SkillScan：字节团队面向 AI Agent Skills 的全链路安全检测方案

2301_80289431 · 2026-07-06 21:43:46 发布

AI Agent 浪潮之下，Skills（技能）生态正在成为大模型落地的核心载体。社区开发者贡献的各类技能快速膨胀，让 Agent 的能力边界不断拓宽，但随之而来的安全问题也逐渐暴露：恶意技能植入后门、硬编码凭证泄露、依赖供应链投毒、提示词注入…… 每一个环节都可能成为攻击者的突破口。

近期火山引擎 AI 安全团队发布了 SkillScan—— 一套面向智能体技能包的全链路安全检测方案，覆盖技能从开发、分发到运行的完整生命周期。本文将从技术视角完整拆解这套方案的风险模型、检测体系与落地实践，看看字节是如何为 Skills 生态构建系统性安全防线的。

技能安全并非单点问题，而是贯穿包体文件、声明配置、代码实现、网络运行、依赖供应链的全链路风险。攻击者可以在技能生命周期的任意环节植入危害，从解压时的目录穿越，到运行时的数据窃取，再到供应链层面的投毒攻击。SkillScan 将所有风险归纳为五大类，形成了完整的风险视图。

技能包通常以压缩包形式分发，解压环节本身就存在基础安全隐患。攻击者可以在包体结构上做手脚，在技能被加载前就触发危害。

核心攻击向量：
- 恶意文件植入：在包内塞入可执行二进制文件、后门程序，运行时直接触发恶意行为；
- 硬编码凭证：将 API Key、内网 Token、数据库密码直接写入配置文件，一旦泄露可被直接利用；
- 资源耗尽攻击：放置超高压缩比文件或超大文件，触发解压炸弹，导致服务拒绝服务；
- 目录穿越：构造包含 ../ 的恶意压缩包路径，解压时覆盖系统关键文件实现任意写入。
潜在影响：本地文件包含漏洞、敏感信息泄露、系统资源耗尽、任意文件覆盖、内容合规风险。

skill.md 等声明文件是技能的 “说明书”，定义了功能描述、使用方式与依赖关系，也是大模型读取技能信息的入口。攻击者可以在声明文本中植入攻击载荷，诱导大模型执行非预期操作。

核心攻击向量：
- 提示词注入：在功能描述、示例代码中嵌入恶意指令，大模型读取声明内容时被诱导绕过系统提示、执行恶意操作；
- 敏感行为声明：明示或暗示技能具备本地文件访问、系统命令执行等高权限能力，存在被滥用风险；
- 高风险依赖声明：在依赖项中引入已知漏洞组件或恶意库，通过供应链传递危害。
潜在影响：大模型提示词泄露、系统指令被绕过、技能行为偏离预期、供应链攻击。

代码是技能逻辑的核心载体，也是最常见的风险入口。无论是恶意开发者植入的后门，还是不规范编码引入的漏洞，都可能直接造成严重危害。

核心攻击向量：
- 恶意代码植入：直接实现反向 Shell、数据窃取、文件加密勒索等恶意功能；
- 危险函数调用：滥用 eval()、exec()、subprocess 等执行类函数，若输入可控则引发命令注入；
- 敏感路径访问：尝试读取 ~/.ssh/、/etc/passwd、容器环境变量等系统敏感信息；
- 容器逃逸尝试：通过特权操作、内核漏洞利用等方式突破容器隔离边界。
潜在影响：远程代码执行、用户隐私泄露、容器逃逸、权限提升、供应链攻击。

技能运行时的网络行为与资源消耗，直接关系到宿主平台的稳定性与数据安全。恶意技能可能通过网络外发窃取的数据，或通过资源耗尽攻击影响多租户环境。

核心攻击向量：
- 明文通信：使用 HTTP 协议传输数据，易被中间人攻击窃取或篡改；
- 恶意 C2 连接：硬编码恶意服务器地址，建立反向 Shell 或数据外发通道，具备心跳保活、指令交互等 C2 特征；
- 资源耗尽：通过无限循环、递归调用、内存泄漏等方式，耗尽宿主的 CPU、内存与磁盘资源。
潜在影响：数据泄露、远程被控、拒绝服务、平台多租户相互干扰。

技能普遍依赖大量开源组件，供应链是最容易被忽视、也最容易造成规模化影响的攻击面。

核心攻击向量：
- 许可证不合规：引入 GPL 等强传染性许可证组件，可能导致技能代码被迫开源，引发法律风险；
- 已知漏洞组件：使用存在 CVE 漏洞的依赖版本，攻击者可通过漏洞间接攻击；
- 依赖投毒：污染开源仓库的包版本，通过传递依赖将恶意代码引入运行环境；
- 威胁情报匹配：技能作者、包体哈希与已知威胁情报库中的恶意实体匹配。
潜在影响：许可证合规纠纷、已知漏洞被利用、供应链投毒攻击。

针对上述五大风险领域，SkillScan 构建了多层次的检测能力体系，并且针对不同业务场景提供差异化的防护策略，而非一刀切的通用方案。

不同场景下技能的分发范围、威胁来源差异极大，SkillScan 为两类核心场景设计了针对性防护方案。

面向公网用户分发的技能市场，攻击者来自外部，核心威胁是恶意技能上传、技能投毒与供应链攻击。 SkillScan 采用 “多层检测 + 持续运营” 策略：

企业内部流转的技能生态，威胁主要来自内部恶意人员、已入侵账号与不合规使用。 SkillScan 在基础能力之上额外增强三类检测：

SkillScan 将所有检测能力划分为三层，业务方可根据安全等级灵活选配。

基础检测层（默认开启） 覆盖绝大多数通用安全风险，是所有技能的安全基线。包含包体合规检查、声明层安全、代码恶意行为检测、网络连接风险、基础供应链威胁等核心能力，实现对技能安全的基础保障。
增强检测层（按需配置） 面向更高安全要求的场景，提供可灵活开关的增强能力。包括开源许可证合规检测、SCA 软件成分分析、内网敏感信息检测、数据外发专项检测等，满足企业级、合规类的防护需求。
运营保障层（持续迭代） 聚焦检测能力的持续有效性，包含威胁情报库实时更新、误报漏报人工处理、高危技能应急响应等运营动作，确保检测能力能对抗不断演化的攻击手法。

在此基础上，SkillScan 进一步将检测项划分为核心检测能力与扩展检测能力两大矩阵，支撑业务方根据自身风险容忍度配置不同的准入阈值。