15条看似无害的成功经验，如何让AIAgent学会错误行为，吉林大学SkillPoison攻击方法解析

近期，吉林大学研究团队在arXiv平台发布论文《SkillPoison: Poisoning Skills of LLM-based Agents via Evidence-Grounded Success Attribution》（编号2610.07645），提出一种新型AI Agent技能投毒攻击方法——SkillPoison。其核心突破在于：无需插入任何恶意指令或代码，仅用15条完全合法、任务成功、验证通过的经验轨迹及其归因注释，就能让Agent自主‘归纳’出一条错误但泛化的技能规则，攻击成功率最高达95.71%。

这一发现直指当前AI Agent架构中快速兴起的“自进化”能力——即Agent在完成任务后，将成功经验蒸馏为可复用的技能（skill），形成类似“武功秘籍”的内部知识库。Claude Code、各类Memory系统及Workflow Memory均采用此范式，旨在提升推理效率与Token经济性。然而，当这些“秘籍”本身被悄然污染，Agent便会将错误行为当作普适准则反复执行，且污染可通过技能复用跨任务传播。

现有防御为何失效？

此前技能投毒攻击主要分两类：一是直接篡改技能文件（artifact-based），但现代自进化Agent由自身生成并管理技能，攻击者无权访问；二是污染经验轨迹（formation-based），如SkillJack与PoisonedEvolution，通过在轨迹中注入恶意行为或触发器实现攻击。

吉林大学团队对后者进行了实证检验：在真实技能形成管线（Trace2Skill与AutoSkill）上测试36次攻击，结果令人意外——24次被安全机制直接拒收，9次仅保留部分恶意行为，完整成功的仅3次。原因有二：其一，恶意行为与任务目标天然冲突，易被轨迹分析与验证环节识别；其二，技能提取器只采纳“验证通过的成功经验”，而恶意行为若导致任务失败，则该轨迹无法进入技能库——攻击在任务层“生效”，却在技能层“失忆”。

SkillPoison的颠覆性思路：坏的不是行为，是语境

团队意识到：无需教Agent做坏事，只需让它把一件“局部正确”的事当成“放之四海皆准”的法则。例如，“并发问题加锁”在共享资源场景下合理，但若泛化为“所有问题都先加锁”，则引发性能灾难。关键在于剥离适用条件。

SkillPoison攻击分三步，全程无一字“恶意”：

第一步：精准筛选任务。攻击者选定目标行为p⋆（如“回答前复述用户输入”），不强行植入，而是搜索哪些任务的自然执行轨迹中已包含p⋆，且该行为对任务成功贡献显著。通过反事实实验量化影响：替换p⋆为等价行为后输出变化越大，说明其作用越关键。入选任务全部真实通过验证。

第二步：添加归因注释。在原始轨迹不变的前提下，由LLM生成一份“功劳簿”式注释，说明“任务要求什么、p⋆在哪使用、如何促成成功、为何替换会失败”。注释内容完全属实——p⋆确实在任务中出现，任务确实成功。技能提取器因此被引导关注p⋆。

第三步：跨任务泛化投喂。将归因后的经验按任务类别分桶，跨类别混合投喂。当提取器发现p⋆在推理、编码、分类等不同任务中均与成功强相关时，便“归纳”出结论：“这是通用好习惯！”——适用边界被彻底忽略，一条过泛化的技能正式入库。

实验在HANS（自然语言推理）、PAWS（改写识别）、DS1000（pandas代码生成）三个数据集上展开，覆盖Trace2Skill与AutoSkill两大主流框架，结果显示：在最优配置下，攻击成功率高达95.71%，远超既有方法。

与现实技能实践的关联

这一威胁并非理论空谈。2026年10月22日，Anthropic已将Agent Skills标准捐赠给Linux基金会旗下的Agentic AI Foundation（AAIF），推动SKILL.md等规范成为行业通用格式。如补充素材所示，一个典型Skill目录包含SKILL.md（含YAML元数据与描述）、scripts/、references/与assets/子目录，强调“渐进式披露”——仅在匹配任务时才加载完整内容。

这意味着：未来大量Agent将依赖外部或自建的技能库运行，而SkillPoison攻击恰好针对“技能形成”这一核心环节。攻击者无需接触最终技能文件，只需在经验积累初期混入精心设计的归因数据，即可在数轮迭代后埋下隐患。

技术启示与防御方向

SkillPoison暴露了当前技能蒸馏机制的根本脆弱性：它过度信任“成功经验”的表面正确性，缺乏对行为适用边界的显式建模。现有验证仅检查输出是否符合任务要求，却未评估行为是否被不当泛化。

论文建议的缓解路径包括：

在技能形成阶段引入反事实敏感性检测：主动测试p⋆在无关任务中的表现，若仍被频繁调用则标记风险；
强制要求技能声明适用前提（preconditions）与边界条件（boundary conditions），而非仅提供描述；
构建跨任务一致性校验模块，监控某行为是否在异构任务中被无差别复用；
对归因注释实施来源可信度审计，避免LLM生成的“合理解释”掩盖逻辑漏洞。

值得注意的是，该攻击高度依赖LLM生成的归因质量。若未来技能提取器转向更严格的符号化归纳或因果推理模型，此类基于语义误导的攻击可能受限。但短期内，随着Agent自进化能力普及，SkillPoison所揭示的风险已具现实紧迫性。

目前，该研究尚未公布具体防御代码，但已在学术界引发广泛关注。多家大模型厂商已启动内部评估，重点审查其Agent系统的技能蒸馏流水线是否具备对“过度泛化”的识别能力。

AI Agent的自我完善本是通往高效智能的关键路径，但SkillPoison提醒我们：当系统开始“自己写书”，就必须确保它不会把偏见与巧合误作真理。安全设计不能止步于输入过滤与输出审核，还需深入到知识形成的底层逻辑之中。