恶意代理技能可以窃取凭证、提取源代码并安装后门

原创

ZM
ZM

暗镜

2026年7月13日 00:00
北京

在小说阅读器读本章

去阅读

恶意人工智能代理技能可以被打包，用于窃取凭证、窃取源代码和安装后门，同时还能绕过许多当前的技能审计系统。

该论文发现，静态扫描器在有效载荷保留规避方面尤其薄弱，而运行时行为审计则要强大得多。

核心威胁虽然简单，但却十分严重：代理技能不仅仅是文本，而是一组结构化的指令、脚本和资源，编码代理可以以广泛的权限执行这些指令、脚本和资源。

在该论文的威胁模型中，一个被污染的技能在安装时可能看起来无害，但在代理运行它时仍然会触发凭证窃取、数据泄露或投放器执行。

作者介绍了 SKILLCLOAK，这是一个规避框架，它既能保留恶意行为，又能将其隐藏起来，使其不被扫描器发现。

它使用结构混淆来重写可疑的令牌、命令、URL 和凭据路径，并使用自解压技能打包来隐藏真正的有效载荷，直到执行时才暴露出来。

根据 Arxiv 的说法，在对 1,613 种实际恶意技能进行测试后，这些隐形装置击败了大多数受调查的扫描器，其中一些变种甚至绕过了 90% 以上的扫描器。更令人担忧的是，伪装并未削弱恶意软件的效用。该论文指出，在诸如 Claude Code和 Codex 等生产代理环境下，伪装后的技能仍然有效，任务成功率或执行路径相似度均未出现统计学意义上的下降。

换句话说，那些能够逃避检测的技术仍然可以像恶意软件一样运行。

为了应对这一问题，本文提出了 SKILLDETONATE，一种以行为为中心的运行时审计工具。它并非根据技能的表面表现来判断其安全性，而是在沙箱环境中运行技能，并监控操作系统边界处与安全相关的行为，包括文件访问、数据流和网络出口。

在 SkillJect 基准测试中，SKILLDETONATE 检测到了 96.7% 的攻击，误报率为 2%，并且在原始、混淆和打包的变体中都保持了稳健性。

一个无害的 SKILL.md 封面指示代理运行一个小型解码脚本，并链接到解码将生成的 WORKFLOW.md。

实际风险在于人工智能编码环境的供应链遭到破坏。恶意技能可以从本地文件中读取机密信息，将其传递到代理上下文，然后发送到外部端点；或者它可以投放脚本和二进制文件，从而在开发者机器上建立持久化保护。

这使得代理技能成为软件团队新的高价值攻击面，尤其是在第三方技能未经严格审查就被导入的情况下。

本文的核心观点是，安装时的信任检查已不再足够。如果恶意逻辑隐藏在打包、混淆或运行时重构之后，那么防御者需要检查该技术在执行时的实际行为，而不仅仅是它在磁盘上的样子。

本文将研究结果与之前关于恶意代理技能、间接提示注入和经典恶意软件规避的研究成果进行了比较。

报告还提及了技能扫描器生态系统的不断发展，以及此前关于人工智能代理环境中凭证泄露和供应链攻击的报道。这些因素表明，这并非孤立事件，而更像是一种快速发展的攻击类型。