单个技能看似无害，组合起来却可能改变代理行为

导语

技能化代理系统正在把复杂能力拆分为可复用的模块。一个技能可以包含自然语言指令、可执行脚本和参考资料，代理则在需要时加载这些内容完成特定任务。这种设计提升了扩展性，也让第三方能力更容易接入。但一篇题为《Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems》的研究指出，安全风险未必藏在某个技能内部，也可能出现在多个技能的组合关系中。

从“单点恶意”到“协同伤害”

研究将这种威胁定义为“技能级联攻击”。攻击者不把完整的恶意逻辑放进单一技能，而是将目标拆散到一组技能里。每个技能单独看，可能只是调整字段、改变排序或过滤信息；当代理按流程依次调用它们时，这些局部变化却会沿着任务链条叠加，最终导致有害结果。

论文给出的处方审查示例说明了这一机制：第一个技能弱化近期停用药物在病史提取中的信号，第二个技能降低与这些药物相关的相互作用严重程度，第三个技能再隐藏最终摘要中的低优先级提示。三个步骤都可能被解释为普通的数据整理或告警优化，但组合后，严重的药物相互作用警告可能在抵达医生前被静默消除。

核心观察包括：

• 风险来自技能之间的依赖、顺序和信息传递，而不只是单个技能的代码或指令。
• 单技能扫描器可能无法识别分散在多个模块中的完整攻击意图。
• 运行时监控若只观察局部调用，也可能看不到最终行为是如何逐步形成的。
• 组件分别“干净”并不等于整个代理系统安全。
• 防御需要理解跨技能交互及其对任务结果的累积影响。

SkillCascade 如何测试这一盲区

为系统研究这一问题，作者开发了自动化多智能体红队框架 SkillCascade，并发布 SkillCascade-Bench。该基准包含 213 个经过验证的级联测试案例，覆盖多个代理系统和应用领域。研究在 OpenClaw、Claude Code、Codex 等代表性代理以及不同大语言模型上进行评估，结果显示，级联交互能够稳定诱发有害行为，并规避现有的单技能扫描与运行时监控。

这里的价值不只是增加了一组攻击样本。传统安全评估往往把技能视为相互独立的组件，分别检查是否存在危险指令、可疑脚本或异常输出。SkillCascade 则把注意力转向系统层面：某个技能修改了什么，后续技能如何解释这一修改，最终决策是否因此发生偏移。这样的测试思路更接近真实的技能化工作流，也能暴露组件测试难以覆盖的组合风险。

对代理系统安全的影响

技能生态越开放，复用能力越强，跨技能依赖就越复杂。对开发者而言，仅对新技能进行静态审查或上线前扫描可能不够，还需要记录技能之间的数据流、调用顺序和关键状态变化，并评估多个技能叠加后是否改变了任务目标或安全边界。对于高风险场景，则应保留可追溯的中间结果，并避免让单个技能无声地降低告警等级或删除关键信息。

这项研究的核心提醒是，代理安全不能只回答“这个技能是否安全”，还要回答“这些技能一起运行时会把系统带向哪里”。随着技能成为代理系统的基础扩展方式，跨技能语义分析、组合式红队测试和系统级运行时防护，可能会成为下一阶段安全工程的重点。

来源：arXiv