当智能体忽略 skill 自身的前置条件：SLBench 研究

这是什么？

2026 年 7 月 13 日，Xuan Chen、Chengpeng Wang、Lu Yan 与 Xiangyu Zhang 在 arXiv（cs.CR / cs.SE）发表了论文 SLBench: Evaluating How LLM Agents Follow Logical Relations in Skills。该文关注智能体技术栈中一个增长迅速却审计缓慢的部分：智能体 skill——那些交给智能体、用于完成基础模型从未针对性微调过的任务的可复用流程、工具集合与领域专用工作流。

作者的出发点很简单，一经点明便难以忽视。skill 文件并不是一份扁平的步骤清单。其中的指令彼此存在逻辑关系：有些步骤只有在先前的检查通过后才有意义，另一些步骤只有以特定方式执行才是安全的。如果智能体在执行 skill 时不尊重这些关系，它就可能做出 skill 本身意在禁止的操作——而逐步看去，却像是在遵循指令。SLBench 正是用来衡量这种情况发生的频率。

工作原理

论文提出了一个名为 SkillLogic 的框架，用于分析 skill 文件内部的逻辑关系，并将其转化为可执行的测试。其分类法涵盖八种关系类型。其中两种被明确点名，足以看清问题的形状：前置条件，决定某个操作是否有效；以及约束，限定一个被允许的操作可以如何执行。

应把这两类视为安全逻辑，而非单纯的易用性。前置条件是”删除临时文件”与”在确认备份完成后再删除临时文件”之间的差别。约束是”发送摘要”与”仅将摘要发送给请求者”之间的差别。智能体须遵守的指令并非孤立的祈使句，而是祈使句加上它的守卫条件。SLBench 直接依据 skill 自身的关系构造测试用例：因此失败是相对于 skill 所声明的意图来定义的——评判智能体的不是外部规则手册，而是它是否尊重了交给它的逻辑。

本文描述的是一种评估方法，而非漏洞利用。这里没有任何攻击载荷：其贡献是一面镜子，用来找出智能体在何处悄悄丢弃守卫条件、只执行了赤裸的操作。

为何重要

skill 正在成为一个供应链攻击面。它们从注册表下载、在团队之间共享，并且越来越多地由其他模型撰写；每一个都是一段自然语言指令，智能体将以用户的权限去执行。现有的 skill 安全研究大多聚焦于 skill 作为恶意内容的载体——隐藏的提示注入、过宽的权限、被篡改的描述。SLBench 指向一种更安静、根本无需攻击者的失效：一个完全良性的 skill，其前置条件与约束却被智能体直接忽略。

这种失效会放大社区已经担忧的其他风险。一个总是无视约束的智能体，会把间接注入的小小立足点扩大成更大的控制权，因为写入可信 skill 中”只能以 Y 方式做 X”的护栏并不会真正生效。而由于这一缺口关乎指令的逻辑遵循，而非显而易见的有害文本，它会绕过那些寻找恶意内容、而非寻找被省略条件的扫描器。

防御

务实的教训是：把 skill 中的逻辑关系当作应当强制执行的策略，而不是模型可以概括后遗忘的礼貌性建议。具体而言：在运行 skill 之前提取其前置条件与约束，并在智能体外围的确定性层中强制执行其中重要的部分，而不是指望模型在轨迹中途还记得它们——一道在观察到”备份已确认”状态之前拒绝”删除”调用的闸门，并不依赖模型的注意力。

其次，像 SLBench 那样在部署前测试 skill：依据每个 skill 自身的关系生成可执行检查，并在现实条件下（包括容易遗忘先前守卫的长时间或被中断的运行）确认智能体遵守前置条件与约束。第三，在这一切之下坚持最小权限，使得一旦守卫被丢弃，影响半径也被限制在智能体本就能做的范围之内。此类基准最有用之处在于充当回归门：今天通过的 skill，在基础模型、执行框架或 skill 文本发生变化时，可能会悄然不再通过。

状态

项目	详情
类型	学术研究（评估基准），并非产品漏洞
来源	arXiv:2607.09016 [cs.CR / cs.SE]，2026 年 7 月 13 日公布
贡献	SkillLogic 框架 + SLBench 基准，用于 skill 文件的逻辑关系
关系分类	八种类型，含前置条件（判定操作是否有效）与约束（限定执行方式）
CVE	无——不涉及特定产品漏洞