Defense-as-Skill：为技能增强型智能体演化运行时防护技能

技能增强型智能体将可复用技能作为持久的运行时上下文加载，从而提升任务表现，但也为恶意技能提供了一个持久渠道来操控后续动作。这类技能可能泄露机密、破坏代码、绕过审批，或在具体用户任务和工作区状态使不安全操作看起来有用之后，再为数据外泄做准备。这使得安装前审查不足，并需要在运行时基于任务条件提供保护。我们提出 Defense-as-Skill，一种将运行时防护本身实现为可安装、可检查和可编辑技能的防御范式。我们的防护器 SkillSonar 与不可信任务技能并行运行，并将敏感操作与用户任务边界进行比对，无需修改底层智能体运行时即可将每个操作导向允许、重新规划或确认决策。为研究这一设定，我们构建了 SCOPE-R，一个任务条件化数据集，涵盖 6 个风险家族和 21 个子类别，包含 206 个经攻击确认的恶意实例和 43 个良性任务。随后，我们在 SCOPE-R 训练子集上利用运行时防护技能演化来改进 SkillSonar；这是一种 Monte-Carlo Tree Search 过程，可根据 rollout 的反馈演化磁盘上的防护技能。在 Claude Code 和 OpenClaw 上，演化后的防护器显著降低了攻击成功率，同时保持了良好的安全-效用权衡。在重复的 GLM-5 运行中，SkillSonar 将 ID ASR 从 0.482 降至 0.104，将 OOD ASR 从 0.606 降至 0.115。进一步分析表明，该方法可跨受害模型、留出风险家族和外部基准迁移，并且对自适应攻击者仍保持防护能力。消融实验进一步表明，显式的安全责任分配和技能原生表示对于所观察到的收益都很重要。