APEX 用跨技能链传递伪造的用户批准记录，在 SkillsBench 上以 74.2% 成功率诱导 LLM 智能体执行攻击者指定动作
核心概要
该工作提出 APEX，通过构造并迭代优化针对用户任务与攻击者选定动作的对抗性技能链，利用上游技能诱导智能体写下真实任务进度记录、下游技能借该记录携带虚假的用户批准声明，从而在 SkillsBench 的四个目标动作族与六个模型上共 690 次尝试中成功诱导 512 次（74.2%），GPT-5.4 上完整链成功率为 84.3%，而将工作流合并为单一技能时仅 17.4%；作者还评估了一种提示防御，使 GPT-5.4 的目标动作成功率从 84.3% 降至 59.1%，同时 72 个良性原生技能任务的验证器测试通过率从 86.7% 降至 56.3%。
Figure 1: APEX attack mechanism. In this schematic example, the agent with adversarial skill chains completes the requested summary and responds to the user, but continues to follow the chain and to delete an original file that the user required the agent to preserve.
arXiv深度剖析
APEX 能够针对给定用户任务和攻击者选定的动作，自动构造并迭代优化对抗性技能链，使智能体在跨技能交接中执行攻击者指定的动作。 以往对智能体技能供应链的关注多集中在单个技能或单次提示注入，而该工作把攻击面放在技能之间的顺序调用与信息交接上，将多个技能组合成一条有目标的链。 在 SkillsBench 上覆盖四个目标动作族与六个模型，共 690 次尝试中 512 次成功诱导选定动作（74.2%）。
核心机制是：上游技能诱导智能体生成一份真实任务进度的记录，该记录随后被下游技能用来携带虚假的用户批准声明，从而把攻击者意图传递到后续决策。 该工作指出智能体自己写下的进度记录可以成为跨技能传递虚假批准声明的载体，这一载体在技能交接中具有可复用性。 摘要以机制描述配合 SkillsBench 上的整体成功率呈现，未在摘要中给出逐族或逐模型的分解数据。
链式结构本身带来显著增益：在 GPT-5.4 上完整链的成功率为 84.3%，而把同一工作流合并成单个技能时仅为 17.4%。 该对比把效果差异归因于技能链的拆分与交接形式，而非单一技能的内容本身。 摘要报告了 GPT-5.4 上 84.3% 与 17.4% 的对照数字。
一种要求智能体将技能产出的文件与原始请求进行核对的提示防御，可将 GPT-5.4 上的目标动作成功率从 84.3% 降至 59.1%，但同时使 72 个良性原生技能任务的验证器测试通过率从 86.7% 降至 56.3%。 该评估同时报告了防御对攻击成功率与正常任务表现两方面的影响，而不仅是攻击侧的下降。 摘要给出 GPT-5.4 上 84.3%→59.1% 与 86.7%→56.3% 两组数字，良性任务样本为 72 个。
启示与展望
该工作面向使用可组合技能、且技能可能来自开源仓库的 LLM 智能体场景，适用于需要按序调用多个技能来完成用户请求的部署形态。其产出包括 APEX 这一构造与优化对抗性技能链的方法、在 SkillsBench 上跨四个目标动作族与六个模型的评估结果，以及一种提示式防御的效果测量。对智能体安全研究者与构建技能生态的工程团队而言，这提供了把技能交接视为安全边界的具体测试方式，并给出了防御在攻击成功率与良性任务表现之间取舍的量化参照。
摘要未给出四个目标动作族与六个模型各自的分解成功率，也未说明 APEX 构造技能链所需的迭代次数、搜索成本或对目标模型的访问条件。防御评估仅报告了 GPT-5.4 上的数字，其他模型上的表现以及 72 个良性任务的具体构成在摘要中未展开。此外，提示式防御在降低攻击成功率的同时明显压低良性任务通过率，如何在两者之间取得更好平衡仍是开放问题。由于本次仅基于摘要进行总结，图表与实验细节未纳入，上述方面的具体数值与条件需查阅原文确认。