Skill安全风险实测恶意扩展可绕过权限污染记忆 用户三阶段防线落地

Skill将说明文档、脚本与资源打包为文件夹供智能体调用，安装便捷却等效于引入一位拥有用户同等权限的‘新同事’，其核心风险在于内容难以直观判断。研究证实，恶意Skill可通过隐藏提示注入、动态脚本执行等方式绕过权限机制，在用户无感知下完成敏感操作——如HiddenLayer团队在Claude Code中演示的越权行为，以及Skill-Inject基准测试揭示的模型对嵌入式有害指令高度脆弱性。此类攻击属‘间接提示注入’，利用模型难区分用户意图与外部植入命令的弱点，隐蔽性与危害性远超传统文本劫持。

技术上无法彻底验证Skill安全性，原因有三：自然语言指令无法被杀毒引擎扫描；行为可延迟或条件触发；模型自身可能被说服执行危险操作。因此务实目标是‘可控风险’而非‘零风险’。

用户可立即落地三阶段防御：第一阶段安装前严控入口，优先选用官方仓库或高信誉作者项目，警惕一键安装包，对简单功能建议重写；阅读指令时识别四类风险信号（忽略规则、静默执行、读无关文件、外发数据）。第二阶段运行时收紧权限，使用容器/虚拟机隔离环境，禁用主力机密钥，实施网络白名单，定期检查记忆与配置防污染。第三阶段安装后持续管理，纳入Git版本控制，固定提交版本，更新前比对diff，并可借助模型辅助预审（但需警惕模型自身被注入）。

实战案例中，电商接口测试Skill设计强调透明化与最小权限：变量显式声明、鉴权头自动注入、三级断言机制、失败快照留存，执行前输出配置路径与阶段标识，调试中精准定位字段缺失并生成结构化错误报告。这表明可追溯日志是对抗隐蔽攻击的关键基础设施。AI安全治理已从管控输出转向约束操作行为，用户须以‘入口审查—运行隔离—持续审计’三层策略同步提升实操能力。