在路由器筛选中胜出：面向检索与执行优化技能注入

arXiv:2610.08098v1 公告类型：交叉收录 摘要：AI 智能体越来越依赖模块化的第三方“技能”，这些技能由技能路由器动态选择，以执行复杂任务。尽管近期研究强调了嵌入这些技能中的提示注入所带来的威胁，但现有评估通常假设恶意技能已被选中执行。我们表明，这一假设可能大幅高估攻击成功率。在现实的多技能环境中，被注入的技能必须先在检索竞争中胜出，这使现有注入攻击的有效攻击成功率（ASR）降低了 87–97%。为解决这一局限，我们提出 CORSA（Cluster Optimization for Router-Aware Skill Attacks），这是一种感知路由器的攻击方法，可针对多个相关任务簇，同时优化技能注入在检索和执行阶段的表现。我们在 SkillRouter 提出的基准中扩展了八类恶意载荷，以评估路由器管理的多技能环境下的技能注入攻击。CORSA 采用依次进行的优化阶段，先改善检索表现，再优化端到端攻击成功率；同时，我们分别评估用户效用和注入内容的自然程度。实验表明，与现有技能注入方法相比，CORSA 在保持用户效用的同时，显著改善了检索表现和端到端攻击成功率，且生成的攻击能够迁移至不同的路由器架构和 LLM 主干模型。