Agent Skills 从“能装”到“管得住”：效用、冲突、供应链安全与技能进化（深度版）

一、背景：Skill 是什么，为什么现在需要“治理”

按照 Anthropic 2025 年 10 月的工程博客与随后开放的规范 [1][2]，一个技能就是一个包含 SKILL.md 的文件夹。SKILL.md 开头的元数据只有两项必填：名称（name）和描述（description）。智能体启动时只加载所有技能的名称和描述；当任务与某个技能匹配时，才读入完整的 SKILL.md；需要更细的资料时，再去读文件夹中的附加文件或运行脚本。这种设计被称为渐进式披露，它让智能体可以“随身携带”大量技能而不占满上下文。

技能与 MCP（模型上下文协议）的分工也很清楚：MCP 负责“接上工具”，技能负责“教会流程”。一个报销审核技能，可能包含审核步骤、常见例外、一个校验发票格式的脚本。

但这份“入职手册”式的简单设计，也带来了四个此前被忽视的问题：

1. 效用：技能真的有用吗？对谁有用？
2. 冲突：多个技能同时安装，智能体听谁的？
3. 安全：技能里的文字和脚本会以当前会话的权限执行，第三方技能等于把“指挥权”交给了陌生人。
4. 进化：技能怎样随着使用越改越好，而不是越改越乱？

Anthropic 的原始博客已经提醒“只安装可信来源的技能”[1]。10 月的研究则第一次用大规模数据说明：仅靠这句提醒远远不够。

技术脉络：从“经验复用”到“技能供应链”

技能并不是凭空出现的概念。把它放回智能体研究的脉络里，大致可以看到三个阶段。

前史：让智能体复用“程序性知识”。在 SKILL.md 格式出现之前，研究界已经在探索让智能体积累和复用经验：据下游效用研究的相关工作梳理，有的工作把经验沉淀为自然语言“心得”（如 ExpeL），有的沉淀为可执行程序（如 Voyager、ASI），还有的沉淀为任务工作流（如 Agent Workflow Memory）[3]。这些做法的共同问题是格式各异、难以在不同产品之间迁移。

标准化：一个文件夹、一个 SKILL.md。2025 年 10 月 16 日，Anthropic 在工程博客中介绍了 Agent Skills；同年 12 月 18 日，又把它发布为跨平台的开放标准 [1]。按照规范，智能体通过“发现—激活—执行”三个阶段加载技能：启动时只读名称和描述，任务匹配时读入完整说明，执行时再按需运行脚本或读取附件；规范由社区共同维护，已被越来越多的智能体产品采用 [2]。格式的统一带来了公开技能市场：开发者可以发布、分发和复用技能 [3]。

规模化：增长快于治理。攻击面研究汇总了此前的公开数据：2025 年 12 月对某个技能市场的抓取发现 15,082 个技能，一个月后同一市场增至 73,193 个；到 2026 年 3 月，一项覆盖三个分发平台和 GitHub 的研究统计到 238,180 个不重复技能 [8]。该文同时指出，安装技能时用户除了“复制文件”之外无需批准任何东西，装进来的内容默认被信任；而此前的研究已经报告：一项覆盖 31,132 个技能的静态分析发现约四分之一带有漏洞模式、约二十分之一显示出可能的恶意意图，另一项“引爆”式动态研究确认了 157 个野外恶意技能 [8]。

2026 年 10 月：从“有没有恶意”到“装了之后会发生什么”。这一周期的研究把问题从单一的“恶意检测”扩展为四个维度：技能是否真的有用 [3][4]、多个技能是否互相干扰 [5][6][7]、安装一个技能究竟授予了多大权限 [8][9][10][11]、技能如何在使用中被安全地改进 [12][13][14]。技能正在从“提示词附件”变成需要版本管理、准入审查和持续评估的软件资产——这正是下文四节的组织逻辑。

二、效用：技能不是越多越好

下游效用的实证研究（2026-10-06）[3]。研究者构建了 87 个任务和一个 37,596 个技能的语料库，测量技能在真实使用中的作用。据论文数据：

• 在 36.78% 的任务上，同一批技能对某些“模型 + 配置”有帮助，对另一些却有害——轨迹显示，技能推荐的流程有时会变成执行负担。
• 按“相关性”排序选出的技能常常不是最有用的；改为按“是否支持任务所需操作”重排，首选通过率提升 4.35–5.80 个百分点。
• 当一个任务同时配备 5–6 个技能时，用“阶段计划”或“依赖图（DAG）”来组织技能，优于只规定使用顺序。作者据此总结了 17 条编写实践。

技能修订的效果（2026-10-04）[4]。另一项研究追踪了技能文本修订对编程智能体的影响。据论文数据，修订后智能体对新规则的遵循度平均提升 0.41，执行所需动作的比例平均提升 0.23，盲评的最终正确率平均提升 0.10；增益主要来自那些“点名了旧版本没有提到的命令或路径”的规则。但在真实工具中，技能正文只在智能体判断需要时才加载，这种情况下四个智能体平均只保留约一半（51%）的动作增益，三个开放模型约 38%；加载技能正文平均使一次任务的词元消耗增加 50%。

小结：技能的价值高度依赖“模型、Harness、任务”三者的组合，而且“写进去”不等于“会被读到”。

这两项研究合起来，揭示了渐进式披露设计的一个内在张力：为了节省上下文，技能正文只在“智能体认为需要”时才加载；但智能体判断是否需要，依据的只有名称和描述两行文字。描述写得含糊，技能就不会被加载；描述写得过于宽泛，又会在不相关的任务中被加载，成为“执行负担”。因此，技能的描述字段实际上承担着“路由规则”的职责，值得像接口文档一样认真编写和测试。实践中，可以为每个技能准备一小组“应触发”和“不应触发”的测试任务，检查加载行为是否符合预期。

三、冲突：两个技能同时在场时会发生什么

3.1 现象：一个技能“接管”另一个

One Skill Too Many（2026-10-08）[5] 从 GitHub 上 20,947 个仓库出发，筛选出 822,109 对候选技能，经判定确认 312 对“同一工作”的冲突对。据论文数据：

• 近四分之一的已安装技能，会与另一个做同样工作的技能同时安装；37% 的被判定技能位于复制来的技能合集里。
• 在不降低任务完成度的前提下，相似技能会在五分之一的运行中“抢走”本该执行的技能；先打开相似技能的运行，会丢失超过三分之一的“只有原技能才提供”的核心功能。
• 决定哪个技能被执行的是安装位置，而不是列表顺序；在被替换的运行中，只有 0.9% 的最终回复说明了实际使用的是哪个技能。
• 冲突在第一次读取技能时就已决定，几乎都发生在修改任何文件之前。

SkillClash（2026-10-18）[6] 构建了 16 对同一工作的技能，每条规则都有代码自动检查。据论文数据，在 5 个家族的 7 个模型上（从 4B 开放模型到 Qwen3-235B 和 GPT-4.1），单独加载时规则遵循率为 93%–99%，与同类技能一起加载时降至 61%–62%。大多数输出呈现“接管”：一个技能独有的规则全部被遵循，另一个技能独有的规则全部被丢弃。驱动这种接管的，是技能文件里的示例。

3.2 算法拆解 ①：“一个联合示例”修复与“首次读取”钩子

一句话直觉：模型模仿示例胜过遵守规则。如果冲突的两份技能各自给出只符合自己的示例，模型就会整体照搬其中一份；给它一个“同时满足两份技能”的示例，接管就会大幅减少 [6]。而既然冲突在第一次读取时就决定，就在那一刻加一道检查 [5]。

生活类比：新员工手里有两本操作手册，各自附了一份“标准范文”。他多半会挑一份照抄。如果你给他一份“同时符合两本手册”的范文，他就知道两边的要求都要满足；如果你在他翻开第一本手册时提醒“这项工作指定用另一本”，他就不会走错路。

逐步流程：

1. 检测同工作技能：安装或加载时，按描述与功能相似度发现“做同一件事”的技能对。
2. 联合示例：在每个冲突技能文件末尾追加一个同时遵循两份技能的完整示例（论文中由强模型生成，并需保证示例正确）。
3. 首次读取钩子：在智能体第一次读取技能文件的工具调用前插入检查，若读取的不是任务指定的技能，则提示或重定向。
4. 执行可见化：在最终回复中注明实际使用了哪个技能，便于审计。

伪代码：

on_tool_call(read_file, path):
if is_skill(path) and first_skill_read(session):
intended = resolve_skill(task, installed_skills)
if path != intended.path:
inject_note("本任务应使用技能：" + intended.name)
proceed()
log_final_reply(skill_used = session.first_skill_read_path)

• is_skill(path)：判断读取的是否为某个技能的 SKILL.md。
• first_skill_read：本会话是否首次读取技能。
• resolve_skill：按安装配置与任务指定，决定“应该用哪个技能”。
• inject_note：向上下文追加一句提示，而不是直接拒绝读取。

小算例（示意）：技能 A 要求“提交信息用英文、加类型前缀”，技能 B 要求“提交信息不超过 50 字、引用工单号”。两者各附一个只满足自己的示例时，模型多半只照搬一边，另一边的规则全部丢失。追加一个联合示例——“feat: add retry to payment client (TICKET-123)”——同时满足前缀、英文、长度和工单号，模型就会两边都遵守。

结果（据论文数据）：每个技能文件末尾改为一个同时遵循两份技能的示例后，接管比例在 6 个被测模型上降至 1%–15%；告诉模型“哪个技能优先”并不能找回被丢弃的技能；由 Claude Opus 5.5 写出的一个合并技能文件，让 7 个模型遵循了 96%–99% 的可达规则，其中大部分增益来自其中那一个示例——而且示例必须是正确的才有帮助 [6]。在 [5] 中，在首次读取处加入工具前钩子，使“原技能独有核心功能”的保真度恢复到“先打开原技能”的水平。

为什么有效、何时失效：它利用了模型“示例优先”的特性，以极小的改动纠正行为。局限在于：两份技能的规则真正矛盾时（而非只是不同），不存在能同时满足的示例，需要人为裁决；首次读取钩子需要 Harness 支持工具调用拦截。

3.3 组合即攻击：CoSA

冲突不只会降低质量，还会被利用。CoSA（2026-10-26）[7] 发现，单独审查每个技能，无法排除它们组合后的策略违规：为某一目的产生的产物或评估信号，可能被下游技能重用，却丢失了原有的限制或授权。攻击者只需向现有技能池“补充”几个各自看似合规的技能，就能补齐缺失的业务操作，或重塑技能之间的产物交换、决策复用与目标绑定，而不改动任何已有技能和运行权限。

据论文数据，在覆盖招聘、金融、IT 和商务的 288 个任务上，跨 5 个模型和 3 种智能体 Harness，添加量不超过原技能池 5% 时，策略违规率从 35.02% 升至 58.45%。作者提出的轻量防护是：在执行有后果的动作前，检查信息流向与授权；在 OpenClaw 招聘任务上，违规率从 65.28% 降至 6.67%，而合规良性任务的完成率仅从 66.67% 变为 65.00%。

四、安全：技能是一条新的供应链

4.1 攻击面有多大

攻击面画像（2026-10-13）[8] 对两个技能市场的 6,309 个条目进行静态分析、依赖来源检查与沙箱执行。据论文数据：一半条目具备执行 shell 命令的能力；读文件系统 35%，写文件系统和网络外联各 31%，访问凭据 13%；十分之七至少具备一项高权限能力。而“权限声明”几乎形同虚设：在 6,061 个前置元数据可解析的条目中，只有 770 个声明了任何内容；声明的条目中 59% 低报了实际能力。

PyCache Trap（2026-10-07）[9] 揭示了一个更隐蔽的缺口：扫描器检查的是文档和可见源码，而 Python 可能执行打包进来的字节码缓存，其行为可以与源码不同。据论文数据，在 100 个技能和 7 款扫描器上，这种“源码良性、缓存恶意”的攻击成功率为 94%–100%，扫描器对缓存中的行为没有任何语义识别。作者提出的“执行感知验证”（EAV）把指令、脚本、导入关系和运行时产物连成带类型的执行图，并对编译产物做可信复现，在 5 类攻击与 200 个良性技能上，以 10% 误报率达到 92.8% 召回。

4.2 算法拆解 ②：SCS——把自然语言指令“编译”成程序，再做污点分析

一句话直觉：技能的风险往往跨越“文字指令”和“代码”两个世界——文字让智能体读取某个文件，代码把它发出去。SCS 把文字也编译成程序表示，把两边的依赖图连起来，再沿图传播“可信度、敏感度、能力”三种标签 [10]。

生活类比：海关查一批货，只看装箱单（文字）或只开箱看货（代码）都不够，需要把“谁发的、装了什么、要运到哪”串成一条完整的链路。

逐步流程（2026-10-24）：

1. 指令编译：把 SKILL.md 中的自然语言步骤编译成受限的 Python 风格中间表示，只允许使用一组面向安全的 API（如读文件、发请求、执行命令）。
2. 双域依赖图：分别为指令和随附代码构建程序依赖图（Text-PDG、Code-PDG），再连接成跨域依赖图 xPDG。
3. TSC 标签：为每个变量标注可信度 T（可信、本地提供、派生、不可信 4 级）、敏感度 S（公开、内部、系统、机密、绝密 5 级）、能力 C（读、写、执行、网络、持久化、环境变量、安装、提权、混淆等）。
4. 传播与规则：沿 xPDG 传播标签，用确定性规则识别危险链路，例如“机密数据流向网络能力”。

关键公式（示意）：

T(v) = max{ T(u) : u → v }          （越往下游，可信度取最差者）
S(v) = max{ S(u) : u → v }          （敏感度取最高者）
告警：存在路径 x ⇝ y，使 S(x) ≥ 机密 且 C(y) ∋ 网络
告警：存在路径 x ⇝ y，使 T(x) = 不可信 且 C(y) ∋ 执行

• u → v：依赖图中 u 的值流向 v；x ⇝ y：存在一条从 x 到 y 的路径。
• T / S / C：可信度、敏感度、能力标签；数值越大越不可信、越敏感。
• 上述传播与规则为对论文 TSC 模型的示意性表述，具体规则集以原文为准。

小算例（示意）：SKILL.md 写着“读取 ~/.aws/credentials 以确认区域配置”，随附脚本 sync.py 把“配置摘要”POST 到一个外部地址。单看文字，是合理的配置检查；单看代码，是普通的同步上传。xPDG 把两者连起来后发现：凭据文件（S=绝密）→ 摘要变量 → 网络请求（C=网络），触发外泄告警。

结果（据论文数据）：在人工核验的 117 个恶意与 117 个良性技能上，SCS 跨 5 个大模型的平均准确率 85.6%、召回 95.2%、F1 86.9%，精确率 80.2%，平均消耗 1,370 万词元；自然语言到中间表示的编译在 400 个人工标注步骤上达到 92.5%–94.5% 的步骤级正确率；对 66,157 个真实 ClawHub 技能扫描后，得到 2,473 个候选，经动态验证与人工复核确认 627 个恶意 [10]。

为什么有效、何时失效：它把“读文字判断意图”变成了可追溯的程序分析，结论可解释、可复核。局限在于编译步骤仍依赖大模型，约 6% 的步骤可能编译错误；对 PyCache 这类“可见源码之外”的执行路径，需要与执行感知验证配合 [9]。

4.3 高召回初筛：SkillScreen

SkillScreen（2026-10-13）[11] 训练了一个紧凑的决策模型，直接从 SKILL.md 一次前向给出恶意评分。据论文数据，在未见过的攻击家族上保持 99% 召回时，只标记 20%–25% 的良性技能，少于词级分类器和提示式大模型裁判；但遇到陌生的良性来源时误报会显著上升。它的定位是“漏斗口”：先用低成本模型筛掉大部分良性技能，再把可疑者交给 SCS、EAV 这类深度分析。

五、进化：让技能越用越好

5.1 算法拆解 ③：SkillNEO——允许“暂时变差”的技能进化

一句话直觉：修好一个技能常常需要几处相互依赖的修改，改到一半时分数可能反而下降。SkillNEO 不要求每一步都立刻提分，而是把“拿去用的版本”和“继续改进的版本”分开选 [12]。

生活类比：装修房子，拆掉旧墙到装好新墙之间，房子会比原来更乱。如果规定“每一步都必须比上一步好看”，就永远完成不了改造。

逐步流程（2026-10-14）：

1. 维护一个技能版本池，每个版本都有在任务上的执行记录与得分。
2. 使用选择：选出当前得分最高的版本用于部署。
3. 改进选择：另行挑选“值得继续改”的版本，即使它得分低于更早的版本。
4. 对比证据：比较相关版本在同一任务上的表现，找出“应当保留的有效步骤”和“仍需修复的失败”。
5. 根据证据生成新版本，必要时回到更早的版本，用后来的证据修订它。

伪代码：

pool = {skill_v0}
repeat:
deploy   = argmax_{v∈pool} score(v)
parent   = select_for_improvement(pool, evidence)   # 可以不是最高分
keep, fix = contrast(parent, related_versions, same_tasks)
child    = edit(parent, preserve=keep, repair=fix)
pool.add(child); evaluate(child)

• score(v)：版本 v 在任务集上的平均奖励；deploy：对外使用的版本。
• select_for_improvement：依据证据挑选有潜力的版本；contrast：对比找出有效步骤与剩余失败。
• edit：由执行模型提出修改并编辑技能。

小算例（示意，分数为假设）：一个“生成报表”技能 v1 得 50 分。v2 新增“先校验数据源”步骤，但模板路径写错，降到 45 分；精英策略会直接丢弃 v2。SkillNEO 保留 v2，下一步修正路径得到 v3，因为校验步骤减少了数据错误，v3 得 62 分。

结果（据论文数据）：在 8 个领域的 86 个 SkillsBench 任务上，SkillNEO 把 GPT-5.4 Mini 的平均奖励从 49.1% 提升到 66.4%，进入 GPT-5.5 和 GPT-5.6 Luna 使用原始技能时的区间；这些由小模型改进的技能，不经再编辑就能提升更强的模型，在 41 个被修改技能的任务上，让 GPT-5.6 Luna 提升 10.5 个百分点 [12]。搜索历史也显示，一些得分较低的中间版本最终通向了被选用的技能。

为什么有效、何时失效：它把进化搜索中的“非精英保留”思想用在了技能这种可读的文本对象上，并用版本对比提供修改方向。风险是：论文的最终评估使用了与进化过程相同的任务实例，泛化到新任务的效果需要独立验证；版本池增长也会带来评估成本。

5.2 算法拆解 ④：AtomSearch——原子级编辑 + 状态树搜索

一句话直觉：一次改很多条规则，很难知道哪条起了作用；AtomSearch 把每次修改限制为“一条规则”，并为每个修改记录它针对的失败案例、假设与作用范围，再用树搜索组合这些原子修改 [13]。

逐步流程（2026-10-14）：

1. 对比式原子编辑：每个原始规则编辑都关联到失败与成功的执行记录、一个行为假设和预期作用范围。
2. 技能状态树搜索：对短的编辑组合进行评估，有选择地保留为可执行状态，之后可以回溯并继续扩展。
3. 结果记忆：记录每类修改的“修复”与“回退”统计，供后续提案参考。

结果（据论文数据）：在 4 个任务和 5 个目标模型上评估，使用 deepseek-v4-flash 时，在 4 个任务中的 3 个超过 SkillOpt，其中 LiveMathematicianBench 提升 9.68 个百分点；67% 的最优状态经过了一个“非最高分”的祖先状态 [13]——与 SkillNEO 的“允许暂时变差”相互印证。

小算例（示意，分数为假设）：技能有 10 条规则，模型在“日期格式”和“空值处理”两类任务上失败。AtomSearch 分别生成“统一日期为 ISO 格式”和“空值填 NA 并记录”两个原子编辑，各自记录针对的失败样例；单独评估时前者 +2 分、后者 −1 分，但组合后 +5 分，因为空值处理修正了日期解析中的一个异常路径。树搜索会保留这个组合状态。

两种进化方法的共同启示。SkillNEO 与 AtomSearch 从不同方向得出了相同结论：技能优化的搜索空间是“崎岖”的，贪心地只保留最高分版本，容易陷入局部最优。两者也都强调“证据”——每一次修改要能追溯到具体的成功与失败执行记录。这和软件工程中“每个提交都关联一个问题单和测试用例”的做法如出一辙。对企业来说，这意味着技能进化不能只是“让模型自己改”，而要有版本池、评测集和修改日志三样基础设施。

5.3 让组合可执行：MetaSkill

当多个技能需要组合完成开放任务时，MetaSkill（2026-10-17）[14] 把技能组合表示为可执行的有向无环图，每个节点保留自然语言的灵活性，节点之间用显式的依赖和“前序文本绑定”连接。据论文数据，在审计的 GLM-5.2 执行轨迹中，所有计划节点均完成、所有声明的先后约束均满足。这与 [3] 的发现一致：多技能场景下，显式依赖优于隐式顺序。

六、横向对比

七、我们的观点

第一，技能的瓶颈正在从“写”转向“管”。当一个用户的智能体里装着几十个技能，最大的风险不是缺技能，而是不知道哪个技能在起作用。0.9% 的回复会说明实际所用技能 [5]，这个数字本身就是治理缺口。

第二，示例是技能里“权重最大”的部分。SkillClash 显示，接管由示例驱动，修复也主要靠一个正确的示例 [6]。企业在审核技能时，应把示例当作代码一样审查。

第三，技能安全必须按“供应链”来做，而不是按“内容审核”来做。一半带 shell 能力、59% 低报权限 [8]、源码之外的字节码路径 [9]，说明“读一遍 SKILL.md”远远不够。合理的架构是：高召回初筛 [11] → 跨域静态分析 [10] → 执行感知验证 [9] → 运行时信息流防护 [7]。

第四，技能进化需要容忍“暂时变差”。SkillNEO 和 AtomSearch 都发现最优路径常经过低分中间态 [12][13]。如果企业用“每次修改必须提分”的门禁来管理技能，可能会错失真正的改进。

八、未来展望

6–12 个月：

• 技能市场会引入类似软件包的签名、权限声明校验与“实际能力 vs 声明能力”的自动比对。
• 主流 Harness 会在技能加载与首次读取处提供钩子，并在回复与日志中记录实际使用的技能。
• “技能冲突检测”会成为安装流程的一部分：安装新技能时提示已存在的同工作技能。

1–3 年：

• 技能可能演变为“可执行规格”：自然语言部分可被编译成中间表示，用于静态验证和自动测试，类似 SCS 的思路会前移到编写阶段。
• 技能进化将常态化：智能体在使用中自动提出修订，由人工或评测门禁批准，形成技能的“持续集成”。
• 企业级技能库会像内部代码库一样有负责人、版本、审计记录与下线流程。

九、对金融风控与企业落地的启示

1. 建立内部技能白名单与“同工作”唯一性。同一业务流程（例如贷前材料核验）只允许一个主技能，避免接管带来的规则丢失。
2. 示例要审，示例要对。技能中的示例应覆盖所有关键规则，并由业务专家确认正确。
3. 按最小权限设计技能。涉及客户数据的技能，不应同时具备网络外联能力；在执行有后果的动作（放款、额度调整、外发报告）前，加入信息流与授权检查。
4. 技能变更走评测门禁，但允许“探索分支”。主分支保持稳定，实验分支允许暂时降分，用固定的评测集决定是否合并。
5. 日志中记录技能来源。每次智能体决策都应可追溯到“用了哪个技能的哪个版本”，这与模型治理中的版本追溯要求一致。

弘犀智能在规则引擎与模型治理方面的经验是：规则可以灵活，但必须可追溯、可回滚。我们认为技能治理会走上同样的道路。

十、结语

Agent Skills 用极简的格式解决了“如何把流程知识交给智能体”的问题，但 10 月的研究清楚地表明，简单的格式需要严谨的治理：效用要实测、冲突要检测、供应链要审计、进化要有方法。谁先把技能当作“软件资产”来管理，谁就能更安全地享受智能体带来的效率。

想了解弘犀智能在规则治理与智能风控方面的实践，欢迎点击文末「阅读原文」访问 www.hxallai.com。

参考文献

1. [1] Anthropic Engineering. Equipping agents for the real world with Agent Skills. Anthropic, 2025-10-16（2025-12-18 更新为开放标准）.（背景文献）https://www.anthropic.com/engineering/equipping-agents-for-the-real-world-with-agent-skills
2. [2] Agent Skills. Agent Skills Overview（开放规范）. agentskills.io, 访问于 2026-10-27.（背景文献）https://agentskills.io
3. [3] Yu Cheng, Dehai Zhao, Zhongxin Liu, Qing Huang et al. An Empirical Study of Agent Skills'Downstream Utility. arXiv, 2026-10-06. https://arxiv.org/abs/2610.08875
4. [4] Jiajie Wang, Yutong Zhao, Tianlin Li, Huashan Chen et al. Agent Skill Evolution: How Revisions Affect Coding Agents. arXiv, 2026-10-04. https://arxiv.org/abs/2610.04832
5. [5] Chaoliang Yan, Zihao Xu, Yuekang Li, Shangzhi Xu et al. One Skill Too Many: How Co-Installed Skills Conflict in Coding Agents. arXiv, 2026-10-08. https://arxiv.org/abs/2610.11647
6. [6] Parsa Razmara, Seyedarmin Azizi, Ardalan Aryashad. One Skill Takes Over: Clashing Agent Skills and a One-File Fix. arXiv, 2026-10-18. https://arxiv.org/abs/2610.25064
7. [7] Yujia Zheng, Tianhao Li, Shangzhi Xu, Yuekai Huang et al. CoSA: The Conflict of Skills Attack in Real-World LLM Agent Ecosystems. arXiv, 2026-10-26. https://arxiv.org/abs/2610.35082
8. [8] Ratnesh Pandey, Japneet Singh, Harsh Akshit, Sonali Tyagi et al. Beyond Maliciousness: Static and Runtime Attack-Surface Profiling of Agent Skills. arXiv, 2026-10-13. https://arxiv.org/abs/2610.19264
9. [9] Jie Liao, Simeng Qin, Wenqi Ren, Wei Zhou et al. PyCache Trap: The Inspection-Execution Gap in Agent Skill Scanners. arXiv, 2026-10-07. https://arxiv.org/abs/2610.10612
10. [10] Shiwu Zhao, Baizhu Wang, Guoqiang Zheng, Tingyu Gao et al. From Instructions to Exploits: Applying Program Analysis to Malicious Agent Skills Across Natural Language and Code. arXiv, 2026-10-24. https://arxiv.org/abs/2610.33489
11. [11] Jerrold Huang, Junwei Quan, Saiyue Lyu, Zihan Guo et al. SkillScreen: High-Recall Screening of Malicious Agent Skills with Decision Models. arXiv, 2026-10-13. https://arxiv.org/abs/2610.17727
12. [12] Enze Ma, Chunyu Miao, Yankai Chen, Jie Yang et al. SkillNEO: Non-Elitist Evolutionary Optimization of Agent Skills. arXiv, 2026-10-14. https://arxiv.org/abs/2610.20926
13. [13] Jia Tong, Senyou Deng, Min Peng, Jianfeng Pan. AtomSearch: Evidence-Grounded Tree Search for Agent Skill Optimization. arXiv, 2026-10-14. https://arxiv.org/abs/2610.19951
14. [14] Meng Shu, Wei He, Hang Zhou, Runke Liu et al. Where Natural Language Ends in Agents: Executable Skill Composition with MetaSkill. arXiv, 2026-10-17. https://arxiv.org/abs/2610.24723

弘犀研究 · 前沿 AI 深度综述 · 弘犀智能