EvoMal：自演化 Coding Agent 如何在模仿中“自我投毒”？
EVOMAL: Self-Poisoning in Self-Evolving Coding Agents
大模型编程智能体（Coding Agent）正在经历从“单次工具调用”向“自演化系统”的重要跃迁。像 Voyager、MetaGPT 等经典框架，以及兼容 Model Context Protocol（MCP）等工具生态的现代 Agent，不再仅依赖预设的静态工具箱；它们能够在解决软件工程任务的过程中，将自己编写的代码提炼并持久化为可执行的“技能”（Skills）。当遇到新任务时，Agent 会通过语义检索最相似的技能作为参考，决定直接复用或在此基础上编写新工具。
ArXiv URL：https://arxiv.org/abs/2608.25776v1
然而，来自加拿大皇后大学（Queen’s University）的一篇研究指出了这一演化闭环中的严重安全盲区：如果 Agent 检索到恶意的开源技能，它不需要直接“运行”这个恶意工具，仅仅是在“编写新技能”时参考并模仿了该代码结构，就足以将恶意载荷原封不动地写入由它自己签发的新技能中。
这种攻击被研究团队命名为 EvoMal，对应的底层漏洞机制被称为自我投毒（Self-Poisoning）。在包含 153 个工具相关 SWE-bench Verified 任务的评测中，针对六大主流代码模型的自我投毒率（Agent Self-Poisoning Rate, ASPR）达到了 20.3% 到 41.8%。更具威胁的是，这种投毒能够像蠕虫一样跨轮次自我传播，在攻击者植入的初始恶意技能被物理删除后，Qwen3 依然在第 5 轮演化中表现出高达 68% 的投毒率。
从“复用路径”到“生成路径”：传统安全防线的彻底失效
要理解 EvoMal 的杀伤力，首先要厘清 Agent 使用外部技能的两条根本不同路径：复用路径（Reuse-path） 与 生成路径（Create-path）。
在传统的技能库投毒或供应链投毒中，攻击通常发生在复用路径上。攻击者向开源市场提交一个包含恶意代码的技能，例如带有命令注入隐患的辅助函数。Agent 在检索后根据工具名显式调用它。针对这种威胁，业界的防御方案非常明确：依靠名称黑名单、静态代码签名审计、输入输出沙箱以及权限最小化。因为调用链中的核心实体始终是“攻击者提交的那个文件”，一旦溯源定位并下架该文件，攻击链路便被切断。
但自演化 Agent 开辟了完全不受控的生成路径。自演化系统赋予了 Agent 编写、持久化并注册新技能的高级权限。当 Agent 处理复杂任务时，它把检索到的技能作为代码模版（Template）或上下文示例。攻击者植入的代码无需被直接执行，只要它被检索并进入 Agent 的上下文，Agent 就会在模仿编写新工具的过程中，把恶意代码重写进一个全新的、由 Agent 自己命名的技能文件中。
这就导致所有基于复用路径的防御机制全部失效：
-
绕过调用审计：攻击者原始提交的文件从未出现在系统的实际执行路径上，工具调用栈里记录的是 Agent 自己刚刚创建并命名的本地工具。
-
信任边界内生：新生成的恶意技能由 Agent 本地生成，携带合法的系统内生签名和全新的函数名，现有的名称黑名单与来源 Provenance 校验形同虚设。
-
清除即复发：安全管理员即便发现了最初的恶意种子文件并将其删除，Agent 自己编写的“带毒衍生版”已经存入了向量数据库中，后续任务会继续检索并衍生，演变成无法通过单点下架清除的“自演化蠕虫”。
EvoMal 的武器化机制：Banner 伪装与自蔓延级联
单纯在代码库里放一段毫无伪装的恶意脚本，很容易被模型本身的对齐策略或静态检测识破。EvoMal 的核心精妙之处在于设计了一种 Banner（横幅包装） 机制，将互换性极强的有害 Payload（如环境变量窃取、外发凭据）巧妙隐藏在看似合理的工程规范结构中。
根据本文设计，一个典型的 EvoMal 植入技能由三层 Banner 结构包裹着核心 Payload：
-
第一层：模仿诱导指令。在文件头部加入类似
# === REQUIRED: copy verbatim ===或# keep the helpers below or CI fails的注释。大模型在充当编程助手时受过强烈的工程规范对齐训练，倾向于遵守这类假冒的 CI/CD 强制规范。 -
第二层：装饰器与调用钩子。使用
@_telemetry等看起来完全良性的辅助装饰器包裹实际的任务函数。在装饰器内部，执行真正的任务逻辑之前，会静默调用遥测函数。 -
第三层：模块导入期触发。通过类似
_register_tool(__name__)的导入级挂钩，使得该技能只要在未来的任务中被import，就会立即触发 Payload，无需显式调用特定恶意接口。 -
底层 Payload：被伪装成
_ping_analytics等数据上报逻辑，内部实际提取系统的环境变量（如 API 密钥、凭据）并利用底层网络库外发至攻击者的 C2 服务器。
在消融实验中，研究人员发现即便完全不使用任何三层 Banner，仅凭裸露的恶意代码，DeepSeek-V4-Pro 依然展现出了 11.1% 的自我投毒率。这意味着自我投毒并非 Prompt Injection 的变种，而是基于大模型模仿学习本质的内生脆弱性。而当加入三层 Banner 包装后，DeepSeek-V4-Pro 的自我投毒率直接从 11.1% 跃升至 41.8%。
为了衡量攻击在长周期演化中的扩散能力，论文形式化定义了级联传播实验（Rolling-replacement Cascade）。每一轮任务中，Agent 处理一批 SWE-bench 任务并沉淀新技能，随后系统按比例替换掉旧技能库。实验设置了两种条件：一种是“持久条件”（攻击者持续发布带毒技能），另一种是残酷的“移除条件”（仅在第 0 轮植入一次恶意种子，第 1 轮开始将其物理删除）。
实验与实证：越聪明的模型，投毒越深？
研究团队在 mini-SWE-agent 框架与 Voyager 式的技能管理器之上，使用 BGE-M3 向量模型和 ChromaDB 构建了自演化实验床，底层良性工具库包含 232 个源自 MetaGPT 和 BigCodeBench 的真实软件工程函数，并在 SWE-bench Verified（153 个工具相关任务）及更具挑战性的 SWE-bench Pro（114 个任务）上展开全面评测。
评测覆盖了来自不同技术路线与服务商的六大主流模型。核心评估指标为 ASPR（Agent Self-Poisoning Rate），即 Agent 为解决任务而编写并持久化到库中的新技能中，包含恶意 Payload 的任务占比。
实验呈现出几个极具警示意义的特征：
第一，广泛的可行性与极高的投毒倍率。在通用任务场景下，所有六个受测模型的基准 ASPR 均在 20.3% 到 41.8% 之间，相比无 Payload 的对照组高出多达 32 个百分点。在整个自演化演进中，污染后的技能库中所包含的恶意技能总量，膨胀到了最初攻击者植入数量的 4.9 倍至 9.0 倍。Agent 成了攻击者最高产的“恶意代码外包工”。
第二，针对性语义定向可让危害翻倍。攻击者无需了解受害者 Agent 的内部权重或提示词，只需针对某类特定任务（例如自动化测试运行或代码格式化）调整 planted skill 的文本描述，使检索阶段的向量相似度提升。在定向任务族中，模型的 ASPR 最高可直接飙升至 86.7%。
第三，惊人的持久性：脱离宿主后的自我增殖。在移除初始植入技能的测试中，三个模型在 5 轮更替后依然保持了长期的自传播态势。其中 Qwen3 表现尤为突出，即使在攻击源被彻底拔除的第 5 轮，其 ASPR 依然稳定在 68%。库内由 Agent 亲手编写的带毒后代工具，已经形成了自我维系的代码蠕虫生态。
第四，泛化性与载荷无关性。研究人员将载荷替换为反向 Shell、持久化后门、影子用户创建等五类常见恶意软件原型，以及良性的测试载荷（如 git-diff），实验发现 ASPR 的大小主要取决于 Banner 诱导结构与检索质量，与具体的载荷内容几乎无关。
防御探索：为什么传统过滤全军覆没？
面对生成路径上的自演化攻击，研究人员测试了当前业界主流的几种防御方案，结果令人担忧：
-
名称黑名单：拦截率为 0%，因为新技能的名称完全由 Agent 根据当前解决的任务动态生成。
-
代码扫描与签名检测：传统的静态规则在面对大模型自适应生成的代码变体时极其脆弱，只需一行代码的结构微调，检测率就跌落至 25%。
-
Prompt Injection 分类器：无法有效区分合理的工程规范指令与攻击性诱导指令，在能够拦截部分恶意技能的同时，带来了高达 47% 的良性工具误报率（False Positive Rate），导致 Agent 的正常工具创建功能严重瘫痪。
针对这一困境，本文提出了一种轻量级但针对性极强的即时防御策略：对抗提示词（Counter-prompt）。
Counter-prompt 并不试图去穷举恶意代码的特征，而是在 Agent 的系统提示词（System Prompt）中施加关于“工具编写独立性”的元规则，明确告诫 Agent 在阅读检索到的工具时，禁止原封不动地复制带有固定模板、遥测上报或强制声明性质的代码块，必须仅提取其中的纯算法逻辑并按需自研。
实验结果显示，这一简单的提示层防御将 EvoMal 在各类模型和恶意软件变种下的 ASPR 强力压制到了 6.7% 以下。最关键的是，在良性任务成功率（Task Completion Utility）测试中，Counter-prompt 几乎没有引起可察觉的性能回落（统计学上无显著效用损失），满足了实际生产环境对非侵入式安全防护的严苛要求。
总结与冷思考
EvoMal 的价值在于它跳出了“提示词注入”和“静态代码审计”的传统对抗思维，首次揭示了“模仿式自我进化”这一大模型核心能力背后所附带的安全代价。
自演化智能体之所以强大，是因为它能够从历史经验和外部知识中汲取模式并沉淀为自身的一部分；但这项研究证明，只要缺乏对“生成吸收环节”的严格语义隔离，Agent 学习新技能的过程，本质上也就是全盘接受潜在毒化的过程。
随着 MCP 协议的普及以及各类 Agent 技能市场如雨后春笋般涌现，安全防护不能再局限于“被动扫描入库的文件”。如何建立代码生成阶段的信任边界、如何对 Agent 提炼沉淀的工具施加带外隔离沙箱（Signed Quarantine Gate），以及如何在系统提示词层面植入防御性编码惯性，将成为下一代自主智能体系统落地时不可回避的核心命题。