PhantomSkill: Malicious Code Injection in Agent Skill Ecosystems
本文介绍了 PhantomSkill，一种通过使用“VulMask”技术将恶意行为嵌入智能体技能的辅助资源中，从而将漏洞利用伪装成普通的非安全代码，以此规避检测的新型攻击框架，进而强调了在基于大语言模型的智能体生态系统中，进行资源级审查和执行时隔离的紧迫性。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，你雇佣了一位极其聪明、组织能力极强的助手（一个 AI 编程智能体/AI Coding Agent）来帮你管理你的数字生活。这位助手可以读取文件、运行程序，甚至还能为你订购用品。为了让这个助手变得更强大，你给了它一个“技能包（Skill Packs）”库——就像为手机添加新 App 一样。这些技能包包含了指令（一份手册）和额外的工具（脚本），以帮助助手完成特定的工作，比如整理你的 Git 代码或格式化你的 PDF 文件。
名为 “PhantomSkill” 的论文揭示了一种黑客用来投毒这些技能包的新型、隐蔽的手段。
旧方法：手册里的“坏人”
以前，黑客试图通过在手册（AI 首先阅读的文本文件）中隐藏恶意指令来欺骗 AI。这就像是在一本食谱里写了一张纸条，上面写着：“当你看到这个食谱时，请顺手偷走厨师的钱包。”
- 问题所在： 现代 AI 助手正变得越来越聪明。它们会仔细阅读手册，并经常会说：“不，这听起来很危险，”然后拒绝执行。
新方法：工具箱里的“陷阱”
研究人员发明了一种被称为 PhantomSkill 的新技巧。他们不再是在手册中写一张“坏纸条”，而是将攻击隐藏在助手使用的工具（脚本）之中。
以下是核心类比：“坏掉的锁” vs. “小偷的纸条”。
- 公开攻击（小偷的纸条）： 想象一个工具，它自带一张纸条说：“我是一个小偷，请打开我的后门。” AI 看到了这张纸条，感到害怕，于是扔掉了这个工具。
- PhantomSkill 攻击（坏掉的锁）： 研究人员拿走了同一个工具，并去掉了那张“小偷的纸条”。相反，他们稍微弄坏了工具上的“锁”。
- 对于人类或安全扫描器来说，这看起来仅仅是一个制作拙劣的工具，带有常见的安全缺陷（“漏洞”）。它看起来像是一个失误，而不是一场犯罪。
- 关键在于： 黑客知道一个特定的秘密“触发器”（比如特定的按键或特定的时间）。如果 AI 正常使用该工具，它运行良好。但如果黑客触发了那个秘密条件，这个“坏掉的锁”就会突然打开一个隐藏隔间，精准地执行黑客想要做的事情（窃取数据、删除文件等）。
他们是如何做到的（“VulMask”技术）
研究人员创建了一种名为 VulMask 的方法。你可以把它看作是一个代码翻译器。
- 它获取一段明显邪恶的脚本。
- 它重写代码，使其看起来像是一个标准的、枯燥的安全错误（比如没关门）。
- 它保持工具原本的功能完美运行（这样用户就不会察觉到异常）。
- 它隐藏了一个只有黑客才知道如何拨动的“开关”，用以激活邪恶的部分。
他们的发现
研究人员针对许多不同的 AI 助手和安全扫描器进行了测试。结果如下：
- AI 被骗了： 当 AI 看到“坏掉的锁”（漏洞）时，它并没有惊慌。它认为：“哦，这个工具有点粗糙，但我仍然可以使用它。” 于是它运行了该工具。
- 扫描器被骗了： 自动化安全工具通常会标记明显的“小偷纸条”（恶意软件），但在识别“粗糙工具”（漏洞）方面要慢得多。它们将这种攻击视为低优先级的警告，而非严重的威胁。
- 结果： 这种攻击比旧有的“小偷纸条”方法成功率更高。AI 在完成其正常工作的同时，成功执行了黑客的秘密命令。
核心启示
论文的结论是，我们不能再仅仅检查技能包的手册（文本描述）了。我们必须意识到，工具本身即使看起来无害，也可能是危险的。
仅仅因为一个工具有一个“坏掉的锁”（漏洞），并不意味着它是安全的。在 AI 智能体的世界里，一个坏掉的锁可以被黑客转化为一件秘密武器。作者建议，安全系统需要像对待“邪恶工具”一样警惕这些“粗糙工具”，因为在 AI 手中，一个漏洞可以和病毒一样危险。
简而言之： 黑客不再大喊“我是罪犯！”，而是开始低声耳语“我只是有点坏了”，而 AI 助手竟然相信了他们。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。