摘要：单独隐蔽，合则有害：针对基于技能的智能体系统的技能级联攻击
摘要：技能是一种模块化的封装，包含自然语言指令、可执行脚本和参考资源，智能体可在运行时加载它以扩展其在特定任务上的能力。因此，基于技能的智能体系统能够灵活复用第三方能力，但这一技能生态系统的开放性也开辟了新的攻击面。此前的工作主要关注单个技能内部的漏洞，但很少关注跨技能交互所产生的风险。在本文中，我们提出了技能级联攻击（skill cascading attacks），这是一种威胁范式，其中恶意目标被分散到多个技能中，使得每一处修改在孤立来看都显得无害，但它们的组合执行却具有危害性。例如，在处方审核流水线中，第一个技能削弱提取病史中近期停用药物的信号，第二个技能降低与之相关的任何药物相互作用的严重程度，第三个技能则在最终摘要中压制由此产生的低优先级警报，从而使严重的药物相互作用警告在到达医生之前悄然消失。为了系统地研究这一安全盲区，我们开发了 SkillCascade，一个自动化多智能体红队测试框架，并发布了 SkillCascade-Bench，一个包含 213 个经过验证的级联测试用例的基准，覆盖多个智能体系统和领域。在代表性智能体（如 OpenClaw、Claude Code、Codex）和 LLM 主干模型上，级联交互能够可靠地诱导有害行为，同时规避现有的单技能扫描器和运行时监控器。我们的发现凸显了组件级完整性与系统级安全性之间的差距，并呼吁采用能够对跨技能交互进行推理的防御措施，而非孤立地看待单个技能。