自动策略，而非自动技能：物理世界的编译型智能体技能
文章背景与核心概要
当前的自进化智能体技能（如 AutoSkills 和 Hermes Agent）主要针对工作流效率进行优化，却忽视了安全性。作者指出了现有智能体框架中的一个根本缺陷：技能描述了程序化行为（使用 Markdown 和脚本），但需要策略来决定哪些行为才是真正被允许的。
在缺乏严格访问边界的情况下生成更多技能会加剧安全漏洞，在物理世界场景中这一点尤为关键——因为一次错误的调用可能会导致开门或资金转移。为了解决“借用权限”（Borrowed Authority，即恶意或被滥用的技能在没有类型化拒绝机制的情况下驱动物理执行）带来的漏洞，作者提出了 Edge Skillguard：一个直接打包在技能工件内的类型化权限层。在实时的边缘控制平面测试台上进行的测试表明，这些保护机制成功阻止了所有恶意请求，且在扩展和多主机条件下也没有对良性操作产生影响。
📝 Summary
Self-evolving agent skills (such as AutoSkills and Hermes Agent) primarily optimize for workflow efficiency rather than safety. The authors identify a fundamental flaw in current agent frameworks: a Skill describes procedural behavior (using markdown and scripts), but a Policy is required to decide which behavior is actually permitted.
Generating more skills without strict access boundaries exacerbates safety gaps—especially critical in physical-world scenarios where an incorrect invocation could unlock doors or move finances. To address the vulnerability of "Borrowed Authority" (where malicious or misused skills drive physical actuation without a typed way to reject inter-agent permission claims), the authors propose Edge Skillguard: a typed authority layer packaged directly within the Skill artifact. Tested on a live edge control-plane testbed, these guards successfully blocked all malicious requests without impacting benign operations, even under scaled and multi-host conditions.
自进化智能体技能（如 AutoSkills、Hermes Agent）自动生成更多的建议性编排；它们所带来的性能提升体现在效率而非安全性上。这忽视了真正的差距：技能描述了智能体应该如何表现；而策略则决定了哪种表现被允许转化为行动。
当今的格式用 Markdown 和脚本涵盖了前者；而后者则留给了模型。生成更多的技能扩大了差距而非安全性，特别是当错误的调用可能打开一扇门或转移资金时。文档中记录了两种相邻的攻击：恶意技能危害云端软件，以及越狱的 LLM 控制机器人造成物理伤害。它们的交集——恶意智能体技能导致物理伤害，直接由此产生却尚未被报道。
我们将这类攻击命名为借用权限（Borrowed Authority）：技能格式没有为接收智能体提供一种类型化的方法来拒绝智能体间的权限声明，因此恶意或被滥用的技能可以通过附加权限来驱动物理执行。
我们提出了 Edge Skillguard，这是一个存在于技能工件内部而非像工作流引擎那样存在于工具之间的类型化权限层，并对世界状态和传感器证据进行保护。在实时的边缘控制平面测试台上，这些保护机制在五种攻击变体中拒绝了 60/60 个借用权限请求，且没有阻止良性请求，并且该结果在 5 倍规模以及通过 Tailscale 网状网络跨主机时依然有效。这些结果表明，高风险技能应将类型化的调用策略与程序化知识共同打包，以便物理动作依赖于可机检的证据，而不是同伴智能体的声明。
🔍 Abstract
Self-evolving Skill harnesses (AutoSkills, Hermes Agent) generate more advisory orchestration automatically; their reported gains are efficiency, not safety. This misses the actual gap: a Skill describes how an agent should behave; a Policy decides which behavior is allowed to become an action.
Today's format covers the first with markdown and scripts; the second is left to the model. Generating more Skills scales the gap, not the safety, especially when a wrong invocation can unlock a door or move money. Two adjacent attacks are documented: malicious skills compromising cloud software, and jailbroken LLM-controlled robots causing physical harm. Their intersection, malicious agent skills causing physical harm, follows directly but has not been reported.
We name this class Borrowed Authority: Skills format gives the receiving agent no typed way to reject an inter-agent permission claim, so a malicious or misused Skill can drive actuation by attaching one.
We propose Edge Skillguard, a typed authority layer that lives inside the Skill artifact rather than between tools as workflow engines do, with guards over world state and sensor evidence. On a live edge control-plane testbed, the guards reject 60/60 borrowed-authority requests across five attack variants without blocking benign requests, and the result holds at 5x scale and across hosts over a Tailscale mesh. These results suggest that high-risk Skills should co-package typed invocation policy with procedural knowledge, so that physical actions depend on machine-checkable evidence rather than peer-agent claims.
自进化技能工具（AutoSkills, Hermes Agent）自动生成更多的建议性编排；据报道，它们的收益是效率，而非安全。这忽略了真正的差距：技能描述了智能体应如何行为；策略决定了哪种行为被允许成为动作。
当今的格式用 Markdown 和脚本处理了前者；后者则留给了模型。生成更多的技能放大了差距而非安全性，尤其是当错误的调用可能会解锁一门或转移资金时。文献记录了两种相邻的攻击：破坏云软件的恶意技能，以及越狱的 LLM 控制机器人造成物理伤害。它们的交集——恶意智能体技能造成物理伤害，紧随其后但尚未被报道。
我们将其命名为借用权限（Borrowed Authority）：技能格式没有为接收智能体提供类型化方法来拒绝智能体间的权限声明，因此恶意或被滥用的技能可以通过附加权限来驱动物理执行。
我们提出了 Edge Skillguard，这是一个驻留在技能工件内部而非像工作流引擎那样存在于工具之间的类型化权限层，对世界状态和传感器证据实施保护。在实时边缘控制平面测试台上，这些保护机制在五种攻击变体中拒绝了 60/60 个借用权限请求，且未阻断良性请求，该结果在 5 倍规模以及通过 Tailscale 网状网络的跨主机环境中依然成立。这些结果表明，高风险技能应将类型化调用策略与程序化知识共同打包，从而使物理动作依赖于可机检的证据，而不是同级智能体的声明。
📊 Document Metadata
| Metadata Field | Details |
|---|---|
| Submitted Date | August 25, 2026 |
| Primary Subject | Artificial Intelligence (cs.AI) |
| Secondary Subjects | Cryptography and Security (cs.CR) |
| License | Creative Commons Attribution 4.0  |
Metadata Field Details Submitted Date August 25, 2026 Primary Subject Artificial Intelligence ( cs.AI)Secondary Subjects Cryptography and Security ( cs.CR)License Creative Commons Attribution 4.0