该论文研究 AI Agent 技能（Skill）供应链的安全检测问题。技能通过把指令与信息注入到 Agent 上下文中来扩展其能力，已被 OpenClaw、Claude Code 等 Agent 广泛采用；此前研究已证实第三方技能市场存在恶意技能，攻击者可借此直接操控受害者 Agent。针对这一风险，业界出现了一类安装前扫描防御：将确定性静态检查与基于 LLM 的语义裁判相结合，NVIDIA 的 SkillSpector 即属此类。本文提出 Pretext——一个掌握检测器内部逻辑的白盒 LLM 攻击者，通过迭代方式构造技能，使其既能规避检测，又能同时投递恶意载荷并正常完成声明的良性任务。作者归纳出三条使现有防御失效的关键机制：其一，将载荷从可执行代码迁移到自然语言表述，使静态分析完全失效；其二，把恶意意图包装成该技能宣称的合法用途，使语义裁判难以判定为异常；其三，把指令拆分到多个文件，使 LLM 检测阶段看不到完整语义，从而落在拦截阈值之下。实验在三个开源模型上进行，Pretext 对冻结（固定不变）检测器的规避成功率最高达 97%，对协同自适应（随攻击同步演化）的检测器仍达 77%。结果说明当前技能扫描器存在显著结构性缺口，仅靠单次安装前扫描难以抵御了解检测逻辑的对手。该工作适合 Agent 平台安全团队、供应链安全与红队研究者阅读，并为技能审查机制的设计提供对抗性评估基线。