夜雨聆风你给 AI 装的小插件，怎么一组队就开始闯祸了？
导读：今天讲一个反直觉安全坑：单个技能没毛病，连起来可能越权。
目录
1. 一个 skill 看着乖，三个 skill 接力就可能开门 2. 这篇论文盯住的不是坏插件，而是坏路径 3. 三种常见翻车姿势都藏在上下文里 4. 这些数字很吓人，但先别把它当事故率 5. 真正该改的是“批准”这件事
配图2：安全章变钥匙。
一、一个 skill 看着乖，三个 skill 接力就可能开门
你可以把今天这个问题想成办公室里三个很守规矩的同事：
• 第一个人只负责盘点文件，不能改权限。 • 第二个人只负责做安全审查，不能动系统。 • 第三个人只负责执行权限变更，但要看上下文。
分开看，三个人都挺无辜。问题出在他们被 AI agent 串成一条流水线之后：第一个人把目标文件列出来，第二个人写了一句“看起来可以批准”，第三个人把这句话当成了许可，手一滑，真把权限改了。
一项技能的输出，被下一项技能当成了目标、背书或许可。
这就是这篇新论文想抓的东西。它给这个坑起了一个名字：SCR，Skill Composition Risk，技能组合风险。
关键点落在“多个看似正常的插件，在同一个上下文里互相喂料”。 这就很适合今天的 agent 时代：我们越来越喜欢给 AI 装搜索、文件、代码、浏览器、记忆、发布、审批各种能力，单独每个都能解释清楚，组合起来却变成了一条很长的暗线。
危险最容易出现在“大家都以为前一步已经处理过”的地方。
二、这篇论文盯住的不是坏插件，而是坏路径
过去做 agent 安全，常见思路是检查单个 skill：这个 skill 有没有恶意提示？有没有越权 API？有没有偷偷读文件？这些检查当然有用，但论文作者说，只查单点会漏掉一类问题。
他们提出的 SCR-Bench，不只看 skill 的介绍文字，也不只看模型最后说了什么，而是看一条组合路径跑完后，沙盒环境里有没有发生真实状态变化。比如：
• 目标是否从上游 skill 流到了下游 skill； • 下游是否把上游的审查意见当成信任信号； • 模型是否把“建议”“发现”“上下文”误读成了用户授权。
这个视角很要紧。因为 agent 的工作方式本来就是多步的：它会把前一步的摘要、文件名、审查结论、工具返回值塞进后一步提示里。对人来说，这叫工作流；对安全来说，这叫传播路径。
论文真正提醒我们的是：agent 的安全边界不能只画在工具入口，还要画在上下文传递线上。
三、三种常见翻车姿势都藏在上下文里
作者把这个风险拆成三个子基准，我建议直接记成三句人话。
第一种是 CapFlow，能力流转。上游只负责“发现目标”，下游只负责“执行动作”。单独看都没毛病，接起来就像有人把钥匙孔和钥匙放到了一起。
第二种是 TrustLift，信任转移。一个安全审查 skill 输出“看起来没问题”，后面的安装或执行 skill 就把这句话当成通行证。这里最微妙的地方是，审查 skill 可能真的没有权限做坏事，它只是把“可信感”传下去了。
第三种是 AuthBlur，授权混淆。上游给的是建议、发现、上下文，不是正式批准；但下游模型读着读着，把它脑补成“用户已经同意”。这类风险不一定像越狱那样吵闹，反而像流程里一枚松掉的螺丝。
这三种姿势的共同点，是危险从“文本意思”滑到了“操作后果”。 你以为前面那句话只是参考，后面的 agent 可能已经把它当成按钮按下去了。
四、这些数字很吓人，但先别把它当事故率
论文和项目页给出的实验结果很抓眼球。按作者报告：
• 在 CapFlow 里，组合路径下攻击成功率约 33.6%，单独评估基线接近 0。 • 在 TrustLift 里，5 个后端里有 4 个的有害安装率超过 96.5%。 • 在 AuthBlur 里，L1 相关上下文下的风险批准率比 L0 基线高 71.8%。
这些数字说明一件事：组合路径确实能把单点审查看不见的风险放大出来。
但这里要留一个刹车。作者自己也写了局限：实验是在 controlled sandbox 里做的，有可观察的模拟副作用；这有利于对照和计数，却不能直接换算成真实产品里的事故概率。本轮也没有复现实验，所以数值只能当“作者报告结果”，不能写成独立验证结论。
这篇论文的价值，在于把检查单位从单个技能推进到整条路径。
五、真正该改的是“批准”这件事
这篇论文对普通读者也有用，因为它把一个很抽象的 agent 安全问题，压回到日常工作流里：你以后看到 AI 自动化，不要只问“它装了哪些工具”，还要问“这些工具之间怎么传话”。
我会把它落成四个检查动作：
• 给高风险 skill 单独设权限，不让上游输出自动变成下游授权。 • 把“建议”“审查通过”“用户批准”分成不同字段，别混在一段自然语言里。 • 对跨 skill 的目标、背书、授权信号做路径日志，事后能看见是谁把什么传给了谁。 • 对安装、改权限、发消息、删文件这类动作加二次确认，尤其别让模型自己把上下文解释成批准。
如果你把 agent 当成一个会干活的实习生，这件事就不难理解：他不是只会听你刚刚说的那句话，他还会翻前面的笔记、看同事的评语、复用上一轮的结论。真正要管住的，不只是他手里的工具，还有他把哪句话当成命令。
所以，下次你给 AI 装一个新技能，别只看它的单项介绍。多问一句：它会把什么交给下一个技能？下一个技能又会把它当成什么？
References
1. arXiv abstract: Benign in Isolation, Harmful in Composition 2. arXiv PDF via Jina: Benign in Isolation, Harmful in Composition 3. GitHub README: SCR_Bench
