论文揭示AI Agent跨会话攻击机制并将成功率从69.5%降至10.9%

Dianshu Liao等人在arXiv发布的研究指出，AI Agent在执行技能时产生的持久化工件（如文件、配置和缓存数据）会在后续会话中被其他技能复用，从而形成跨会话攻击面。该研究构建了包含270个对抗案例的SkillRelayBench基准，覆盖30个跨会话技能组合场景及十个领域，评估了Codex CLI、Gemini CLI和Claude Code等七个模型在应对此类攻击时的表现。结果显示，现有模型的攻击成功率（ASR）介于46.7%至77.4%之间，攻击链成功率（ACSR）介于35.6%至61.1%，且成功攻击覆盖了全部五类目标安全后果类别。

研究具体刻画了指令传播（IP）、数据边界违规（DBV）和证据投毒（EP）三种攻击机制，这些机制利用持久化工件将恶意影响在不同技能执行间传递。为缓解风险，作者提出了SkillRelayGuard防御方案，该方案通过恢复工件溯源上下文并在执行前提供咨询审查，同时保留最终执行决策权给Agent。在三个Agent设置下的评估表明，SkillRelayGuard将整体ASR从69.5%降低至10.9%，ACSR从54.8%降低至10.0%，同时将合法任务完成率从79.6%提升至87.5%。

事实层面，该研究证实了基于持久化工件的跨会话攻击在主流CLI Agent中普遍存在且危害广泛；推断层面，当前Agent框架在技能组合的安全隔离设计上存在系统性缺陷，单纯依赖模型自身能力难以抵御此类攻击；猜测层面，随着Agent技能生态的扩展，此类跨会话攻击可能成为未来企业级应用部署中的主要安全隐患，需要工程层面的主动防御机制介入。