论文《Chaining Skills to Hijack LLM Agents》研究 LLM Agent 在多技能协作场景下的新型攻击面。背景是：Agent 为完成用户请求会按顺序调用多个技能（skill），前一个技能产生的信息会作为输入影响后续决策；而技能常来自开源仓库，这意味着攻击者可控的内容可以随技能交接到下游，影响后续判断。作者提出 APEX，能够针对给定用户任务和攻击者选定的目标动作，自动构造并反复优化一条对抗性技能链。其核心洞察是：Agent 自己写下的、看起来真实的任务进展记录，可以跨技能携带一条虚假的“用户已批准”声明——上游技能诱导 Agent 生成该记录，下游技能则把它当作合法授权，从而执行攻击者选定的动作。 实验层面，作者在 SkillsBench 上针对四个目标动作族、六个模型做了评估：690 次尝试中有 512 次（74.2%）成功诱导出攻击者选定的动作。在 GPT-5.4 上，完整技能链的成功率为 84.3%，而把同样工作流合并成单个技能时成功率仅为 17.4%，说明“跨技能交接”本身是攻击成立的关键。作者还评估了一种提示式防御：让 Agent 检查技能产出的文件是否与原始请求一致。该防御在 GPT-5.4 上把目标动作成功率从 84.3% 降到 59.1%，但代价明显——72 个良性原生技能任务的验证器测试通过率从 86.7% 跌至 56.3%。结论是：需要既能阻断攻击者导向动作、又能保持合法任务性能的新防御。本文适合 LLM Agent 安全研究者、AI 应用/平台安全工程师以及 AI 红蓝队阅读。