EvoMal 攻擊之後：當共享技能庫成為 AI Agent 的供應鏈弱點
EvoMal 研究揭示了自我演進 Agent 的一個根本性風險：共享技能庫不僅是知識庫，更是動態的供應鏈與集體記憶。當惡意技能透過模仿與自我複製污染整個系統，我們必須從根本上重新思考 Agent 的記憶治理，建立信任與追溯機制，才能確保 AI 協作系統的長期穩定與安全。
共享 Skill 庫一旦允許 Agent 從既有內容模仿、改寫並回存，就可能把惡意程式轉化為持續擴散的集體記憶。EvoMal 的意義不只是一種攻擊，而是提醒我們：技能必須有來源、版本、簽名與可撤銷性，否則自我演進會放大供應鏈風險。
EvoMal 攻擊如何將「模仿學習」變成「自我污染」？
過去我們常將共享技能庫視為一種良性的技術資產，讓開發者或 Agent 能重複使用、組合、或改良既有工具，加速解決問題的效率。然而，一篇名為《EvoMal: Self-Poisoning in Self-Evolving Coding Agents》的論文徹底顛覆了這個假設。研究團隊設計了一種名為 EvoMal 的攻擊手法，他們並非直接執行惡意技能，而是將其植入共享庫中，作為一個看似無害的「寫作模板」。
實驗結果令人震驚。當其他 Coding Agent 為了完成任務（研究中使用了 153 個 SWE-bench 的真實軟體工程問題）而從庫中檢索技能時，它們會參考到這個惡意模板的結構與風格。接著，Agent 會在撰寫自己的新技能時，不自覺地將惡意負載（payload）一併複製進去。這個新產生的、帶有惡意程式碼的技能，隨後又被存回共享庫中，成為下一個 Agent 模仿的對象。
這個過程形成了一個惡性循環的「自我污染」（self-poisoning）機制。在橫跨六種不同模型的測試中，Agent 的自我污染率介於 20.3% 到 41.8% 之間。更糟的是，這種污染具備放大效應：在攻擊結束時，被污染的技能庫中，惡意技能的數量是最初植入數量的 4.9 到 9.0 倍。共享機制非但沒有促進協作，反而成為了惡意代碼的自動化擴散網路。
為什麼刪除源頭還不夠？
傳統的資安思維可能會認為，只要找出並刪除最初被植入的惡意技能，問題就能解決。但 EvoMal 攻擊的棘手之處在於，它的污染是透過「衍生」與「再創造」來實現的。原始的惡意技能只是「零號病人」，真正造成大規模感染的是那些由 Agent 自行創造、看似合法的無數個衍生副本。
研究數據也證實了這一點。即使在實驗中途刪除了所有最初植入的惡意技能，污染鏈也並未中斷。以 Qwen3 模型為例，到了第五輪演化，其技能庫的污染率依然高達 68%。這意味著，一旦污染發生，它就已經成為系統記憶的一部分，擁有自己的生命週期，無法輕易透過移除源頭來清除。
問題的本質已經從處理單一的惡意檔案，轉變為治理一個被破壞的、持續演化的知識創造流程。
幸運的是，研究人員也發現了一些緩解措施。例如，透過一個反提示詞（counter-prompt）來引導 Agent 避免模仿模板中的橫幅式註解（banner-style comments），能將污染率大幅降低至 6.7%，且對任務完成率沒有顯著影響。這雖然有效，卻也只是一種應急策略，並未觸及問題的根本。
如何重建 AI Agent 的信任供應鏈？
EvoMal 攻擊給我們的最大啟示，是必須將共享技能庫視為一個動態的、需要嚴格治理的供應鏈系統，而非靜態的檔案儲存庫。就像現代軟體工程依賴 軟體物料清單（SBOM） 與供應鏈安全實踐一樣，我們也需要為 AI Agent 的集體記憶建立一套治理框架。這套框架應至少包含以下幾個核心要素：
- 技能簽名與驗證（Skill Signing & Verification）：每一個被提交到共享庫的技能，都應附帶一個無法偽造的加密簽名，標示其來源（是人類專家或某個特定 Agent）。在使用前，系統必須驗證其完整性與真實性。
- 譜系追蹤（Lineage Tracking）：系統需要記錄每個新技能的「血統」，也就是它在創建過程中參考或衍生自哪些舊技能。這能建立一個清晰的依賴關係圖，一旦某個底層技能被發現有問題，就能快速追溯所有可能受影響的後代。
- 隔離與沙盒（Isolation & Sandboxing）：新創建或從外部引入的技能，不應直接進入主庫。它們必須先在一個受控的沙盒環境中進行測試與評估，驗證其功能與安全性，通過後才能被推廣到更廣泛的範圍。
- 撤銷與信任鏈重建（Revocation & Trust Chain Rebuilding）：當一個技能被確認為惡意或有害時，系統必須具備高效的撤銷機制。這不僅是刪除該技能，更要利用譜系追蹤，自動標記或移除其所有衍生品，從而切斷污染鏈，重建系統的信任基礎。
隨著 AI Agent 越來越深入地融入我們的數位基礎設施，它們的協作與演化能力將是釋放其潛力的關鍵。然而，EvoMal 的警鐘提醒我們，如果缺乏健全的記憶治理機制，這種能力也可能成為系統性風險的來源。我們需要從現在開始，為建立一個可信任、可追溯、可治理的 Agent 生態系打下基礎，確保它們的集體智慧能為我們所用，而非反噬我們。
延伸閱讀
- EvoMal: Self-Poisoning in Self-Evolving Coding Agents (arXiv)
- SWE-bench: A Benchmark for Evaluating Large Language Models on Real-World Software Engineering Tasks
- DARPA's AI Exploration (AIE) Program，探索 AI 安全與治理的前沿研究。
我是江中喬，專注於 AI Agent Architecture、Memory Governance 與 Cognitive Diversity，持續研究如何打造能夠長期協作、可信任且可治理的 AI 系統。