SkillJack: 자기 진화 에이전트에서의 지속적 스킬 백도어

초록

자기 진화 에이전트는 점점 더 상호작용 이력을 개별 작업을 넘어 지속되는 재사용 가능한 스킬로 변환한다. 기존 연구가 메모리 및 검색 중독을 다루었지만, 이러한 공격은 중독된 레코드가 컨텍스트로 검색될 때만 에이전트에 영향을 미친다. 우리는 새롭고 더 근본적인 위험을 발견한다. 중독된 경험이 에이전트 자신에 의해 지속성 있는 행동 산출물로 변환될 수 있다는 점이다. 우리는 자기 진화 에이전트의 경험-스킬 파이프라인을 악용하는 최초의 공격인 SkillJack을 제시한다. SkillJack은 런타임 컨텍스트를 직접 조작하는 대신 에이전트의 학습 과정 자체를 가로채어 재사용 가능한 스킬 레퍼토리에 악의적 행동을 주입한다. 우리는 이러한 변환의 세 가지 핵심 속성을 식별한다: 스킬 추출 중 악의적 의도가 은폐되는 정화 미화(sanitization whitewashing), 일시적 경험이 영구적 능력이 되는 교차 계층 승격(cross-layer promotion), 그리고 원본 소스 레코드가 제거된 후에도 공격이 생존하는 지속성 격리(persistence isolation)이다. 우리는 SkillX와 Anything2Skill이라는 두 대표적 시스템에서 4가지 정책 위험 범주에 걸친 150개 궤적의 공유 데이터셋을 사용하여 SkillJack을 평가한다. 결과는 스킬 추출이 공격 탐지 가능성을 상당히 낮춘다는 것을 보여준다. SkillX에서 안전 탐지율은 중독된 궤적의 98.5%에서 추출된 스킬의 11.4%로 하락하며, Anything2Skill에서도 유사한 효과가 나타난다. 한편, 주입된 스킬은 효과를 유지하여 두 시스템에서 각각 56.2%와 89.2%의 공격 성공률을 달성한다. 또한, 스킬 매개 공격의 80.0%는 원본 중독 레코드를 삭제한 후에도 지속되며, 일부 스킬은 정상 질의에서 의도치 않게 활성화된다. 우리의 발견은 스킬 진화가 새로운 공격 표면임을 드러내며, 출처 인식 스킬 수명주기 보호의 필요성을 제기한다. 우리의 코드는 https://github.com/Tencent/AI-Infra-Guard/research/skilljack에서 이용 가능하다.

English

Self-evolving agents increasingly convert interaction histories into reusable skills that persist beyond individual tasks. While prior work studies memory and retrieval poisoning, such attacks only affect agents when poisoned records are retrieved as context. We uncover a new and more fundamental risk: poisoned experiences can be transformed by the agent itself into durable behavioral artifacts. We present SkillJack, the first attack that exploits the experience-to-skill pipeline of self-evolving agents. Instead of directly manipulating runtime context, SkillJack hijacks the agent's own learning process to implant malicious behaviors into its reusable skill repertoire. We identify three key properties of this transformation: sanitization whitewashing, where malicious intent is obscured during skill extraction; cross-layer promotion, where transient experiences become persistent capabilities; and persistence isolation, where the attack survives removal of its original source records. We evaluate SkillJack on two representative systems, SkillX and Anything2Skill, using a shared dataset of 150 trajectories across four policy-risk categories. Results show that skill extraction substantially reduces attack detectability: in SkillX, safety detection drops from 98.5\% for poisoned trajectories to 11.4\% for extracted skills, while Anything2Skill shows a similar effect. Meanwhile, the implanted skills remain effective, achieving attack success rates of 56.2\% and 89.2\% on the two systems, respectively. Furthermore, 80.0\% of skill-mediated attacks persist after deleting the original poisoned records, and some skills unintentionally activate on benign queries. Our findings reveal skill evolution as a new attack surface and motivate provenance-aware skill lifecycle protection. Our code is available at https://github.com/Tencent/AI-Infra-Guard/research/skilljack.