该论文研究了一种针对智能体AI（Agentic AI）的新攻击面——动态恶意技能（Dynamic Malicious Skills）。技能是智能体AI的核心组成部分，通过自然语言文档（如SKILL.md）定义，允许代理动态加载和执行代码。攻击者可以在这些文档中嵌入恶意指令，诱导智能体在运行时将恶意逻辑注入到原本良性的技能中，从而绕过传统的静态安全检测。作者在OpenHands和Claude Code等主流智能体框架上评估了该攻击，实验表明动态恶意技能能够以较高的成功率引入多种恶意行为，包括数据泄露、权限提升和拒绝服务。为了防御，论文提出了一种系统级防护方案：利用操作系统内核强制实现的只读挂载（read-only mounts）来阻止技能的动态修改。评估显示该防御能有效阻断动态恶意技能，同时不影响良性技能的正常功能。该工作揭示了技能机制中存在的安全隐患，为智能体AI安全提供了新的研究方向和防御思路。适合关注AI安全、智能体系统安全的研究人员和工程人员阅读。

该论文研究了大语言模型（LLM）代理在依赖可复用技能（即描述任务特定流程的文档）时面临的新安全威胁，并探索了两种互补的防御方向。首先，作者评估了基于守护者的防御机制：动态守护者作为一个中间LLM代理，在运行时对技能文件的访问进行实时调解；静态守护者则在构建时预先重写技能文件以移除潜在恶意内容。在三个不同的LLM代理系列上进行的实验表明，这两种守护者均能将攻击成功率（ASR）降低超过一半，同时保持任务效用。其次，作者通过攻击重述（attack reframing）技术对守护者进行压力测试，使用了四种保留恶意指令但改变措辞的攻击变体。在没有守护者的情况下，重述攻击将ASR提升至81.4%，但动态守护者将其降至18.6%，证明了实时调解作为稳健防御的有效性。该研究揭示了LLM代理安全中技能注入攻击的威胁，并提供了实用的防御方案。