SkillPoison 用乾淨經驗汙染 Agent 技能庫

2026 年 10 月 28 日，吉林大學團隊在 arXiv（2610.07645）釋出了 SkillPoison 論文，展示了一種新的 Agent 技能庫投毒方式：不注入任何惡意內容，每條投餵經驗都任務正確、驗證通過、詞法乾淨，只是經過精心挑選並配上歸因註釋，就能讓技能提取器自己「悟」出一條壞規則，研究稱該方法的攻擊成功率最高達 95.71%。

在投毒手段上，SkillPoison 屬於不碰最終技能檔案、而是在「經驗到技能」的蒸餾環節下手的 formation-based 一派，而非直接修改技能檔案的 artifact-based 一派。研究指出，現有 formation-based 攻擊會被安全機制攔截，吉林大學團隊用 Trace2Skill 和 AutoSkill 兩條真實的技能形成管線測試 SkillJack、PoisonedEvolution 兩種攻擊，36 次攻擊中 24 次被安全機制直接拒收，9 次只保留了一半惡意行為，完整投毒成功的只有 3 次。SkillPoison 則不做顯式注入，靠乾淨經驗誘導技能提取器自行泛化出壞規則，從而繞過這類過濾。

據論文所述，這類投毒的後果會隨技能複用擴散：自進化 Agent 會把成功經驗蒸餾成可複用技能，供 Claude Code 的 skills、各家 Memory 系統、Agent Workflow Memory 等在類似任務中直接呼叫；一旦技能被汙染，Agent 會把錯誤行為當作「經驗之談」反覆執行，且汙染會隨著技能複用跨任務傳播。目前公開材料僅見 2026 年 10 月 28 日的論文釋出，後續是否有社群復現或廠商回應尚無報道。