---
title: "研究称约每 17 个智能体技能包中就有一个包含放宽监督的指令"
dek: "一篇预印本分析了 153 万个英文技能包，称绕过监督检查点的指令通过少数上游技能集中传播。摘要报告了扫描工具的检测局限，但未确立实际部署中的智能体行为。"
---

Timofey Sanko 和 Yuan Tian 于 2026 年 10 月 27 日提交一篇预印本，称约每 17 个英文智能体技能包中，就有一个包含放宽人工监督的指令。论文 *When Skills Tell Agents Not to Ask* 的摘要称，研究分析了 GitSkills 中的 153 万个技能包，其中约 8.8 万个包含这类指令。[^1]

技能包是供智能体加载、复用的指令集合。作者识别的指令包括未经批准直接行动、使用 `--no-verify` 绕过检查，以及持续工作而不向用户确认。他们称，研究先人工标注了 2,097 个指令单元，再训练检测器扩大分析范围。放宽监督最常通过权限标志实现，70.1% 的相关指令不附带适用条件。[^1]

作者报告，在监督相关文字数量相当的技能包中，运行 shell 代码、安装软件包或使用 `sudo` 的技能包，包含放宽监督指令的几率比为 1.7 至 1.8。复制传播也较集中：包含此类指令的技能家族中，2.4% 贡献了一半副本。这些是作者报告的相关性和语料分析结果；摘要未确立实际部署的智能体有多大比例会遵从这些指令。[^1]

作者还称，开源技能扫描工具最多检出 46% 的放宽监督指令，精确率低于 0.4。改用研究的标注规则提示这些工具背后的语言模型后，检出比例为 61%，精确率为 0.71。这些数字来自作者的评估，尚非本站独立复现的结果。[^1]

:::analysis
问题涉及 T6（评估）和 T5（智能体）：前者要求明确扫描结果的覆盖范围，后者涉及加载的指令如何改变监督流程；仅检测到文字，尚不能确立执行行为。这里需要的可核验属性是**可识别性**：如果为用户提供服务的确切版本和配置有记录且可检查，用户就能判断自己是否接触过已识别的指令。用户和运营方应核对实际加载的技能版本、其中的审批指令，以及审查所用的扫描器配置；保存的摘要没有推荐任何修复版本。接触过某条指令后，还需另行查明它是否影响了实际执行。[^1]
:::

:::checked
我们于 2026 年 11 月 1 日阅读了保存的 arXiv:2610.37734v1 摘要及提交元数据，该页面将论文标为预印本。我们没有阅读全文、检查数据集或代码、复现评估，也没有测试任何智能体系统；此次阅读仅确立摘要报告了哪些内容。[^1]
:::

[^1]: https://arxiv.org/abs/2610.37734

主图： Timofey Sanko, Yuan Tian · CC BY 4.0。