CoRedSkill 通过 AST 重写实现高隐蔽性技能组合攻击并绕过审计

该论文提出 CoRedSkill 方法，利用抽象语法树（AST）重写将恶意操作嵌入任务函数，使 AI Agent 在调用多个技能完成合法任务的同时执行未授权操作，且难以被独立包审计发现。在包含 50 个任务和 3 种攻击目标的 150 个案例基准测试中，该方法实现了 98.0% 的攻击成功率、95.3% 的任务完成率以及仅 3.3% 的检测率，联合成功率（同时满足攻击成功、任务完成和审计规避）达 90.7%，显著优于四个基线方法的 6.7%–42.7%。

攻击机制依赖于技能间的依赖关系和中间产物连接注入的操作，技能指令引导 Agent 自主选择和调用相关技能，从而在保持原有功能的前提下隐藏恶意意图。这种设计使得传统针对单个技能的审查无法识别跨技能的协同攻击路径，暴露了当前技能组合架构在安全验证上的盲区。

事实层面，该研究证实了技能组合场景下存在高隐蔽性攻击向量；推断层面，这意味着现有基于单技能审计的安全框架可能不足以保障复杂 Agent 工作流的安全；猜测层面，未来可能需要引入对技能间依赖图的动态分析或运行时监控机制来应对此类威胁，但具体方案尚未在文中给出。