SkillJack：自己進化型エージェントにおける永続的スキルバックドア

要旨

自己進化型エージェントは、個々のタスクを超えて持続する再利用可能なスキルへと、対話履歴をますます変換するようになっている。従来の研究は記憶および検索ポイズニングを研究してきたが、そのような攻撃は、ポイズニングされた記録がコンテキストとして検索された場合にのみエージェントに影響を及ぼす。我々は、より新しく根本的なリスクを明らかにする：ポイズニングされた経験は、エージェント自身によって持続的な行動的アーティファクトへと変換され得るのである。我々は、自己進化型エージェントの経験-スキル変換パイプラインを悪用する初の攻撃であるSkillJackを提示する。SkillJackは、ランタイムコンテキストを直接操作する代わりに、エージェント自身の学習プロセスをハイジャックし、悪意のある行動をその再利用可能なスキルレパートリーに埋め込む。我々は、この変換の3つの主要な特性を特定する：スキル抽出中に悪意のある意図が隠蔽されるサニタイゼーション白化、一時的な経験が永続的な能力になるクロスレイヤー昇格、そして攻撃が元のソース記録の削除後も生存する永続性の分離である。我々は、SkillJackを2つの代表的なシステムであるSkillXとAnything2Skillに対して、4つのポリシーリスクカテゴリにわたる150の軌跡からなる共有データセットを用いて評価する。結果は、スキル抽出が攻撃の検出可能性を大幅に低下させることを示す：SkillXでは、安全性検出がポイズニングされた軌跡の98.5％から抽出されたスキルの11.4％に低下し、Anything2Skillでも同様の効果が見られる。一方、埋め込まれたスキルは有効性を維持し、それぞれ2つのシステムで56.2％と89.2％の攻撃成功率を達成する。さらに、スキル媒介攻撃の80.0％は元のポイズニング記録を削除した後も持続し、一部のスキルは良性のクエリに対して意図せず活性化する。我々の発見は、スキル進化を新たな攻撃サーフェスとして明らかにし、来歴対応型スキルライフサイクル保護を動機づける。我々のコードはhttps://github.com/Tencent/AI-Infra-Guard/research/skilljackで入手可能である。

English

Self-evolving agents increasingly convert interaction histories into reusable skills that persist beyond individual tasks. While prior work studies memory and retrieval poisoning, such attacks only affect agents when poisoned records are retrieved as context. We uncover a new and more fundamental risk: poisoned experiences can be transformed by the agent itself into durable behavioral artifacts. We present SkillJack, the first attack that exploits the experience-to-skill pipeline of self-evolving agents. Instead of directly manipulating runtime context, SkillJack hijacks the agent's own learning process to implant malicious behaviors into its reusable skill repertoire. We identify three key properties of this transformation: sanitization whitewashing, where malicious intent is obscured during skill extraction; cross-layer promotion, where transient experiences become persistent capabilities; and persistence isolation, where the attack survives removal of its original source records. We evaluate SkillJack on two representative systems, SkillX and Anything2Skill, using a shared dataset of 150 trajectories across four policy-risk categories. Results show that skill extraction substantially reduces attack detectability: in SkillX, safety detection drops from 98.5\% for poisoned trajectories to 11.4\% for extracted skills, while Anything2Skill shows a similar effect. Meanwhile, the implanted skills remain effective, achieving attack success rates of 56.2\% and 89.2\% on the two systems, respectively. Furthermore, 80.0\% of skill-mediated attacks persist after deleting the original poisoned records, and some skills unintentionally activate on benign queries. Our findings reveal skill evolution as a new attack surface and motivate provenance-aware skill lifecycle protection. Our code is available at https://github.com/Tencent/AI-Infra-Guard/research/skilljack.