Pretext：绕过 AI Agent 恶意 Skill 检测框架

arXiv 论文 Pretext 指出，OpenClaw、Claude Code 等 Agent 会通过 skill 注入指令与信息。NVIDIA 的 SkillSpector 等新型防御会在安装前扫描 skill，结合确定性静态检查与 LLM 语义判断。但论文展示，知道检测器内部逻辑的白盒攻击者可以迭代构造 skill，把载荷从代码搬进自然语言、把恶意意图包装成 skill 的合法用途、并把指令拆分到多个文件，从而同时绕过静态检查和 LLM 判断。

此前第三方 skill 市场已被证明存在恶意 skill，防御思路是安装前静态扫描加 LLM 语义审查。这篇论文表明，一旦攻击者了解检测器，静态检查会因载荷转为自然语言而失效，LLM 审查也能被合法用途包装和指令拆分压低到拦截阈值以下。这改变了 skill 安全审查的可信度前提：检测器的隐蔽性本身成为防御的一部分。

检测体系分两层：静态检查依赖代码特征，LLM 判断依赖语义可疑度。Pretext 利用白盒信息逐轮迭代：把载荷移出代码使静态层无特征可查；把恶意目标表述为 skill 的正当功能，使语义层认为合理；再把完整指令分散到多个文件，使单次 LLM 判断看不到全貌，从而低于拦截阈值，同时仍完成正常任务以维持隐蔽。

对提供 Agent skill 市场、企业内部 skill 仓库或安装前扫描能力的产品，意味着仅靠静态规则加单次 LLM 判断的防护可能被掌握检测逻辑的攻击者绕过。研发需要评估：是否引入多文件联合分析、安装后运行时监控、payload 行为验证，以及是否隐藏检测器细节以降低白盒攻击收益。

• 在 skill 安装流程中加入跨文件联合语义分析，避免单文件拆分绕过 LLM 判断
• 对高权限 skill 增加运行时行为监控，检测自然语言指令触发的实际越权动作
• 建立 skill 检测器的红队迭代机制，用白盒攻击持续评估检测阈值
• 对第三方 skill 市场引入发布者信誉与人工复核，降低纯自动化扫描的依赖

• Pretext 在真实生产环境的检测器中是否有同等效果，论文只测试了三个开源模型
• OpenClaw 和 Claude Code 当前是否已采用 SkillSpector 或类似防护
• 多文件联合分析与运行时监控能否有效降低该攻击成功率
• P额 97% 与 77% 的逃逸率对应的具体模型和测试集规模未在证据中说明