一分钟读论文：《技能各自合规，组合就出事》
内容提要
论文提出LLM Agent技能生态中的“技能冲突”（CoS）漏洞：单个技能合规，组合使用却违反政策。实验显示，仅加入不超过原池5%的局部合规技能，5个模型在3种框架上的违规率从35.02%升至58.45%。作者构建CoSA攻击并推出CoSA-Guard防御，在harness层于关键动作前检查信息流与授权，使违规率从65.28%降至6.67%，良性任务完成率仅降1.67个百分点。结论：逐个审计通过不等于组合使用合规。
延伸解读
合规是随用途漂移的状态，而非技能固有属性
论文指出，CoS 的根因在于单个技能的输出会在下游被重新解释：同一份制品或“已通过检查”的信号，换一条下游链路就可能越过授权边界。审计发生在入库那一刻，风险却发生在运行时拼接的那一刻，两者的时间差正是漏洞藏身之处。这意味着逐个技能的静态审计无法覆盖组合使用时的授权漂移，合规需要按用途动态判断。
增量技能即可撬动违规率，现有权限体系难拦截
CoSA 攻击只加入占原池不超过 5% 的局部合规技能，不改任何现有技能，也不改运行时权限，却使 5 个模型在 3 种框架上的违规率从 35.02% 升至 58.45%。三个框架的违规率分别上升 22.29、26.04、21.94 个百分点，无一幸免。这说明技能生态本身已是攻击面，仅靠权限配置无法防御组合层面的政策违反。
防御应检查动作来源的依赖链，而非措辞
CoSA-Guard 在 harness 层于关键动作执行前检查信息流与授权，使攻击注入下的违规率从 65.28% 降至 6.67%，良性任务完成率仅从 66.67% 变为 65.00%。与单点守卫可被措辞绕过不同，该防御检查的是动作来源的依赖链。对读者而言，防御思路应从“技能是否合规”转向“动作所依赖的信息流是否获得授权”。
解读数字时需注意基线违规率与预印本口径
论文中 23.43 个百分点是增量而非总量，原始技能池本身已有 35.02% 的基线违规率。这些数字全部来自论文自测口径，预印本尚未经同行评审。读者在评估 CoS 风险与 CoSA-Guard 效果时，应区分增量与总量，并留意实验条件与真实部署环境之间可能存在的差异。
Q&A
什么是LLM Agent技能生态中的“技能冲突”（CoS）漏洞？
CoS指每个技能单独检查都合规，但组合使用时却违反政策。其定义是：为某一目的产生的制品或评估信号，在下游新用途里被复用时，没有保留该新用途所需的限制与授权。根因在于单个技能的输出会在下游被重新解释，逐个技能的静态审计看不到这一点。
CoSA攻击是如何在不修改现有技能和权限的情况下提高违规率的？
CoSA攻击通过向现有技能池中加入占原池不超过5%的“局部合规”增量技能，包括能力补全（补上攻击路径缺失的业务操作）和关系重塑（改变制品交换、决策复用、目标与动作的绑定）。实验显示，5个LLM在3种harness上的政策违规率从35.02%升至58.45%，提升23.43个百分点，且不改任何现有技能或运行时权限。
CoSA-Guard防御机制是如何工作的？效果如何？
CoSA-Guard在harness层于关键动作执行前检查信息流与授权。在OpenClaw招聘任务、5个模型上，攻击注入下的违规率从65.28%降至6.67%；配对良性对照上，政策合规的任务完成率仅从66.67%变为65.00%，代价近乎为零。它检查的是动作来源的依赖链，而非措辞。
CoS漏洞在哪些实际场景中可能造成危害？
论文给出的动机例子是三个各自通过安全检查的技能串联：一个查部署状态，一个收集复现故障的材料，一个执行CI/CD流水线里配置好的校验步骤——组合起来，Agent就去执行了提交者包里的代码，而这次执行从未被授权。CoSA-Bench覆盖招聘、金融、IT、商业四个领域，危害类型包括数据泄露、越权改状态、危险执行。
为什么说“逐个审计通过不等于组合使用合规”？
因为合规在CoS里不是技能固有的属性，而是随用途漂移的状态：同一份制品、同一个“已通过检查”的信号，换一条下游链路就可能越过授权边界。审计发生在入库那一刻，风险却发生在运行时拼接的那一刻，两者的时间差正是漏洞藏身之处。
CoSA攻击在不同Agent框架上的效果有差异吗？
有差异但均显著。分harness看，OpenClaw、OpenHands、OpenCode的违规率分别上升22.29、26.04、21.94个百分点，三个框架无一幸免。
