本文针对技能增强型智能体（skill-augmented agents）的安全问题展开研究。此类智能体会将可复用的技能作为持久化运行时上下文加载，以提升任务执行能力，但这也为恶意技能提供了长期影响后续行为的通道。恶意技能可能在特定用户任务和工作区状态下，诱使智能体泄露机密、破坏代码、绕过审批或将数据暂存以备外传，使得安装前的审查不足以防范风险，因此需要运行时且任务条件化的防护机制。作者提出一种名为 Defense-as-Skill 的防御范式，将运行时守护本身实现为可安装、可检查、可编辑的技能。其守卫模块 SkillSonar 与不受信任的任务技能并行运行，针对用户任务边界检查敏感操作，并将操作路由到允许（allow）、重新规划（replan）或确认（confirmation）决策，无需修改底层智能体运行时。为评估该方案，作者构建了任务条件化数据集 SCOPE-R，涵盖 6 个风险族和 21 个子类别，包含 206 个攻击确认的恶意实例和 43 个良性任务。然后通过运行时守护技能演化（一种蒙特卡洛树搜索过程，根据回放反馈迭代磁盘上的守卫技能）改进 SkillSonar。在 Claude Code 和 OpenClaw 上的实验表明，演化后的守卫大幅降低了攻击成功率，同时保持了良好的安全-效用平衡。在 GLM-5 的重复运行中，SkillSonar 将 ID ASR 从 0.482 降至 0.104，OOD ASR 从 0.606 降至 0.115。进一步分析展示了跨受害者模型、未见过风险族和外部基准的迁移能力，以及对自适应攻击者的持续防护。消融实验还表明，显式安全责任分配和技能原生表示对性能提升都至关重要。

该论文提出了一种名为 LinkGuard 的轻量级运行时防护机制，用于防御 Windows 文件系统中的链接跟随攻击（link following attacks）。链接跟随攻击通常利用符号链接、硬链接或挂载点等文件系统机制，诱导高权限进程访问恶意构造的链接，从而实现权限提升或文件系统操作劫持。LinkGuard 的核心思想是在内核层维护文件系统的状态信息，包括文件对象、链接关系和进程上下文，从而在每次文件操作前实时判断是否涉及危险的链接跟随。它采用轻量级 hook 技术，仅对关键系统调用（如 CreateFile、NtCreateFile 等）进行监控，并通过状态机模型跟踪文件对象的历史状态，识别出可疑的链接切换行为。实验表明，LinkGuard 对常见链接跟随攻击（如 CVE-2018-8440、CVE-2020-0668 等）的检测率接近 100%，同时平均性能开销低于 5%，适用于生产环境。该工作主要贡献包括：1）提出状态感知的链接跟随攻击检测模型；2）设计并实现了低开销的内核模块；3）在真实漏洞样本上验证了有效性。