当AI学会“投毒”:你的智能助手,可能正在被悄悄“洗脑” | 2026年11月04日

如今很多AI应用支持Agent Skill——你可以把它理解为AI的“技能包”或“插件”，让助手学会查天气、读文档、发邮件。开发者上传技能，平台审核后上架，用户一键调用，方便至极。

但方便的背后藏着隐患：这些技能往往由第三方编写，平台很难逐行审查其逻辑。攻击者正是盯上了这个缺口——他们不需要在技能里塞明显的恶意代码，而是用渐进式污染的方式，让AI在不知不觉中“学坏”。

安全团队披露的SkillPoison攻击就是典型：它分三阶段逐步渗透，每一步看起来都“人畜无害”，合在一起却能让智能体执行攻击者意图。这就像教小孩做菜，第一课教切菜，第二课教开火，第三课“顺手”把盐换成糖——你很难在单节课上发现问题。

第一阶段：伪装成“正常技能”。攻击者上传一个功能真实的技能，比如“文档摘要助手”，审核和用户试用都挑不出毛病。此时它只是安静地收集调用上下文，建立“信任”。

第二阶段：埋入“条件触发”逻辑。在后续更新中，技能悄悄加入判断：当检测到特定文档类型或关键词时，额外执行一段隐藏操作。由于主功能依旧正常，常规测试很难发现异常。

第三阶段：诱导AI“自主”越界。最危险的一步——攻击者不直接下指令，而是构造特定输入，让AI自己“推理”出错误结论。比如让摘要助手在总结合同时，悄悄把收款账户替换成攻击者的。整个过程没有一条恶意指令，却完成了数据窃取或欺诈。

很多企业以为给AI加上内容过滤就万事大吉，但SkillPoison类攻击恰恰绕开了关键词检测。对比一下传统威胁和新型投毒的区别：

更麻烦的是，技能往往跨平台复用，一个被污染的技能可能同时影响多家企业的AI助手。供应链的“信任传递”，在这里变成了“风险传递”。