SkillPoison 用干净经验污染 Agent 技能库

2026 年 10 月 28 日，吉林大学团队在 arXiv（2610.07645）发布了 SkillPoison 论文，展示了一种新的 Agent 技能库投毒方式：不注入任何恶意内容，每条投喂经验都任务正确、验证通过、词法干净，只是经过精心挑选并配上归因注释，就能让技能提取器自己「悟」出一条坏规则，研究称该方法的攻击成功率最高达 95.71%。

在投毒手段上，SkillPoison 属于不碰最终技能文件、而是在「经验到技能」的蒸馏环节下手的 formation-based 一派，而非直接修改技能文件的 artifact-based 一派。研究指出，现有 formation-based 攻击会被安全机制拦截，吉林大学团队用 Trace2Skill 和 AutoSkill 两条真实的技能形成管线测试 SkillJack、PoisonedEvolution 两种攻击，36 次攻击中 24 次被安全机制直接拒收，9 次只保留了一半恶意行为，完整投毒成功的只有 3 次。SkillPoison 则不做显式注入，靠干净经验诱导技能提取器自行泛化出坏规则，从而绕过这类过滤。

据论文所述，这类投毒的后果会随技能复用扩散：自进化 Agent 会把成功经验蒸馏成可复用技能，供 Claude Code 的 skills、各家 Memory 系统、Agent Workflow Memory 等在类似任务中直接调用；一旦技能被污染，Agent 会把错误行为当作「经验之谈」反复执行，且污染会随着技能复用跨任务传播。目前公开材料仅见 2026 年 10 月 28 日的论文发布，后续是否有社区复现或厂商回应尚无报道。