本文关注 LLM 智能体在引入第三方 skill 后的安全风险。当前智能体普遍通过第三方 skill 扩展能力,这些 skill 会提供任务指令、脚本和工具使用流程。问题在于:即使 skill 本身看起来无害,只要其中被插入了恶意指令,一个完全良性的用户请求也可能被诱导触发危险的 Tool Call,例如数据外泄、删除文件或未授权代码执行。现有防护方案(如 Dynamic Guardian、SkillGuard)在这一场景下防护不足,因为它们需要接触或依赖可能已被污染的 skill 文本,攻击者可以把恶意指令藏在对防护器可见的上下文中。 论文提出 ActionGuard,一种在 Tool Call 真正执行之前进行拦截与授权的机制。其核心设计是把目标智能体的动作生成上下文与防护器的授权上下文相互解耦:目标智能体仍然可以使用原始 skill 进行规划,但负责裁决的 Reviewer 不会收到可能被污染的原始 skill 文本。Reviewer 改为依据三类受信证据做判断——平衡化的 skill profile(balanced skill profile)、当前与最近的 Tool Call 记录、以及本地脚本内容,从而判定每一个动作是否能被可信的用户请求所正当化。ActionGuard 在 OpenClaw 的 before-tool-call 阶段拦截每一次 Tool Call,并在 fail-closed(默认拒绝)策略下强制执行 Reviewer 的 ALLOW 或 DENY 裁决。 评估方面,作者在 SKILL-INJECT 设定下构建了 139 个上下文型注入样本和 180 个显式注入样本,与 Dynamic Guardian、SkillGuard 进行对比,使用三个开源模型和两个商用模型作为 Reviewer,每个实验条件重复三次,采用攻击成功率(ASR)和任务成功率(TSR)作为指标。结果表明:ActionGuard 相对现有防护方案将 ASR 降低 35.54% 至 46.11%,相对无防护基线降低 70.44%,同时保持了较高的良性任务完成率。 论文的主要贡献在于:提出并验证了"执行边界授权"(execution-boundary authorization)这一思路,即把授权判断建立在可信用户意图与运行时证据之上,而非建立在可能被污染的 skill 文本之上;并给出了在真实 agent 运行时(OpenClaw)中可落地的拦截点与失败关闭策略。该工作适合智能体框架开发者、LLM 应用安全研究者以及负责 AI 工具链安全的防御团队阅读。