论文实测显示 Agent 技能包在静态声明下隐藏大量运行时执行能力

该研究对来自两个市场的 6,309 个 Agent 技能包进行了两阶段攻击面分析，发现用户安装时接受的权限远超可见范围。统计显示，50% 的样本具备 Shell 执行能力，其中 35% 可读取文件系统，31% 可写入文件或外联网络，13% 涉及凭证访问，且每十个样本中就有七个包含至少一项提升的权限。这些能力在安装瞬间几乎不可见，现有的许可模型处于失效状态。

进一步分析指出，作者虽可在元数据中列出预批准的工具以移除确认提示，但这并未限制实际可达范围。在解析成功的 6,061 个样本中，仅 770 个声明了任何内容，且声明词汇无法表达凭证或环境访问权限。更关键的是，声明准确性极低：59% 的声明样本低估了其实际能力，ClawHub 市场下的技能包声明错误率高达 88%，远高于 skillsmp 的 31%。这意味着基于声明的市场边界筛选机制无法有效识别风险。

事实层面证实了技能包存在严重的信息不对称和权限滥用风险；推断表明当前依赖声明的审核流程存在系统性漏洞；猜测认为若缺乏运行时动态检测，恶意行为者可能利用这种声明与执行的差异绕过常规安全策略。