SkillRelayBench — кросс-сессионные атаки через артефакты навыков и защита SkillRelayGuard
Саммари
Навыки (skills) агентов упаковывают инструкции, код и ресурсы в переиспользуемые пакеты, а во время выполнения оставляют артефакты — файлы, конфиги, кэш, — которые переиспользуются другими навыками в следующих сессиях. Авторы показывают, что эти персистентные артефакты образуют новую поверхность атаки: вредоносный эффект перетекает между сессиями через три механизма — Instruction Propagation, Data Boundary Violation и Evidence Poisoning. На бенчмарке SkillRelayBench (270 адверсариальных кейсов, 30 сценариев, 10 доменов) атака удаётся в 46.7–77.4% случаев на семи моделях в Codex CLI, Gemini CLI и Claude Code, а предложенная runtime-защита снижает ASR с 69.5% до 10.9%, не ухудшая выполнение легитимных задач.
Из этого следует, что персистентная память агента (файлы, кэш, заметки) должна рассматриваться как поверхность атаки наравне с сетью и инструментами: «артефакт прошлой сессии» — это неявный канал ввода, который не фильтрует ни один промпт-инъекционный контролль.
На практике для наших агентных оболочек это значит: provenance-метки на всех файлах, которые читает/пишет агент (кто создал, в какой сессии, из какого навыка), и отдельный проход просмотра подозрительных артефактов перед исполнением.
Важный нюанс: ASR 46.7–77.4% на Claude Code/Codex CLI/Gemini CLI означает, что уязвимы не «плохие модели», а архитектура композиции навыков — атака переживает смену модели и остаётся при обновлении версий.
Ограничение: guard принимает advisory-решения, но финальное слово за агентом — при сценарии EP (отравленные доказательства) сам агент может судить по уже отравленным данным; авторы честно закладывают это в остаточный ASR ≈ 11%.