该论文研究 LLM Agent 的 Skill(可复用技能)供应链投毒问题。随着 Agent 越来越多地依赖可复用的 Skill 来完成多步骤复杂任务,Skill 内容成为一种关键攻击面:在用户请求本身完全无害的情况下,被投毒的 Skill 内容仍可在 Agent 的决策循环中把执行导向攻击者期望的方向。作者指出现有 Skill 投毒研究的两类做法——把"执行动作"与其上下文借口写在同一处,或把执行动作拆分到多个 Skill 中——都没有显式地把"为什么要执行"与"执行什么"分离。 论文提出一个抽象模型:不可信的 Agent 决策本质上依赖两个概念上相互独立的"风险实现因子"(Risk-Realization Factors, RRFs)。其一是 actuation factor(执行因子),规定具体执行什么操作;其二是 pretext factor(借口因子),提供情境化的理由,解释 Agent 为什么必须执行该操作。基于该抽象,作者提出一种"协同式"攻击范式:将 pretext 与 actuation 解耦。具体而言,恶意执行动作不再被碎片化,而是作为一段完整、自洽的操作保留在下游的 Steering Skill 中;而 pretext 因子被委派给上游的 Grounding Skill,由后者通过看似常规的工具/实用操作,隐蔽地修改持久化的环境工件(如环境状态、上下文痕迹),从而伪造出"情境理由"。这样一来,完整的恶意操作"藏在明处"——只有当它被拿去与伪造好的 pretext 对照评估时,才显得完全合法且由任务驱动。 在此公式化基础上,作者构建了自动化框架:自动发现真实存在的执行依赖关系、合成相互协同的 pretext-actuation Skill 对,并通过运行时闭环反馈迭代优化被投毒的 Skill 指令。论文在单会话场景与跨生命周期的持久化场景下做了大量评估,结果显示解耦式 Skill 投毒能达到很高的攻击成功率,暴露出当前"逐个 Skill 孤立审计"的安全流程存在严重盲区。作者已公开其自动化框架代码。