跳转至

文章背景与核心概要

自进化技能（SES）系统通过将智能体的执行轨迹提炼为持久化技能，代表了人工智能智能体领域的一种范式转变——它有效地将不可信的经验转化为了可信的系统指令。本文引入了一种名为 PoisonedEvolution 的新型轨迹投毒攻击，专门针对这种技能提升（Skill-Promotion）机制。

攻击者在其中扮演技能可见的黑盒角色：他们可以检查目标技能并贡献受限制的证据，但无法观察私有池、访问进化逻辑或直接编辑技能库。成功的攻击需要经历三个阶段：包含（Inclusion）、进化归因（Evolution Attribution）和实现（Realization）。其中，安全的核心瓶颈在于“归因”阶段，该阶段要求目标行为在被提升之前，必须表现出因果上的有用性、重复性以及可泛化性。

核心实证发现包括：在 SkillClaw 的六个主流大语言模型进化器中，在 10% 的攻击者支持比例下，PoisonedEvolution 在 91.0% 的试验中（546/600）成功嵌入了目标行为；在结构不同的 Trace2Skill 管道上，相同比例下的成功率为 61.5%（369/600）；对照研究和消融实验表明，在 30 条记录的批次中，3 条一致的攻击者记录就足够了，而循环支持、因果框架和领域对齐编码是攻击成功的关键驱动因素。这些结果表明，证据提升机制是自进化智能体生态系统中一个关键且以往被忽视的安全边界。

When Experience Becomes Instruction: Trajectory Poisoning in Self-Evolving Agent Skill Systems

arXiv: [arXiv:2608.05563 [cs.CR]]
Primary Subject: Cryptography and Security (cs.CR)
Secondary Subjects: Artificial Intelligence (cs.AI)
Submitted: August 6, 2026
Authors: Jialuo Chen, Lingqi Jiang, Xinhao Deng, Xiaohu Du, Jianan Ma, Yunhao Feng, Yuqi Qing, Zhihao Yuan, Linkang Du, Jingyi Wang

📌 Summary

自进化技能（SES）系统通过将智能体的执行轨迹提炼为持久化技能，代表了AI智能体领域的一种范式转变，它有效地将不可信的经验转化为了可信的系统指令。本文介绍了 PoisonedEvolution，一种针对该技能提升机制的新型轨迹投毒攻击。

Self-evolving skill (SES) systems represent a paradigm shift in AI agents by distilling agent execution traces into persistent skills—effectively transforming untrusted experience into trusted system instructions. This paper introduces PoisonedEvolution, a novel trajectory-poisoning attack that targets this skill-promotion mechanism.

攻击者以技能可见的黑盒形式运作：他们可以检查目标技能并贡献受限的证据，但无法观察私有池、访问演化逻辑或直接编辑技能库。人工制品的成功投毒需要三个阶段：包含（Inclusion）、演化归因（Evolution Attribution）和实现（Realization）。主要的安全瓶颈是归因（Attribution），它要求目标行为在被提升之前表现出因果上的有用性、重复性和可泛化性。

The attacker operates as a skill-visible black-box: they can inspect a target skill and contribute bounded evidence, but they cannot observe private pools, access evolution logic, or directly edit the skill bank. Successful artifact poisoning requires three stages: Inclusion, Evolution Attribution, and Realization. The primary security bottleneck is Attribution, which demands that target behaviors appear causally useful, recurrent, and generalizable before being promoted.

关键的实证发现包括： * 高成功率 (SER)： 在 SkillClaw 中跨六个主流 LLM 演化器，在 10% 的攻击者支持比例下，PoisonedEvolution 在 91.0% 的试验中成功嵌入了目标行为（546/600）。 * 跨架构迁移： 在结构不同的 Trace2Skill 管道上以相同比例运行，攻击在 61.5% 的试验中成功（369/600）。 * 对照研究与消融实验： 一项对照研究表明，在 30 条记录的批次中，三条一致的攻击者记录就足够了（而单条记录表现较差）。消融分析表明，重复支持、因果框架和领域对齐编码是攻击成功的主要驱动因素。

Key empirical findings include: * High Success Rate (SER): At a 10% attacker support ratio across six mainstream LLM evolvers in SkillClaw, PoisonedEvolution successfully embedded target behaviors in 91.0% of trials (546/600). * Cross-Architecture Transfer: On the structurally different Trace2Skill pipeline at the same ratio, the attack succeeded in 61.5% of trials (369/600). * Controlled Study & Ablations: A controlled study reveals that three consistent attacker records suffice in a 30-record batch (whereas a single record performs poorly). Ablation analyses indicate that recurring support, causal framing, and domain-aligned encoding are the primary drivers of attack success.

这些结果表明，证据提升是自进化智能体生态系统一个关键且此前被忽视的安全边界。

These results expose evidence promotion as a critical and previously overlooked security boundary for self-evolving agent ecosystems.

📋 Abstract

自进化技能（SES）系统将智能体轨迹提炼为持久化技能，使不可信的经验能够转化为可信的指令。我们引入了 PoisonedEvolution，这是一种针对此提升过程的轨迹投毒攻击。我们的技能可见黑盒攻击者可以检查目标技能并贡献受限的证据，但无法观察私有池或演化逻辑，也无法编辑技能库。人工制品投毒需要经历包含、演化归因和实现阶段。归因是独特的瓶颈：目标行为在提升之前必须显得具有因果实用性、重复性和可泛化性。我们使用惰性金丝雀规范评估了四个代表性的安全效应系列。在 10% 的攻击者支持下，在 SkillClaw 的六个主流 LLM 演化器中，PoisonedEvolution 在 546/600 次试验中嵌入了目标行为（91.0% SER）。在相同比例下，在结构不同的 Trace2Skill 管道上，它在 369/600 次试验中嵌入了目标行为（61.5% SER），证明了跨演化架构的迁移性。在代表性的对照研究中，30 条记录的批次中需要三条一致的攻击者记录就足够了，而单条记录则弱得多。消融实验确定重复支持、因果框架和领域对齐编码是成功的决定因素。这些发现将证据提升暴露为自进化智能体的一个安全边界。

Self-evolving skill (SES) systems distill agent trajectories into persistent skills, allowing untrusted experience to become trusted instruction. We introduce PoisonedEvolution, a trajectory-poisoning attack on this promotion process. Our skill-visible black-box attacker can inspect a target skill and contribute bounded evidence, but cannot observe private pools or evolution logic or edit the skill bank. Artifact poisoning requires Inclusion, Evolution Attribution, and Realization. Attribution is the distinctive bottleneck: the target behavior must appear causally useful, recurrent, and generalizable before promotion. We evaluate four representative security-effect families using inert canary specifications. At 10% attacker support, across six mainstream LLM evolvers in SkillClaw, PoisonedEvolution embeds target behaviors in 546/600 trials (91.0% SER). On the structurally different Trace2Skill pipeline at the same ratio, it embeds target behaviors in 369/600 trials (61.5% SER), demonstrating transfer across evolution architectures. In a representative controlled study, three consistent attacker records suffice in a 30-record batch, whereas a single record is much weaker. Ablations identify recurring support, causal framing, and domain-aligned encoding as the main determinants of success. These findings expose evidence promotion as a security boundary for self-evolving agents.

📁 Submission History

  • [v1] – 2026年8月6日 星期四, 03:32:43 UTC (382 KB)

  • [v1] – Thu, 6 Aug 2026, 03:32:43 UTC (382 KB)