CORSA优化技能注入绕过检索与执行

该论文指出在依赖模块化第三方技能的 AI 智能体系统中，现有评估往往假设恶意技能已被选中执行，从而大幅高估了提示词注入的攻击成功率（ASR）。研究发现在真实的多技能环境中，恶意技能必须先通过路由器的检索竞争才能被执行，这使得现有注入的有效攻击成功率降低了 87-97%。 为突破这一限制，作者提出了 CORSA（Cluster Optimization for Router-Aware Skill Attacks），这是一种针对路由器感知的攻击方法，旨在跨相关任务簇优化技能的检索与执行。该方法通过连续优化阶段，先提升检索能力再优化端到端攻击成功率，并在扩展的 SkillRouter 基准上测试了八类恶意负载。实验显示，CORSA 在保持用户效用和注入自然性的同时，显著提升了检索和端到端的攻击成功率，且攻击效果可迁移至不同的路由器架构和 LLM 骨干模型。 事实层面，研究证实了检索竞争机制对攻击成功率的抑制作用，并验证了 CORSA 在特定基准上的有效性。推断层面，这意味着当前的 AI Agent 安全评测体系若忽略路由检索环节，将产生严重的安全误判，导致防御策略低估风险。猜测层面，未来针对 Agent 的攻击可能会更侧重于优化检索阶段的特征匹配，而非单纯优化执行阶段的指令注入，这要求安全防御必须从单一的执行层防护转向包含检索层的全链路监测。