Hacker News · AI· georgikalchev·· 3 小时前精选AI 评分73
为何不应随意安装未经审查的 AI Agent 技能
Why you should not install unvetted AI agent skills
AI 导读
未经审查的 AI Agent 技能可能夹带恶意命令、窃取凭据或诱导未授权支付，因为大模型无法可靠区分系统指令与外部文件内容。实测表明，攻击者常将恶意行为伪装成环境依赖或正常步骤，在 Claude 智能体测试中成功触发了支付指令；而在 Claude Code 中，带有 !
推荐理由
文章拆解了恶意技能伪装常规任务诱导智能体执行未授权操作的机制，并给出了排查隐藏字符与无工具演练的具体流程。
来源：Hacker News · AI · aiskills402.com