💻 computer science

SkillTrojan: Backdoor Attacks on Skill-Based Agent Systems

本文提出了名为 SkillTrojan 的新型后门攻击框架，该框架通过将恶意逻辑嵌入看似正常的技能实现中，利用技能组合机制在特定触发条件下重构并执行攻击载荷，从而揭示了基于技能的智能体系统在技能层面存在严重的安全盲区。

原作者： Yunhao Feng, Yifan Ding, Yingshui Tan, Boren Zheng, Yanming Guo, Xiaolong Li, Kun Zhai, Yishan Li, Wenke Huang

发布于 2026-04-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Yunhao Feng, Yifan Ding, Yingshui Tan, Boren Zheng, Yanming Guo, Xiaolong Li, Kun Zhai, Yishan Li, Wenke Huang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于AI 智能体（Agent）安全的新发现。简单来说，作者发现了一种非常隐蔽的“特洛伊木马”攻击方式，它不攻击 AI 的大脑（模型），而是攻击 AI 用来干活的“工具箱”（技能）。

为了让你更容易理解，我们可以把整个故事想象成一家高科技的“超级管家公司”。

1. 背景：超级管家与它的工具箱

想象一下，未来的 AI 智能体就像是一个无所不能的超级管家。

以前：管家靠自己的大脑（大语言模型）一步步思考，告诉你“先去买菜，再切菜，最后炒菜”。
现在：为了更高效，管家不再事必躬亲，而是使用一套**“技能工具箱”**。比如，它有一个“查天气技能”、一个“订机票技能”、一个“写代码技能”。这些技能是别人写好、打包好的“预制菜”，管家直接调用就能用。

这种模式让管家更强大、更灵活，但也带来了一个新的隐患：你信任这些“预制菜”是干净的吗？

2. 新攻击：SkillTrojan（技能木马）

这篇论文提出的攻击叫 SkillTrojan。它不像以前的黑客那样试图给管家的大脑“洗脑”（修改模型参数）或者在管家耳边“说悄悄话”（修改提示词）。

SkillTrojan 是怎么做的呢？
想象一下，黑客把几个**“带毒的预制菜”**混进了管家的工具箱里。

伪装：这些技能看起来完全正常。比如“查天气”技能，平时用起来和真的一样，能准确告诉你天气。
潜伏：黑客在这些技能里藏了一段加密的恶意代码（就像把毒药切碎，藏在了不同的调料包里）。
触发：只有当管家收到一个特定的暗号（比如用户问了一句奇怪的话，或者包含特定的关键词）时，这些技能才会开始“行动”。

行动过程（就像拼图）：

分头行动：当暗号出现，管家开始按正常流程工作。它调用“技能 A"，技能 A 偷偷吐出一块拼图碎片；接着调用“技能 B"，又吐出一块碎片。
拼凑毒药：管家自己并不知道这些碎片是什么，它只是正常地完成任务。但在后台，一个隐藏的“验证员”收集了所有碎片。
执行恶意任务：一旦碎片凑齐，后台就把它们拼成完整的恶意程序并执行（比如偷偷窃取数据、删除文件）。
完美伪装：对普通用户来说，管家依然给出了完美的回答（比如“天气晴朗，适合出行”），完全看不出背后已经发生了坏事。

3. 为什么这很可怕？

这就好比你去餐厅吃饭：

传统攻击：厨师（AI 模型）被下毒了，做出来的菜全是毒的，或者厨师突然发疯不干活了。这很容易被发现。
SkillTrojan 攻击：厨师完全正常，甚至做得比以前更好吃。但是，你点的一道“特制沙拉”里，每一片生菜叶子上都涂了一点点无色无味的毒药。只有当你点了“特制沙拉”并且服务员按特定顺序上菜时，毒药才会在你肚子里发作。

它的可怕之处在于：

难以察觉：因为技能平时表现完美，只有在特定触发下才作恶，所以很难通过常规测试发现。
传播快：一旦一个“带毒技能”被广泛使用，所有调用它的管家都会中招。
防不胜防：现有的防御手段主要盯着“厨师”（模型）和“菜单”（提示词），却忽略了“食材”（技能包）本身。

4. 作者做了什么？

为了证明这个理论，作者们：

制造了 3000 多个“带毒技能”：他们从真实的技能市场里抓取了 1200 个常用技能，给它们都植入了这种“拼图式”的木马。
进行了实战演练：他们让不同的 AI 模型（包括像 GPT-5 这样的高级模型）去使用这些技能。
结果惊人：
- 攻击成功率极高：在特定条件下，攻击成功率高达 97.2%（几乎次次成功）。
- 几乎不露马脚：在正常任务中，AI 的表现几乎没有下降，甚至因为技能好用，任务完成得更好了。

5. 总结与启示

这篇论文告诉我们：AI 的安全不仅仅取决于模型有多聪明，还取决于它使用的“工具”是否干净。

就像我们不仅要检查厨师的手艺，还要检查他用的刀、砧板和食材是否被下毒一样。未来的 AI 安全防御，必须开始审查这些“技能包”的来源和内部逻辑，不能盲目信任任何第三方提供的工具。

一句话总结：
黑客不再试图控制 AI 的“大脑”，而是把毒药藏进了 AI 的“工具箱”里，只有在特定的暗号下，才会拼凑出毒药并悄悄释放，而 AI 自己对此一无所知，依然表现得像个乖宝宝。

1. 研究背景与问题定义 (Problem)

随着基于大语言模型（LLM）的智能体（Agent）系统的发展，基于技能（Skill-based） 的架构已成为主流设计模式。这类系统通过组合可复用的“技能”（封装了代码、工具调用和执行工作流的模块化组件）来解决复杂任务，从而提高了模块化和可扩展性。

然而，现有的安全研究主要集中在模型参数、训练数据、提示词（Prompt）或工具接口上，忽视了“技能实现层”本身的安全风险。

核心问题：技能通常被视为可信的模块化组件，其内部逻辑很少像模型输出那样被严格审计。
攻击面：攻击者可以发布看似良性但包含恶意逻辑的技能包。一旦这些技能被广泛采用，它们可以在不修改底层模型、提示词或训练数据的情况下，通过标准的技能组合机制触发恶意行为。
现有防御的盲区：传统的后门防御主要监控输入/输出行为或单一交互通道，难以检测这种隐藏在技能执行流程内部、仅在特定触发条件下激活的持久化后门。

2. 方法论：SkillTrojan 攻击框架 (Methodology)

SkillTrojan 是一种针对技能抽象层的新型后门攻击范式。其核心思想是将恶意载荷（Payload）加密并分割成碎片，嵌入到多个看似良性的技能调用中，仅在满足预设触发条件时，通过标准的技能组合流程重构并执行载荷。

2.1 攻击流程

载荷编码与分片 (Payload Encoding & Fragmentation)：
- 攻击者指定任意可执行载荷 $P$ 。
- 使用对称加密算法（如 XOR+Base64）对 $P$ 进行加密得到密文 $C$ 。
- 将 $C$ 分割成 $N$ 个碎片 $\{c_1, ..., c_N\}$ 。每个碎片包含索引标识和加密片段。
- 设计优势：分片使得单个碎片的信息量极低，且重构不依赖于特定的执行顺序（Order-agnostic），只需收集齐所有碎片即可。
技能注入与修改 (Skill Instrumentation)：
- 自然语言规范修改 ( $\tilde{m}$ )：修改技能的说明文档，引入基于触发器（Trigger）的条件逻辑。当触发条件满足时，引导智能体执行包含特定动作序列的工作流。
- 可执行代码修改 ( $\tilde{A}$ )：在技能的工具脚本中植入逻辑。在正常执行过程中，如果触发条件满足，这些工具会在其输出（如工具调用轨迹日志）中“顺便”写入加密碎片。
- 隐蔽性：对于非触发查询，技能行为与原版完全一致；对于触发查询，碎片写入是作为正常任务执行的一部分发生的，不会改变用户可见的输出结果。
触发与重构执行 (Triggered Reconstruction)：
- 当智能体完成包含所有必要碎片的工作流后，一个指定的验证工具（Verifier）会收集碎片。
- 验证工具检查是否收集齐了所有 $N$ 个碎片（基于集合包含关系，不依赖顺序）。
- 一旦验证通过，碎片被拼接、解密，还原出原始载荷 $P$ 并在当前运行环境中执行。
- 持久性：攻击依赖于技能包的持久化安装，而载荷重构所需的中间状态（碎片）仅在单次运行中临时存在，运行结束后清理，不留痕迹。

2.2 自动化合成

SkillTrojan 支持从任意技能模板和任意载荷自动生成后门技能，实现了跨不同智能体管道和技能生态系统的规模化传播。

3. 关键贡献 (Key Contributions)

首创攻击范式：提出了首个针对智能体系统技能抽象层的后门攻击（SkillTrojan），填补了模型参数、提示词和工具接口之外的安全研究空白。
通用扩展框架：设计了一个支持加密载荷分片、基于触发器的激活机制以及自动化合成的通用框架，能够适应多样化的技能类型和攻击场景。
大规模数据集与实证评估：
- 发布了 SkillTrojanX 数据集，包含 3000+ 个精心策划的后门技能，涵盖多种技能模式、触发条件和载荷配置。
- 在代码型智能体（EHR SQL 任务）和软件工程任务（SWE-Bench）上进行了广泛评估，涵盖了开源和闭源模型。

4. 实验结果 (Results)

实验在电子健康记录（EHR）SQL 生成任务上进行，对比了 SkillTrojan 与现有的提示词注入（GCG, AutoDAN）及智能体中毒（AgentPoison）等基线方法。

高攻击成功率 (ASR) 与低性能损失：
- 在 GPT-5.2-1211-Global 模型上，SkillTrojan 实现了 97.2% 的攻击成功率（ASR），同时保持了 89.3% 的清洁任务准确率（ACC）。
- 相比之下，其他基线方法（如 AgentPoison）在保持高 ASR 的同时，往往导致 ACC 显著下降（例如 AgentPoison 在 GPT-5.2 上 ASR 仅为 58.3%，且 ACC 下降）。
鲁棒性：
- SkillTrojan 在开源模型（如 GLM-4.6, Qwen3-Coder）和闭源模型上均表现优异。
- 随着模型能力的增强，基于提示词的攻击（Prompt-centric）往往因模型拒绝能力增强而失效，但 SkillTrojan 通过利用受信任的工具执行路径，保持了高成功率。
隐蔽性分析：
- 工具调用次数分布显示，触发后的执行仅比正常情况多出少量用于碎片收集和验证的调用，处于复杂查询的正常波动范围内，难以被基于阈值的异常检测发现。
- 加密方式（如混合加密）可显著降低基于简单启发式规则（如 Base64 检测）的检出率。

5. 意义与启示 (Significance)

揭示关键盲点：证明了当前智能体安全假设存在重大缺陷。仅仅保护模型输入输出是不够的，可复用的技能实现层已成为新的、高风险的攻击面。
防御挑战：传统的输入清洗或输出过滤无法防御此类攻击，因为恶意行为是作为“副作用”在技能执行内部发生的，且用户可见输出是良性的。
未来防御方向：
- 需要建立执行感知（Execution-aware） 的监控机制，审计工具调用轨迹和中间状态。
- 引入技能溯源（Provenance） 检查，验证技能包的来源和完整性。
- 实施更严格的沙箱机制和权限控制，限制技能执行过程中的侧信道（Side-channel）数据泄露和未授权操作。
研究资源：SkillTrojanX 数据集为社区提供了标准化的评估基准，有助于推动针对技能层安全的防御研究。

总结：SkillTrojan 揭示了基于技能的智能体系统中一个隐蔽且致命的漏洞。攻击者无需触碰模型核心，仅需污染技能库，即可实现持久、隐蔽且高效的恶意控制。这一发现迫使安全界重新审视智能体架构的信任边界，从单纯的“模型安全”转向“执行环境安全”。