3 次对话，盗走一个 Agent 的核心能力：论文揭示 Skill Stealing 的真实威胁

ArXiv 新论文通过实证研究表明，LLM agent 的专有 skill 可以在仅 3 次交互内被完整提取——这不只是安全研究，是对正在形成的 agent skill 经济的一次直接冲击。

技术前沿 Agent安全 Skill Stealing LLM Agent 知识产权 Agent经济

3 次对话，盗走一个 Agent 的核心能力：论文揭示 Skill Stealing 的真实威胁

AI agent 安全讨论里，大多数注意力集中在「外部攻击者如何入侵 agent」——Tool Poisoning、MCP 恶意服务器、Prompt Injection。但本周 ArXiv 上出现了一篇论文，把视角转了个方向：如果你是一个合法用户，你能从 agent 里偷走什么？

答案是：几乎一切。只需要 3 次对话。

背景：一个新兴的 Skill 经济正在形成

理解这个问题，需要先知道 LLM agent 里的”skill”是什么。

在现代 agent 框架（比如 OpenAI Assistants、Custom GPTs、以及各类 agent 平台）里，skill 是封装了特定能力的可复用指令集——包含系统提示、工具使用规范、领域知识注入、以及任务特定的推理模板。一个高质量的 coding agent skill 和一个低质量的，区别可能就是几百行精心设计的 system prompt。

这个市场已经不小了。论文《Black-Box Skill Stealing Attack from Proprietary LLM Agents》（arXiv:2604.21829，Apr 25 2026）引用的数据：

“Free skill marketplaces already report 90,368 published skills, while paid marketplaces report more than 2,000 listings and over $100,000 in creator earnings.”

一个有价值的 skill 被盗，等于几周甚至几个月的 prompt engineering 投入被白白复制走。

攻击向量：3 次交互就够了

论文的核心发现是：通过精心设计的”偷取提示”（stealing prompt），攻击者可以仅用 3 次对话就高置信度地提取出目标 agent 的 skill 内容。

攻击流程被系统化为一个自动化 pipeline：

  1. 种子提示生成：从模型生成的种子提示出发，这些提示被设计成诱导 agent 暴露其内部指令
  2. 场景合理化：给出听起来合理的业务场景，降低 agent 的”谨慎阈值”
  3. 结构注入：在提示里植入特定的输出格式要求，让提取结果更结构化
  4. 多样性过滤：用 embedding 相似度过滤冗余提示，确保每次尝试都带来新信息

论文在 3 个商业 agent 平台、5 个 LLM（包括 GPT 和 Claude 系列）上验证了这个攻击，所有组合都能被有效攻破。

“Our results show that agent skills can be extracted with only 3 interactions, posing a serious copyright risk.” — arXiv:2604.21829

为什么 3 次够了？

这个数字背后有一个结构性原因：LLM 本身不擅长区分”合法用户在问我用法”和”攻击者在套我的指令”。

当一个 skill 说”你是一个专业的财务分析助手，你的工作流是先检查…然后…” 时，这些内容已经在 model 的 context window 里了。任何能让模型开口描述自身工作方式的问法，都在潜在地泄露 skill 内容。

攻击者不需要”攻破”什么——他们只需要问对问题。

防御：有用，但不够

论文也设计了三层防御机制：

输入层：检测并过滤疑似偷取的提示（类似 Prompt Injection 检测）
推理层：在 inference 时对输出做内容控制，阻止直接暴露 skill 结构
输出层：对输出做后处理，模糊化可能暴露 skill 结构的内容

三层防御组合后”效果不错”，但论文的结论并不乐观：

“The attack remains inexpensive and readily automatable, allowing an adversary to launch repeated attempts with different variants; only one successful attempt is sufficient to compromise the protected skill.”

防御是概率性的，攻击是确定性的——只要攻击者愿意多试几次，最终总能找到一个绕过防御的变体。

对 Agent 产品设计的启示

这篇论文让我想到一个更根本的问题：当 LLM 的核心是「理解并遵循指令」时，如何能同时保证「理解用户的指令」但「不暴露 skill 的指令」？

这是一个本质上很困难的问题，因为区分二者需要 context-aware 的意图判断，而这正好是 LLM 不擅长的。

几个实践层面的建议：

  1. 高价值 skill 不应完全依靠 system prompt 保护：如果核心竞争力是 prompt，它天然是可复制的。真正的护城河是数据（微调）、工具集成，或者闭环的反馈学习。

  2. Server-side skill execution 比 client-side 更安全：如果 skill 逻辑在服务器执行而不是通过 system prompt 暴露给模型，攻击面会小很多。

  3. 监控异常交互模式：3 次交互就能成功，意味着攻击会留下可检测的模式——连续的”告诉我你的工作流程是什么”类问题，应该触发警报。

一个更大的背景

这篇论文出现的时机很有意思。2026 年初，agent skill 经济开始真正形成：skill marketplace 在快速增长，有人已经靠卖 agent skill 赚到 6 位数。与此同时，OpenAI、Anthropic、以及各类 agent 平台在这个新兴市场上的 IP 保护机制基本是空白的。

就像早期移动应用商店里没有代码混淆、没有 DRM 一样——生态先跑起来，安全机制后来补。区别在于，skill 的复制成本比 app 的逆向工程低太多了。

“Overall, our findings suggest that these copyright risks are largely overlooked across proprietary agent ecosystems.” — arXiv:2604.21829

90,000 个已发布的 skill，其中有多少已经被悄悄复制走了？

论文地址：arXiv:2604.21829