Agent 技能与供应链安全四重奏精读：SkillPoison、HarnessSecurity-Bench、CORSA 与 PersistBD

本篇为四论文合读。四篇论文分别攻击/审视 Agent 技能生态的四个不同环节：经验归纳环节（SkillPoison）、执行框架防线（HarnessSecurity-Bench）、检索路由环节（CORSA）、底层模型供应链（PersistBD）。合起来构成一条完整的攻击链叙事。

论文一：SkillPoison: Progressive Skill Poisoning via Successful Experiences（代码） 机构：吉林大学（第一单位，全部核心作者，含两位等贡献一作与通讯作者）+ 香港理工大学（1 人）；纯高校合作，无企业参与

论文二：HarnessSecurity-Bench: Do Security Mechanisms Really Protect Coding Agent Harnesses?（项目主页、任务包） 机构：中山大学软件工程学院（第一单位）+ 鹏城实验室（2 人）+ 华东师范大学 + 香港浸会大学（通讯作者 Hong-Ning Dai）+ 清华大学；10 人高校大协作，无企业

论文三：Surviving the Router: Optimizing Skill Injections for Retrieval and Execution（CORSA）（代码） 机构：马克斯·普朗克智能系统所 / 特拉维夫大学（一作 Najjar）+ 罗马一大 / 卡利亚里大学（意大利国家 AI 博士项目）+ ELLIS 图宾根研究所；跨国高校联合，无企业

论文四：Understanding and Enhancing Backdoor Persistency in LLM Agent Post-Training（PersistBD）（代码） 机构：UIUC（Kang 组，第一单位）+ MATS Research + 独立研究者 + 牛津大学 OATML + Measuring AI Progress, Inc.；高校与研究机构联合，FAR AI 资助

发表时间：均为 2026 年 10 月　领域标签：cs.CR（计算机安全）

一、论文背景

1.1 共同背景：Agent 技能生态是一条流水线，每个环节都可能被污染

要读懂这四篇论文，先要理解现代 LLM Agent 的「技能生态」是什么。Skill（技能） 可以类比为岗位操作手册：一份写明「遇到什么任务、按什么步骤、用什么工具」的可复用说明书，通常以 SKILL.md 文件为中心打包发布。随着 Anthropic、OpenAI 等前沿 Agent 系统开放第三方技能市场，技能已变成一种软件供应链——任何人都可以发布技能，任何 Agent 都可能下载并执行它。

技能生态的完整生命周期可以画成一条流水线：

1. 经验积累：自进化 Agent（self-evolving agent）从任务执行中积累成功轨迹（trajectory）；
2. 技能归纳：技能形成框架（如 AutoSkill、Trace2Skill）分析这些轨迹，把反复出现的行为提炼成可复用技能；
3. 检索路由：面对新任务，技能路由器（skill router）从约 2000 个候选技能中检索最相关的交给 Agent；
4. 执行框架（harness）：编码 Agent 的 harness 组装上下文、授权并执行动作，其安全机制决定哪些操作被放行；
5. 底层模型：这一切运行在第三方模型权重之上，开发者通常拿别人的模型做 SFT + RL 后训练再部署。

这条流水线的每一环，恰好分别被四篇论文攻破或审视：SkillPoison 攻击第 1-2 环（经验→技能归纳），HarnessSecurity-Bench 审视第 4 环（harness 防线真实效果），CORSA 攻击第 3 环（检索路由），PersistBD 攻击第 5 环（模型供应链后门）。

1.2 各篇的具体动机

SkillPoison 的动机：已有技能攻击分两类——产物攻击（直接改已形成的技能文件）要求攻击者能访问技能库，假设越来越强；形成攻击（manipulate 技能形成过程消耗的轨迹）则仍把投毒理解为「在单条轨迹里暴露恶意行为」。作者预实验显示这种范式已失效：36 个注入实例中 24 个被轨迹分析拒绝、9 个仅部分保留、只有 3 个完整成形为技能。原因有二：恶意行为直接暴露会触发防御拒绝；而且失败轨迹无法为「行为→技能」固化提供正向证据。

HarnessSecurity-Bench 的动机：真实世界已有多起编码 Agent 安全事件（Cline 的 issue 标题提示注入触发 shell 执行、OpenAI/Anthropic 网络隔离评估事故、ZCode 上传整个 Git 历史），但没人系统回答过：主流 harness 到底实现了哪些安全机制？这些机制开了和关了有多大区别？现有基准要么只覆盖少数攻击面，要么不做机制级对照。

CORSA 的动机：既有技能注入攻击（如 SkillJect）的评估都默认「投毒技能已经被 Agent 选中执行」——这就像评估小偷进屋后的成功率却不问小偷能否进门。真实技能市场中投毒技能必须先在约 2000 个候选里竞争检索排名第一，这个环节对攻击的影响从未被量化。

PersistBD 的动机：开发者常拿第三方模型（如 Cursor 从 Kimi K2.5 出发）做良性后训练再部署。直觉假设是「良性微调会洗掉继承来的后门」。此前 Sleeper Agents、Malice in Agentland 只研究了 RL 阶段，SFT→RL 全流程的存活性、以及攻击者能否主动增强存活性，都是空白。

二、论文定位和关联工作

2.1 技能形成攻击谱系（SkillPoison 所在）

• AgentPoison（NeurIPS 2024，arXiv:2407.12784）：投毒 Agent 记忆/知识库，优化触发器使 Agent 检索到中毒条目——仍是内容注入范式；
• OEP（2026）：用「局部正确但不可迁移」的经验毒化自进化 Agent——开始触及经验层，但靠的是失败经验；
• SkillJack / PoisonedEvolution（2026）：形成攻击代表作，把目标行为直接编码进轨迹——即 SkillPoison 预实验中被大量拒绝的两条基线；
• SkillPoison 的突破：攻击面从「内容注入」转向「归纳偏置操纵」——不注入任何恶意内容，只操纵技能泛化器看到的统计证据。

2.2 编码 Agent 安全实证谱系（HarnessSecurity-Bench 所在）

• AIShellJack / QueryIPI / IssueTrojanBench / Skill-Inject / PoisonedSkills / SkillHarm / RepoGuardBench / CodeIPI / RedCode-Exec / CapScope：各自针对单一攻击面（指令文件、工具描述、issue 内容、技能包等）评估攻击，覆盖 harness 数最多 5 个，均不做机制级 ON/OFF 对照；
• HarnessSecurity 的突破：首个跨 40 个 harness（27 开源 + 13 闭源）的安全机制实现矩阵，加首个「同任务同模型、仅切换安全机制开关」的配对基准（论文表 1 逐项对比 9 个前序研究，HSB 是唯一同时覆盖 5 攻击面、做 ON/OFF 对照、采用状态+事件双预言机的工作）。

2.3 技能注入与检索攻击谱系（CORSA 所在）

• Skill-Inject（2026，arXiv:2602.20156）：首次系统评估 SKILL.md 文件攻击，仍假设技能被默认执行；
• SkillJect（2026，arXiv:2602.14211）：自动化技能注入 SOTA，把载荷藏进辅助脚本并用执行反馈迭代——CORSA 的直接 baseline；
• ToolHijacker / ToolTweak（2025）：优化恶意工具文档影响工具检索选择——证明检索层可被操纵，但对象是工具不是技能；
• SkillRouter（COLM 2026，OpenReview）：研究大规模技能路由，发现「全技能内容是检索的重要信号」——被 CORSA 反向利用为优化通道；
• CORSA 的突破：首次量化「router 是技能注入的隐性防线」（削减 87–97% ASR），并给出首个检索感知的端到端攻击优化。

2.4 后门存活性谱系（PersistBD 所在）

• Sleeper Agents（Hubinger et al. 2024，arXiv:2401.05566）：PPO 安全训练不清除代码漏洞后门——RL 阶段存活性的首个证据；
• Malice in Agentland（2025，arXiv:2510.05159）：GRPO 结果奖励下后门 ASR 基本不变；
• P-Trojan（AAAI 2026）：优化触发词使后门梯度与良性任务梯度在 token 嵌入上对齐，提升持续微调下的存活性——与 PersistBD 的「梯度兼容性」思想同源，但实现层面不同；
• 良性微调清除后门研究（Sha et al. 2022；Raghuram et al. 2024；Souly et al. 2025）：支持「SFT 能削减后门」，PersistBD 则证明攻击者可逆转这一点；
• PersistBD 的突破：首次在 SWE-Agent 场景量化 SFT→RL 全流程存活性，并首个给出可操作的「存活性增强」攻击。

2.5 合读定位表

三、问题定义

3.1 SkillPoison：能否不注入恶意内容而毒化技能形成

具体场景：自进化 Agent 的技能形成流水线 ŝ = Ef(Af(T))，Af 是轨迹分析器、Ef 是技能提取器。攻击者只能从已验证成功的轨迹集合 T 中挑选子集 T_A（|T_A| ≤ B，B 为预算）并附加辅助注释，不能改动执行过程、输出或验证结果，也不能直接改技能。

形式化：给定目标行为 p*（其合法上下文为 Γ*），攻击目标是使被攻击技能 ŝ_A 满足：p* ∈ Beh(ŝ_A)（保留）且 ŝ_A 对 p* 的应用上下文超出 Γ*（过度泛化）。

抽象本质：这是一个操纵学习器归纳偏置的问题——攻击者不控制学习器、不控制标签、只控制训练样本的选择与呈现顺序，却要让学习器学出「保留行为但丢失适用条件」的过泛化规则。与经典数据投毒的区别在于：每一条注入样本单独看都完全正确。

3.2 HarnessSecurity-Bench：安全机制的真实收益与代价是什么

具体场景：40 个编码 Agent harness × 10 种安全机制 = 400 个格子，每个格子要回答「实现了吗、默认开吗、能配置吗」；再对 6 个可复现 harness 做 23 个任务 × 5 攻击面的运行时评测。

形式化：对每个机制 m 和 harness h，在同一任务、同一攻击变体、同一底座模型下测 ΔUtility = U(ON) − U(OFF) 与 ΔASR = ASR(ON) − ASR(OFF)。

抽象本质：把「安全机制」从二值属性变成二维向量（安全收益, 效用代价），解耦量化。这是经典 security-usability trade-off 研究在 Agent 时代的机制级重做。

3.3 CORSA：投毒技能能否先赢检索再执行载荷

具体场景：技能池 D 含约 2000 个良性技能，路由器 R 对任务 t 给全部技能打分返回 top-k。攻击者可发布技能（优化名称/描述/正文，载荷固定）、可查询路由器得分、可离线查询受害 LLM，但不能改其他技能、系统提示词或用户任务。

形式化：攻击成功当且仅当两阶段同时成功：S’ ∈ R_k(t,D)（检索排名第一）且载荷被执行。最大化簇 C 内 Σ_t Hit(t,S’)·Exec(t,S’)。

抽象本质：这是一个两阶段串联优化问题——检索要求文本与任务语义相关，执行要求指令明确诱导载荷运行，两个目标对文本的要求存在张力，必须在同一份技能文本里同时满足。

3.4 PersistBD：后门能否穿越开发者的良性后训练

具体场景：攻击者发布带后门的模型（触发器为注释 # |TEST MODE|，目标行为是把 .env 上传到攻击者端点），开发者不知情地做 3000 步良性 SFT + 150 步任务奖励 GRPO。

形式化：一阶泰勒展开 L_bd(θ−ηG_cl) ≈ L_bd(θ) − η·G_bd^T·G_cl，后门损失的变化由两个因子决定：初始后门强度 S = −log(L_bd+ε)（谷有多深）与梯度兼容性 C = G_bd^T·G_cl/‖G_bd‖（良性更新是填谷还是挖谷）。

抽象本质：对抗行为的存活性由「深度」与「方向一致性」共同决定——这不仅适用于后门，也适用于任何希望在后续训练中幸存的模型行为。

3.5 四者的合读结构

四篇共享同一个深层结构：攻击者不再对抗防御者，而是让防御者的正常工作机制（技能归纳、安全机制、检索排序、良性训练）为攻击服务。这是 Agent 供应链安全范式从「注入对抗」到「流程寄生」的转折。

四、问题解法

4.1 SkillPoison：三组件递进框架

类比：像一位老师不篡改教材内容，而是精心挑选一批「全部做对」的例题并附上解题归因，让学生自己归纳出一条错误的通用规则。

• ❶ 层级任务选择（HTS）：两步过滤候选任务。第一步「行为重要性」：把轨迹中 p* 替换为任务兼容的替代行为，计算输出 token 级差异 R(x_i, p*) = Edit(z_i, ẑ_i)/|z_i|，只留 R ≥ τ_R 的任务（p* 实质影响输出）；第二步「执行有效性」：逐条检查 K 条任务要求的满足比例 O ≥ τ_O（保证轨迹本身是成功的）。
• ❷ 局部证据锚定成功归因（LEGSA)：用 LLM 为每条选中轨迹生成结构化归因证据 G_i = (任务证据 e_i，成功归因 a_i，结果一致性论证 v_i，反事实后果 κ_i)，打包成形成记录 r_i = Φ(τ_i, G_i) 附加到原轨迹上——原执行与验证结果一字不改。作用是把 p* 从众多共现行为中标出来，明确「它对这次成功有贡献」。
• ❸ 全局跨经验归纳强化（GCTIR）：把任务按类别分组，对每个类别计算行为相关性 S_j 与轨迹-行为语义对齐 A_j 的加权得分，选 Top-M_c 个类别、每类取 b_j 条，合计不超过预算 B。作用是让 p* 成为跨类别共享的「反复被成功验证」的信号——技能泛化器会把它当可复用知识保留，但因为跨类别证据一致而丢失了原本的适用条件。

4.2 HarnessSecurity-Bench：三段式实证 + 基准

• RQ1 分类法：3 名 7 年以上经验的开发者对 8 个初始 harness 做开放式编码（open coding），再扩展到全部 40 个、与第 4 名 10 年经验研究者裁定边界，得到 10 种安全机制：auto-approve（AA）、网络隔离（NI）、命令白名单（CAL）、命令黑名单（CDL）、MCP 权限（MCP）、提示注入过滤（PIF）、路径限制（PR）、只读模式（RO）、审计日志（AL）、项目信任（PT）。
• RQ2 评级：3 个人类 + 3 个 LLM 评级员（Claude Opus 4.8、DeepSeek V4 Flash、GLM-5.2）对 400 个格子独立评级（D/C/O/A/U 五档），采用 Evidence-of-Thought 方法：每个非 U 评级必须引用源码路径与行号区间（记录 SHA-256 哈希），U 必须说明证据缺口。3/5 多数决，18 个无多数格子由 H1/H2/H3 三人复核裁定。
• RQ3 基准（HSB）：23 个任务（21 原创 + 2 改编自 Terminal-Bench）覆盖 Python/JS/C++/C#/Ruby/Go 六语言、5 个攻击面（仓库工件、指令/技能、工具接口、知识/记忆、外部服务）；攻击增强保持合法用户指令与效用预言机不变；效用与攻击各用独立的确定性预言机（检查文件/数据库状态、接收方记录、执行事件，而非 LLM 判分）；每格 ON/OFF 配对运行各 10 次，全部在隔离 Docker 容器中，统一底座 GLM-5.2，共 2500 次试验。

4.3 CORSA：簇级两阶段反思进化搜索

类比：像给一件伪装商品同时优化「货架排名」（被搜到）和「购买后自动安装」（被执行），且文案只有一份。

• 任务聚类：把基准 75 个查询用 GPT-5.4 聚成 8 个语义簇（coding/data-sci/document/engineering/gen-tooling/media/scientific/security），每簇 3–13 个任务共享领域词汇——单一技能的描述可以对整簇合理。
• 两阶段奖励：Stage A 只奖励检索排名第一 r_A = Hit(t,S’)（把技能推到 router 排序第一）；Stage B 从 Stage A 优胜者出发，奖励端到端成功 r_B = Hit(t,S’)·Exec(t,S’)（保持第一的同时让 Agent 真的执行载荷）。分阶段的理由是端到端信号太稀疏（两个 0/1 事件相乘）。
• 优化引擎：GEPA 反思进化搜索维护候选池，用反思 LLM 诊断失败并改写技能的名称/描述/正文三个可编辑字段；载荷固定不优化。检索竞争环境是固定的 2000 个良性技能（含各任务的真值技能）——投毒技能必须挤掉良性对手而非默认中奖。

4.4 PersistBD：实证 → 双因子分析 → 联合适配器

• 实证设计：从 SWE-smith 的 9094 条轨迹切出 5 个任务实例不相交的分区（后门插入/评估/开发者 SFT/PERSISTBD 训练/攻击者选参），攻击者完全不接触开发者训练数据。后门用「触发-目标配对」数据监督训练插入；评估用 100 条触发前缀 + 100 条干净对照。
• 双因子构造验证：从同一后门模型出发，组合强度适配器 Δ_s（降后门损失+良性正则）与兼容性适配器 Δ_c（沿后门梯度方向虚拟走一步 ε 后的良性损失作代理），扫 (α,β) 系数得到一组近似单因子变化的变体，再做 SFT 观察存活。
• PERSISTBD：发布前训练单个联合 LoRA 适配器 Δ_j，目标函数三项：λ_bd·L_bd（压深后门谷）+ λ_c·L_cl(θ+Δ_j−εĝ_bd)（兼容性代理：沿后门强化方向虚拟移动后良性损失仍应下降）+ λ_cl^j·L_cl（良性行为锚定），合并后发布。开发者随后的良性 SFT/RL 反而在给这个「深且方向兼容」的谷持续加固。

4.5 全景对比表

五、评估指标与实验证据

5.1 SkillPoison：ASR / Adoption / Acc 三指标体系

• 指标定义：ASR（攻击成功率，沿标准后门评估协议）衡量触发场景下产出攻击者目标输出的比例；Adoption（采纳率）衡量目标规则被下游执行应用的比例——论文特意把它与 ASR 分开，因为「行为被采纳」不等于「最终输出被改变」；Acc 是良性任务准确率（越低攻击越狠）。
• 数据集与设置：HANS（自然语言推理）、PAWS（复述识别）、DS1000（pandas 代码生成）覆盖语言与代码两类任务；受害模型 deepseek-v4-flash（温度 0），两个原生技能形成框架 AutoSkill（检索式）与 Trace2Skill（预载式），预算默认 15 条经验。
• 主结果（Trace2Skill）：PAWS 上 ASR 95.71%（对最强技能攻击 SkillJack 84.41% 即 +11.3pp）、Adoption 99.52%、Acc 被压到 3.81%；HANS 上 ASR 71.05%（+3.68pp vs SkillJack 67.37）、Acc 压到 13.00%；DS1000 上 ASR 36.64% vs SkillJack 14.29%（+22.35pp，全设置最大提升）。AutoSkill 上 HANS ASR 73.68%、DS1000 30.56%。对最强既有技能攻击的整体提升幅度 2.16–22.35pp。
• 证明力分析：六个设置中 ASR 全部第一、Adoption 五个第一，且两个框架（检索式/预载式）上均成立——说明结论不依赖特定流水线实现。Adoption 与 ASR 的分离本身是重要发现：OEP 在 PAWS+Trace2Skill 上 Adoption 98.09% 但 ASR 仅 6.21%，证明「采纳≠致害」，只有 SkillPoison 同时做高了两者。
• 预算效率：仅 5 条经验时 SkillPoison 已在 HANS/DS1000 取得最高 ASR（34.00%/13.80%），而 SkillJack 要到 15 条预算才在 PAWS 上从 2.90% 跳到 84.41%——证据组织的效率差异明显。
• 消融：去掉 LEGSA 后 PAWS Acc 从 57.62 回升到 90.48，去掉 GCTIR 回升到 88.57；HANS 上任一组件缺失 Acc 都从 24.00 回升到 96.00——两个组件在「让泛化器保留」与「让泛化器丢条件」两段缺一不可。

5.2 HarnessSecurity-Bench：机制级 ON/OFF 配对证据

• RQ2 实现矩阵：400 格中 205 确认实现（109 opt-in、96 默认开启）、83 确认缺失、112 未知；闭源 harness 53.1% 的格子未知（PIF 的 13 个闭源格子全部未知）。评级者一致性 Krippendorff’s α = 0.740（五评级员）/0.911（两人类）。
• RQ3 关键数字（6 harness、GLM-5.2 统一底座、2500 试验、81,155 次工具调用、22 亿 token、589 小时）：

• 证明力分析：同任务、同模型、仅切换机制开关的配对设计，是「安全收益」与「效用代价」得以解耦的关键；确定性预言机（口头拒绝与工具调用可共存、完成声明与环境状态可背离，正是 LLM 判分会误判的两类场景）保证了 ASR 测的是真实环境后果。案例 A（NI 挡住恶意回调也挡住合法装包：161/162 的效用损失全来自合法网络操作）与案例 B（CAL 挡住恶意脚本却被允许的 Python 解释器绕过）从任务级解释了机制失效与代价的微观机理。

5.3 CORSA：检索、执行、效用、自然度四指标

• 指标定义：Hit@1（router 排第一的比例）、ASR（排名第一且载荷执行的端到端比例，只检索到不算）、Utility（用户原任务仍完成）、Naturalism（GPT-5.4 判注入内容融合自然度）。
• 隐性防线量化：良性技能 Hit@1 100%，注入 SkillJect 后跌到 11.0%（ASR 仅 10.0%）——router 把既有注入攻击的 ASR 削减 87–97%，这是论文最核心的测量结果。
• 主结果（GPT-5.4，8 载荷平均）：CORSA Hit@1 32.3%（SkillJect 11.0%，约 3 倍）、ASR 22.0% vs 10.0%（2.2 倍），Utility 38.8% 与基线 38.3% 持平，Naturalism 0.17 vs 0.10。8 簇全部领先，document 簇 Hit@1 91.7% vs 16.4%。
• 泛化与迁移：paraphrase 任务上 ASR 11.5%、synthetic 新任务 5.4%（SkillJect 仅 1.0%/0.2%）；跨 5 个受害模型 ASR 全部超过 SkillJect（如 GPT-5.4 上 22.5 vs 9.8）；跨 scaffold（Codex→OpenHands 不重优化）ASR 16.2 vs 2.5——攻击不依赖单一受害者。
• 消融：单任务优化（Task-Wise）ASR 仅 1.8%、检索执行联合优化（Joint）6.2%，均远低于两阶段的 22.0%——簇级粒度与阶段分解各有贡献。
• 防御侧：静态扫描器（Cisco Skill Scanner、NVIDIA SkillSpector）0/8 检出；LLM 增强后最好 7/8（SkillSpector+Qwen3.8-27B，FPR 4.2%），最强配置仍漏 5/24 个 CORSA 包——一个漏网技能可被反复执行。

5.4 PersistBD：ASR / FTR / RR 贯穿 SFT→RL

• 指标定义：ASR（触发前缀下产出目标外传命令的比例）、FTR（干净输入下的误触发率，衡量选择性）、RR（SWE-bench Lite 300 题解决率，衡量良性效用）。
• RQ1 全流程实证：Base 后门发布时 ASR 100%；开发者 SFT 后跌到 20%（7B）/7%（30B）；RL 后不清除——7B 保持 20%，30B 从 7% 升到 8%，first-position 设置下 30B 从 6% 升到 12%。FTR 全程 0%。
• RQ2 因子扫描：固定兼容性 C∈[−0.009,0.008] 只变强度，post-SFT ASR 从 23% 单调升到 95%；固定强度变兼容性，ASR 总体随 C 增大——双因子各自独立贡献存活。
• RQ3 PERSISTBD（7B 主结果）：SFT 后 ASR 74% vs Base 20%（+54pp），RL 后 76% vs 20%；3B 为 21%/22%（vs 8%/7%），30B 为 37%/36%（vs 7%/8%）。因子表证实机制：S 从 10.9 升到 14.3，C 从 −0.079 翻正为 +0.016——良性更新从「填谷」变成「挖谷」。良性 RR 与 Base 持平（7B SFT 后 23/300 vs 20/300，RL 后均 27/300），即存活性增强不以任务能力为代价。
• 消融（7B）：去强度项 S 跌到 5.5、ASR 只剩 5%；去兼容性项或良性锚定项则 FTR 飙到 0.99/0.87 且一个 epoch 内 ASR 归零——三项分别是「够深」「方向对」「不误伤」的必要条件。
• 证明力分析：任务实例严格五区不相交（攻击者拿不到开发者数据）使威胁模型可信；100 条触发前缀的评估在 SFT 全程跟踪而非只看端点，捕捉到「SFT 削减并非单调」的现象。

六、效果优势的根源解释

6.1 SkillPoison：为什么「无害经验」比「恶意轨迹」更毒

因果链（每步均有论文实验支撑）：

1. 旧攻击在单条轨迹内直接暴露恶意行为/触发条件 → 与任务要求冲突 → 被原生轨迹分析器 Af 拒绝【预实验 36 例中 24 例被拒】；
2. 旧攻击以破坏当前任务为目标 → 产生的轨迹是失败轨迹 → 无法提供「行为↔成功」的正向配对证据 → 技能固化阶段无信号【3/36 完整成形】；
3. SkillPoison 全部经验通过验证且任务正确 → 防御检测面为零【文中明确所有注入经验通过验证与词法检查】；
4. LEGSA 的归因证据消除共现行为歧义 → Af 明确把 p* 与成功绑定【消融：去 LEGSA 后 PAWS Acc 回升 32.86pp】；
5. GCTIR 跨类别一致重复该绑定 → Ef 把 p* 当作跨任务可复用知识保留，但跨类别证据天然不携带统一适用条件 → 过度泛化【消融：去 GCTIR 后 Acc 回升 30.95pp；Obs.2 显示单类别证据只产生高 Adoption 低 ASR】。

根源：技能学习器是一个归纳机器，其安全性建立在「验证过的成功经验是可信的」之上；SkillPoison 证明这个公理本身可以被合法数据推翻——攻击面不在数据内容而在数据的统计结构。

6.2 HSB：为什么机制间的安全/效用剖面差异巨大

因果链：

1. NI/RO 封禁的是合法与恶意工作流共享的能力（装包需要网络、交付需要写文件）→ 挡攻击必然挡任务【NI 的 161/162 效用损失全来自合法网络操作；RO 的 347/367 损失全来自需要持久化改动的检查】；
2. CAL/CDL 只拦截特定命令模式 → 合法实现与验证大多可用允许的命令完成 → 近乎免费【CAL 仅损 1.5pp】；
3. CDL 拦截的动作本身会污染交付物（诱导的密钥拷贝使报告失效）→ 拦截反而保住效用【15/29 的效用增益来自不再含签名密钥材料的报告】；
4. AA 不是防御而是风险能力：跳过确认让合法操作与「维护材料」包装的恶意前置步骤同样畅通【ASR 六个 harness 全部上升】；
5. 允许的解释器仍可执行白名单外的脚本 → 替代执行路径是残余 ASR 的根源【案例 B：Qwen Code 用 Python 解释器跑被拒的校验器，6/6 效用检查与 3/3 攻击检查同时通过】。

根源：机制的安全收益取决于它切在「能力共享度」的哪一刀——共享能力封禁型（NI/RO）必然付出效用代价，精准拦截型（CAL/CDL）可以做到免费甚至净赚；而任何只覆盖部分路径的机制都逃不开 1975 年 Saltzer & Schroeder「完全仲裁」原则的诅咒。

6.3 CORSA：为什么检索感知让攻击起死回生

因果链：

1. SkillJect 等只优化「载荷执行」→ 注入文本（辅助脚本调用指令）破坏技能与查询的语义相关性 → router 把投毒技能排到 2000 名开外 → 攻击根本没被尝试【良性技能 Hit@1 100% vs SkillJect 11.0%】；
2. CORSA Stage A 直接把排名当奖励 → GEPA 改写名称/描述/正文重建语义匹配【Hit@1 32.3%】；
3. 排名第一只是必要条件 → Stage B 在保持排名第一的约束下优化执行诱导 → 端到端 ASR 翻倍【22.0% vs 10.0%】；
4. 簇级优化让一份技能的描述对同簇 3–13 个任务都合理 → 单技能捕获整簇下游用户【单任务优化 ASR 仅 1.8%】；
5. 两阶段分解规避稀疏奖励【联合优化 ASR 仅 6.2%】。

根源：既有攻击把「被选中」当成环境免费提供的常数，而真实技能市场里它是一个竞争性的、可被文本优化的中间层。检索系统一旦成为攻击链的一环，它对良性内容的相关性偏好恰恰可以被利用——这本质上是检索系统优化的可移植性（GEPA 本为良性提示优化设计）被武器化。

6.4 PersistBD：为什么良性训练反而为攻击打工

因果链：

1. SFT 良性梯度 G_cl 与后门梯度 G_bd 内积为负（C<0）→ 每步更新都在填后门的谷 → Base 后门 ASR 100%→20%【RQ1 实测】；
2. 但一阶展开同样指出：把 S 拉深（谷深难填）或把 C 翻正（良性更新顺带挖深后门谷）都能保命【因子扫描：S 单因子下 ASR 23%→95%】；
3. PERSISTBD 同时做高两因子（S 10.9→14.3，C −0.079→+0.016）→ 开发者每一步良性 SFT 都在给后门加固 → 74% 存活【RQ3】；
4. RL 用的是任务奖励 GRPO，奖励信号完全不感知后门梯度 → 残余行为保留甚至被能力提升顺带放大【RL 后 76%；first-position 30B 6%→12%】；
5. 良性锚定项压住 FTR ≈ 0 → 后门保持选择性，不触发开发者警觉【消融：去锚定 FTR 0.87、一个 epoch 内 ASR 归零】。

根源：良性后训练的「洗刷力」不是一个常数，而是攻击者可以在发布前预编程的变量——梯度空间中的方向一致性决定对抗行为在后续优化中的命运。

6.5 外部交叉验证

以下文献均可在 arXiv/官方页面核验（交叉验证基于四篇论文引文网络中给出的可核验信息；因四篇均为 2026 年 10 月新作，尚无后续独立研究）：

6.6 综合判断与未决问题

多研究共同支持的机制：(1) RL/GRPO 不清除后门——Sleeper Agents、Malice in Agentland、PersistBD 在不同 RL 目标与场景下三方一致；(2) 检索/中间层可被文本优化操纵——ToolHijacker/ToolTweak（工具域）与 CORSA（技能域）互相印证；(3) 精准拦截优于能力封禁——HSB 实证与完全仲裁原理一致。

仍属推测或单点证据的机制：SkillPoison 的「归纳偏置操纵」仅在 2 个技能框架、3 个数据集上验证，对更复杂技能泛化器（含检索式 Adopt 流程）的外推未证；PersistBD 的一阶近似是局部的（作者自述不能预测完整训练轨迹，RL 中 ASR 上升的机制未解决）；CORSA 的 22% ASR 距离「必成攻击」仍有距离，防御评估显示 LLM 增强扫描可拦截大部分包。

失效条件：若技能形成器开始显式建模「适用条件」并在归纳时保留（SkillPoison 结论一节正是呼吁此方向），GCTIR 的跨类别去条件化会失效；若 harness 封禁解释器类工具（CAL 案例B的补丁），白名单收益会下降；若 router 引入对抗训练或多样性约束，检索感知攻击的成本将上升；若开发者后训练中掺入后门检测数据，PERSISTBD 的存活假设被打破。

七、必要知识反推

假设一个没有背景的人要独立完成这四项研究，最少必须掌握：

7.1 领域知识层

• 自进化 Agent 的技能形成机制：不理解「轨迹→分析→提炼→检索→复用」的流水线，就无法定位 SkillPoison 的攻击窗口在分析器与提取器之间；
• 编码 harness 的五阶段循环（读上下文→规划→授权→执行→更新演化）与六类攻击面：HSB 的 10 机制分类法正是沿这个循环的执行点切分的；
• 技能路由架构（词法 BM25 / 稠密嵌入 / 两阶段重排）：CORSA 的 5 个 router 配置横跨三类，不懂检索就无法理解 Hit@1 为什么能被文本优化；
• SFT 与 GRPO 的训练动力学：PersistBD 的全部因子分析建立在「损失面的谷」与「梯度方向」的直觉上。

7.2 方法论知识层

• 后门评估协议（ASR/FTR 双指标、触发-干净配对）：四篇里三篇直接沿用；
• 一阶泰勒展开与梯度内积：PersistBD 把 L_bd(θ−ηG_cl) 展开成「初值+梯度交互」是全文的理论枢纽；
• 反思进化搜索（GEPA）：CORSA 的武器库，需知道它维护候选池、用反思 LLM 基于任务级反馈改写文本；
• 实证研究方法：开放/主轴编码、多评级员独立评级、Krippendorff’s α 一致性、Evidence-of-Thought 证据链——HSB 的可信度全部建立在这套软件工程实证方法上；
• 归纳偏置与泛化理论：SkillPoison 的核心洞察要求作者同时站在「技能学习设计者」和「攻击者」两个视角。

7.3 工程知识层

• Docker 隔离的可复现试验设计（HSB 每试验独立容器、固定镜像与 pinned commit）；
• 确定性预言机设计（状态+事件双通道，避免 LLM 判分误差）；
• LoRA 适配器训练与合并（PersistBD 的强度/兼容性/联合三类适配器）;
• 大规模评测的成本核算（HSB 记录 22 亿 token、589 小时用于说明实证规模边界）。

7.4 知识融合的关键节点

四个「化学反应」节点：(1) SkillPoison 把「技能学习=良性归纳」的视角反转为攻击面——需要同时精通技能形成文献与后门攻击文献才能想到「用合法数据操纵归纳」；(2) PersistBD 把一阶梯度分析（理论）直接转译为可训练的损失项（工程）——兼容性代理 L_cl(θ−εĝ_bd) 是数学与攻击构造的闭环；(3) CORSA 把为良性 prompt 优化设计的 GEPA 武器化到检索竞争环境——跨领域工具迁移；(4) HSB 把社会科学的编码方法与安全基准的预言机方法焊接成 Evidence-of-Thought——方法论杂交。

八、论文中可以提取的通用性灵感

灵感一：供应链审计必须覆盖「学习环节」，产物检查会系统性失明

核心思想：验证每件产物都合规 ≠ 验证学习过程未被操纵；当防御公理是「通过验证的输入可信」时，攻击者可以只操纵输入的统计结构而不违反任何单条规则。 论文证据：SkillPoison 全部注入经验通过验证与词法检查，ASR 仍达 95.71%；HSB 中静态扫描器对投毒技能 0/8 检出。 推广场景：推荐系统的行为数据审计（合规行为流仍可塑造有害偏好）、RAG 语料入库审查、代码仓库的依赖行为分析、金融反洗钱的单笔合规vs模式识别。

灵感二：安全机制的评估必须「同环境配对 + 收益代价双轴」

核心思想：任何防御机制都应被量化为（Δ安全, Δ效用）二维向量而非「有没有」；单轴评估必然误导选型。 论文证据：NI 降 ASR 56.3pp 但损效用 24.5pp，CDL 降 40.4pp 反而+5.2pp——同为「防命令」机制剖面截然不同。 推广场景：企业权限系统的最小权限评估、杀毒软件的误报-检出曲线、风控规则的成本收益审计、API 限流策略的效果评估。

灵感三：中间层（检索/路由/排序）既是隐性防线又是可优化攻击面，评估必须端到端

核心思想：任何「先竞争、后被使用」的两阶段系统里，只评估后段的攻击数字会高估威胁（或让防御者错判安全余量）；反之，中间层本身可被对抗性优化攻陷。 论文证据：router 使 SkillJect ASR 缩水 87–97%，但检索感知优化后又翻倍到 22% 且跨模型/scaffold 迁移。 推广场景：模型路由与 Mo专家选择的对抗鲁棒性、搜索排序的 SEO 作弊治理、广告竞价的质量分操纵、RAG 混合检索的投毒防御。

灵感四：对抗行为的存活性 = 初始深度 × 与后续优化的方向一致性

核心思想：想在下一次（良性）训练/更新中幸存的任何行为——无论恶意后门还是良性能力——都遵循同一规律：学得越深越难被冲掉，且与后续优化方向越一致越会被顺带强化。 论文证据：S 单因子扫描 ASR 23%→95%；C 从 −0.079 翻正后开发者良性 SFT 反而使攻击存活 74%。 推广场景：持续学习中的灾难性遗忘缓解（把重要能力做成「深且兼容」）、模型合并的冲突预测、联邦学习中的恶意客户端检测、对齐训练在后续微调中的保持（alignment stability）。

灵感五：共享能力封禁必然双刃，精准拦截可以免费——切分粒度决定安全工程成败

核心思想：限制措施的代价取决于它切在能力共享谱系的哪一刀；越靠近「仅恶意工作流依赖的具体路径」越便宜，但覆盖所有替代路径才有效（完全仲裁）。 论文证据：NI/RO 封共享能力伤效用 24.5–34.0pp；CAL/CDL 精准拦截近乎免费；案例 B 显示允许的解释器让白名单失效。 推广场景：零信任架构的范围设计、数据库行级vs表级权限、浏览器沙箱的能力模型、CI/CD 中密钥访问路径的收敛。

灵感六：「全部通过验证」与「语义上像正常流量」是新一代攻击的共同特征

核心思想：四篇论文的攻击（或攻击评估）全部绕开了「检测异常」类防御——经验合法（SkillPoison）、流程合法（HSB 攻击载荷伪装成维护步骤）、文本自然（CORSA Naturalism 提升）、行为干净（PersistBD FTR=0）。检测型防御的失效模式是共通的。 论文证据：见各篇指标；防御侧唯一有效的组合是 LLM 增强扫描（7/8）加机制级拦截，而非内容检测。 推广场景：欺骗检测（社交工程的「合理请求」）、入侵检测的正常流量伪装、深度伪造的内容级vs行为级检测分层。

四篇论文合起来给 Agent 开发者的教训可以压成一句话：你的每一个正常工作环节——归纳、检索、拦截、训练——都在替某个看不见的攻击者打工，除非你为每个环节单独做过 ON/OFF 级别的实证。