludeert dat het skill-ecosysteem zeer vatbaar is voor deze vorm van economisch misbruik, wat de noodzaak voor sterkere defensies tegen resource-amplificatie onderstreept.