下载一份别人写好的 AI 技能，就像给新员工递上一张工作说明。问题是，说明里也可能夹着伪造命令。SKILL.md 虽是普通 Markdown 文本，却会被放进智能体的上下文，直接影响它如何行动。研究者据此测试：越狱指令能否借技能文件传播，让模型绕过原有限制。
他们用 LangChain 搭建问答智能体，把混合了角色操纵和 GPTFuzzer 攻击的指令埋进技能文件，再让七个开放权重模型回答九类共 270 个禁止问题。使用无害系统提示时，平均攻击成功率仅 0.5%；换成被污染的文件后升至 44.8%，最高单个模型达 68.9%。把内容藏进零宽字符并未增强攻击，转成语音形式反而把平均成功率降至 30.1%。
这说明风险的关键未必是恶意文字藏得多巧，而是智能体把技能文件当成了可信指令。模型间结果相差约五倍，也意味着换模型不能替代审查。需要保留的是，成功与否由 Llama-Guard-4-12B 自动判定，论文尚未完成人工标注校准；但对插件生态而言，SKILL.md 已不能只按说明书看待，而应像第三方代码一样核验来源和内容。