# 跨会话技能组合攻击

智能体技能包在执行中会留下文件、配置和缓存等持久化产物，后续会话的其他技能会读取并复用它们，这条跨会话通道被用来传递恶意影响。研究刻画了指令传播、数据边界越界和证据投毒三种机制，并构建含270个对抗用例的SkillRelayBench，在Codex CLI、Gemini CLI和Claude Code上评测七款模型，攻击成功率46.7%至77.4%，完整攻击链成功率35.6%至61.1%。运行时防御SkillRelayGuard在读取产物时恢复来源上下文、在执行前给出独立审查建议，把总体攻击成功率从69.5%降到10.9%，同时把合法任务完成率从79.6%提高到87.5%。

智能体技能包在执行中会留下文件、配置和缓存等持久化产物，后续会话的其他技能会读取并复用它们，这条跨会话通道被用来传递恶意影响。研究刻画了指令传播、数据边界越界和证据投毒三种机制，并构建含270个对抗用例的SkillRelayBench，在Codex CLI、Gemini CLI和Claude Code上评测七款模型，攻击成功率46.7%至77.4%，完整攻击链成功率35.6%至61.1%。运行时防御SkillRelayGuard在读取产物时恢复来源上下文、在执行前给出独立审查建议，把总体攻击成功率从69.5%降到10.9%，同时把合法任务完成率从79.6%提高到87.5%。