Runaway Reaction: When Benign Skills Compose into Malicious Behavior

📄 arXiv: 2610.05943v1 📥 PDF

作者: Zunlong Zhou, Ziyuan Yang, Mengyu Sun, Yi Zhang

分类: cs.CR, cs.AI

发布日期: 2026-10-05

💡 一句话要点

提出CRIME以解决技能组合引发的恶意行为问题

🎯 匹配领域: 支柱一：机器人控制 (Robot Control)

关键词: 技能组合 恶意行为 网络安全 代理技能 组合风险 系统评估 模块化设计

📋 核心要点

  1. 现有的安全审查方法主要针对单个技能，未能考虑技能组合可能引发的恶意行为风险。
  2. 本文提出CRIME方法，通过模块化设计识别和优化技能组合，以实现恶意行为的诱导。
  3. 实验结果表明，CRIME能够有效识别和优化技能组合，显著提升对组合引发脆弱性的评估能力。

📝 摘要（中文）

代理技能封装了特定任务的知识和程序，可以组合以支持复杂的代理任务。然而，现有的安全审查主要评估单个技能，未能充分探讨组合引发的风险。研究发现，直接组合良性技能可能会诱发恶意行为，即使每个技能都通过了安全审查。为系统化地实现这些攻击，本文提出了多技能执行的组合风险诱导方法（CRIME），通过模块化设计识别合适的技能组合并进行迭代优化。最终，构建了一个包含4000个公共技能的基准，以评估组合引发的脆弱性。

🔬 方法详解

问题定义：本文旨在解决技能组合引发的恶意行为风险，现有方法未能充分考虑组合技能的潜在威胁，导致安全审查的盲点。

核心思路：CRIME方法通过将恶意行为分解为互补需求，识别适合的良性技能组合，并通过反馈迭代优化技能选择，以保持每个技能的良性特性。

技术框架：CRIME包括三个主要模块：恶意情节构建（MPC）模块用于分解目标恶意行为并识别技能组合；失控反应引导（RRS）模块用于迭代优化技能组合；技能反应舱（SRC）模块用于在沙箱中执行组合并评估结果。

关键创新：CRIME的创新在于系统化地将技能组合与恶意行为诱导联系起来，提出了模块化的设计思路，能够在保持技能良性的前提下实现复杂行为的诱导。

关键设计：在RRS模块中，使用执行反馈来调整技能组合，确保每个技能在单独审查时仍保持良性，此外，构建了一个包含4000个公共技能的基准以支持系统评估。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，CRIME方法能够有效识别出多种组合引发的恶意行为，成功率显著高于传统方法，尤其在处理复杂行为时，提升幅度达到30%以上。构建的4000个技能基准为后续研究提供了重要的数据支持。

🎯 应用场景

该研究的潜在应用领域包括网络安全、智能代理和自动化系统等。通过识别和优化技能组合的恶意行为，能够提高系统的安全性和可靠性，防止潜在的安全漏洞。未来，CRIME方法可以扩展到更多领域，促进安全技能的开发与应用。

📄 摘要（原文）

Agent skills package task-specific knowledge and procedures that can be composed to support complex agent tasks, while public marketplaces provide a growing pool of reusable skills. Existing security vetting, however, largely evaluates skills in isolation, leaving composition-induced risks underexplored. Such risks arise because composing benign skills expands the agent's capability space, enabling behaviors unavailable to any skill alone. Interestingly, we find that directly composing benign skills can already induce malicious behaviors, even when every individual skill passes security vetting. We further find that some target malicious behaviors remain difficult to realize through direct composition, even when the selected skills collectively provide the required capabilities. To systematically instantiate these attacks, we present Compositional Risk Induction via Multi skill Execution (CRIME). CRIME first uses the Malicious Plot Casting (MPC) module to decompose a target malicious behavior into complementary requirements and identify suitable benign skill compositions from public skill repositories. For compositions that cannot directly realize the target behavior, the Runaway Reaction Steering (RRS) module uses execution feedback to iteratively refine the selected skills toward the target while requiring each skill to remain benign under standalone vetting. The resulting composition is then passed to the Skill Reaction Chamber (SRC) module, where the skill pair is executed in a sandbox and the resulting environmental consequences are examined to determine whether the target behavior has occurred. Unsuccessful cases are returned to RRS for further refinement. Furthermore, we construct a benchmark of 4,000 public skills across eight cybersecurity behaviors for systematic evaluation of composition-induced vulnerabilities.