Agent Skills：是什么、怎么用、怎样改进

这篇综述把 Agent Skill 定义为可组合的指令、代码和资源包，按架构、获取、部署与安全四条线梳理领域，并提出按来源和权限分级的信任模型与生命周期管理方案。

综述把 Agent Skill 定义为在任务约束下协调工具、记忆与运行上下文的可复用程序单元，用表示、获取、检索和进化四个阶段串联方法、数据集与开放问题。

论文审计 138,133 个公开 SKILL.md，发现 91.8% 至少有一种缺陷，主要是路由信息薄弱、正文臃肿或不可执行、资源组织差，而非复杂攻击。规范生成、自动检查和修复可改善可复用性。

GitSkills 从 282,200 个公开仓库收集 3,797,117 个 SKILL.md 文件，保留路径、内容哈希、目录资源和提交历史，为研究技能复用、维护和供应链安全提供可查询数据。

MSCE 把很长的执行记录分成具体步骤、可复用方法和环境信息，只把确实带来提升、并写清适用范围与检查方法的策略保存成技能。这样，智能体不会把每段历史记录都误当成以后应该照做的规则。

论文把云端智能体的执行记录当作能力泄露面，研究能否从输入、动作、工具调用和结果中反推出未公开的技能。这把技能获取从自有经验扩展到行为重建，也暴露了商业技能的知识产权风险。

SkillSmith 把 prefix-tuning（一种只微调模型前缀参数的方法）得到的权重视为新输入，让模型同时读取参数化技能与文本说明，一次生成目标前缀，尝试组合自然语言知识与权重空间能力。

这项研究把技能生成改成渐进式强化学习任务，让生成器从任务说明、执行记录和反馈中学习写草稿、验证和继续修改。目标是用同一套训练方法处理不同来源的经验，减少为每类任务单独设计流程的工作。

论文指出编码智能体针对单次任务局部修改技能容易产生冲突补丁，因此从跨项目执行记录中学习全局可复用的程序知识，并用跨任务验证判断新规则是否应合并进共享技能。

TRUSS 把自动技能生成的目标从任务成功扩展为可靠性与安全双约束，要求同时产出程序指导、可执行资源和安全边界，并用执行测试与风险检查过滤表面有效但不可信的技能。

很多技能的名称和简介很像，但实际步骤不同，智能体很容易选错。SkillSight 不只看标题，还比较技能正文、所需工具和操作限制，用这些更具体的信息提高相似技能之间的检索准确率。

SkillTrace 把复杂请求和技能库连成一张查询—技能关系图，不再只找单个相关技能，而是沿依赖关系寻找一组技能。它重点解决复杂任务需要多个技能覆盖不同子目标、并按正确顺序执行的问题。

把整个技能文件压成一个向量会混淆触发条件、代码正文、工具约束等不同字段。该工作对技能文档按字段分别表示和匹配，让检索器根据查询需要选用不同字段作为证据。

论文比较三种大规模技能检索方法：一次性加载全部技能、独立向量检索，以及带结构的多步选择。比较内容包括占用多少上下文、能否选对技能和能否排对执行顺序，说明技能库变大后不能只看检索准确率。

检索到的技能语义相关不等于直接可用。该工作把技能当作可修改的草稿，在运行时根据当前输入、工具和环境约束做局部调整，并验证调整是否真正改善了执行效果。

SkillSentry 在多步技能执行中增加检查层：关键动作前核对前置条件、工具调用和当前状态，执行后再检查结果与限制。它要解决的是技能虽然选对了，却因中途偏离流程而没有被发现的问题。

在五个领域各构造了 100 个逐步变难、且经验可复用的子任务。发现顺序执行通常能提升表现，但显式维护技能平均并未稳定超过普通上下文适应，较弱模型还会积累更多碎片化的专用技能。

把长技能拆成内部结构单元，用结构感知的 Shapley 值（一种衡量各部分边际贡献的方法）估计每个步骤或规则对整体表现的贡献，可用于删减冗余、定位负贡献内容和解释自动优化结果。

把评测对象从最终回答扩展到完整执行轨迹，专门检查不同评判模型能否识别工具误用、步骤跳过、边界违反和表面成功，从而评估这些评判模型作为技能优化奖励信号是否可靠。

利用有技能与无技能（或语义不匹配技能）的配对运行，对 307 个技能诱发的失败案例进行归因，涵盖功能错误和效率回退。结果显示，看似相关的技能仍会让智能体遗漏任务要求，过度验证和重型流程也会增加成本。

论文建立了覆盖技能入库、检索、选择、执行和更新全生命周期的威胁模型，并用 327 个真实技能构建了 SkillSec-Eval 评测集。研究发现安全风险不只出现在代码执行阶段，而是贯穿整个使用流程。

OpenSkillRisk 从真实第三方技能中构造风险场景，测试智能体能否识别危险权限、拒绝越权操作并保持任务可用。研究发现智能体在安装和执行带有误导流程或不安全资源的技能时，风险识别能力有限。

论文研究将个人交互历史压缩成可携带的 Persona Skill（人设技能）后，分散的隐私信息如何被集中并支持身份模仿。基准测试同时检查敏感信息泄露、冒用风险与防御措施对个性化效果的影响。

PoisonedEvolution 利用自进化系统会将执行经验转化为持久指令的机制，在轨迹中植入恶意行为模式。攻击效果会延续到后续的技能生成、检索和新会话执行中。

论文发现技能池增长并非单调提升，新技能超过某个规模后可能污染检索与执行。Pre-Commit Gate（提交前门控）在写入持久库前比较候选技能的收益、回归和跨任务影响，只提交通过验证的更新。

ElasticBack 将触发条件与恶意规则联合优化，使技能在常规检查中表现正常，只在特定语义或状态组合出现时改变行为。这揭示了技能供应链中难以靠静态文本扫描发现的条件后门。

SkillMisevo-Bench 版本化跟踪恶意暴露如何经技能编写、检索和后续执行形成持久伤害。实验显示安全的执行结果也可能被错误固化，SafeEvolve 因此同时管控写入内容和未来复用。

CompoSkill 展示多个单独通过安全扫描的技能仍可在组合后形成恶意链条，攻击依赖技能间的数据流和执行顺序。这说明按包独立认证不能保证整个技能组合的安全。

SkillRise 识别跨任务共享的解题模式，让技能的产生、选择和更新进入强化学习循环，而不是把相关任务当作独立回合。这减少了重复探索并提高了向新任务的迁移能力。

受控实验固定执行器、优化器、验证规则和轮数，只改变成功或失败反馈。388 个候选中仅 55 个形成新的验证最优，说明技能进化更像稀疏、依赖验证过滤的搜索，而不是随轮数稳定上升。

SkillHEX 把技能维护写成假设驱动的探索与利用循环：先根据失败提出可检验的改进假设，再主动选择能区分假设的任务执行，用验证结果决定扩展、修订或保留已有程序。

SkillCommit 先把新经验保存为局部补丁，只在跨实例重放和机制检查确认行为兼容后，才抽象成更高层技能并提交。这种扩大行为验证范围的做法，避免了仅凭语义相似就合并互不兼容的程序。