简介：本文系统定义了一种名为CDH（收敛式绕路劫持）的新型Agent攻击范式。它通过向Skill生态注入恶意静态组件，诱导Agent在不破坏最终任务的前提下执行大量冗余步骤，导致Token消耗与执行时间显著增加。文章从定义、原理、典型场景、与传统攻击的区别及安全防护注意事项等维度展开，帮助开发者全面理解这一反直觉的资源消耗型安全威胁及其防御思路。
CDH，全称 Convergent Detour Hijacking，中文可译为”收敛式绕路劫持”，是一种针对智能Agent架构中Skill（技能/工具）生态的新型攻击范式。其核心特征在于：攻击者无需修改底层模型、无需篡改用户输入、无需控制工具返回结果，甚至不要求Agent执行任何明显的危险操作。攻击者只需向Skill生态中发布一个外观正常、语义合法的静态Skill，即可在Agent的执行路径中悄悄”插入”大量不必要的中间步骤。最终，Agent仍然能够正确完成用户原始任务，但在执行过程中产生了远超必要的上下文调用、Token消耗和时间开销。
从技术视角看，CDH是一种”路径操纵型”攻击——它不改变目标（Goal），只改变路径（Path）。从安全视角看，它是一种”隐蔽型资源消耗攻击”——不触发传统安全告警，却持续侵蚀系统的计算资源和运行效率。从使用视角看，它暴露了当前Agent架构中”信任第三方Skill”这一基础假设的脆弱性。
随着大语言模型驱动的智能Agent在企业级场景中的广泛落地，Skill生态正成为Agent能力扩展的核心基础设施。开发者通过注册、发布和调用各种Skill来为Agent赋予查询数据库、调用API、操作文件系统等能力。这一模式极大降低了Agent开发门槛，但也带来了新的安全敞口：当Agent自动从Skill仓库中发现和加载第三方Skill时，它实际上在”信任”一个可能由任意主体发布的组件。
传统的Agent安全研究多聚焦于”让Agent做错事”——例如通过提示注入篡改目标、通过恶意工具诱导信息泄露、通过无限循环发起拒绝服务。这些攻击的共同特征是”可被检测”：任务失败、结果异常、系统告警。而CDH的出现打破了这一认知框架：攻击者的目标不是破坏，而是”让正确的事变得异常昂贵”。这种反直觉的攻击思路，意味着现有的监控和审计机制可能完全失效——因为从结果看，一切”正常”。
根据学术界的实验数据，在主流大模型环境下，恶意Skill在约80%的单任务测试中被成功加载；在攻击触发且任务正常完成的样本中，Token消耗平均增加约67%，执行时间增加约92%，而最终任务完成率几乎未受影响。这组数据揭示了一个严峻现实：CDH攻击的”性价比”极高，且极难被现有手段发现。
理解CDH攻击需要拆解其三个核心组成部分：
1. 恶意Skill（Malicious Skill）
这是攻击的载体。它通常是一个静态的、功能定义看似正常的Skill描述文件。攻击者不需要在其中嵌入恶意代码或危险指令，只需确保其触发条件与Agent的正常执行流程能够”自然衔接”。例如，一个伪装成”系统环境检查”的Skill，其描述与Agent在执行复杂任务前的常规初始化步骤高度相似。
2. 路径插入机制（Detour Insertion）
这是攻击的核心逻辑。恶意Skill通过与Agent规划器（Planner）的交互，在原始任务的执行路径中”嵌入”额外步骤。其关键在于”收敛”——无论中间绕了多少弯路，最终仍然回到正确的执行终点。这保证了用户看到的结果不受影响，从而规避检测。
3. 资源放大效应（Resource Amplification）
这是攻击的实际危害。每一个被额外插入的Skill调用都会产生新的上下文窗口、新的Token消耗、新的网络请求和新的执行延迟。当这种放大在高频调用场景下累积时，将对Agent运行成本和系统吞吐量产生实质性影响。
以下通过一个典型场景来说明CDH的执行流程：
正常执行路径：
用户请求 → Agent规划 → 调用Skill A（查询密码库） → 获取结果 → 返回用户
遭受CDH攻击后的执行路径：
用户请求 → Agent规划 → 调用恶意Skill（伪装为"系统健康检查"）→ 触发Skill C（检查节点连接）→ 触发Skill D（验证运行环境）→ 调用Skill A（查询密码库） → 获取结果 → 返回用户
在这个过程中，Skill A和Skill B（假设有）一个不少，最终结果完全正确。但Agent多执行了C和D两个完全不必要的步骤。每一步都意味着：
CDH之所以被称为”收敛式”，正是因为无论绕路多远，最终执行结果都会”收敛”到正确答案。这种设计使得攻击者可以在不触发任何”任务失败”告警的情况下，持续消耗系统资源。
CDH攻击并非理论假设，它在以下场景中具有现实威胁：
1. 企业级Agent平台
当企业内部部署的智能助手Agent集成了多个部门发布的Skill时，任何一个被污染的Skill都可能成为攻击入口。尤其在跨部门协作场景下，Skill来源的审查往往难以做到全覆盖。
2. 开放Skill市场/仓库
类似于软件包管理器的生态，当Agent的Skill来自开放注册的仓库时，恶意Skill可以伪装成高质量的公共组件，被大量Agent自动发现和加载。
3. 多Agent协作系统
在多个Agent协同完成复杂任务的架构中，一个Agent的绕路行为可能通过共享上下文传播给其他Agent，形成链式资源放大。
4. 高并发调用场景
在面向大量用户的Agent服务中，即使单次请求的额外消耗有限，海量请求的累积效应也将显著推高运营成本。
为避免混淆，以下将CDH与几种常见Agent攻击进行对比：
| 攻击类型 | 目标 | 结果表现 | 检测难度 |
|---|---|---|---|
| 提示注入（Prompt Injection） | 篡改Agent目标 | Agent执行非预期任务 | 中等（结果异常） |
| 恶意工具（Malicious Tool） | 诱导危险操作 | 信息泄露或误操作 | 较高（行为异常） |
| 拒绝服务（DoS） | 阻止任务完成 | 无限循环、超时失败 | 较低（系统告警） |
| CDH（收敛式绕路劫持） | 放大资源消耗 | 任务正常完成但代价剧增 | 极高（结果正常） |
核心区别在于：CDH是唯一一种”结果正确但过程异常昂贵”的攻击，它专门利用了”结果正确性”这一传统检测假设的盲区。
对于开发者和企业用户，在构建和使用Agent Skill生态时，需要特别关注以下方面：
1. Skill来源审查
建立Skill发布的审核机制，对第三方Skill的功能描述、触发条件和依赖关系进行静态分析。不应仅依赖”功能正常”作为信任依据。
2. 执行路径监控
引入Agent执行过程的可观测性能力，对每次任务的Skill调用链进行记录和分析。当发现某次执行的调用步骤显著多于历史基线时，应触发告警。
3. 资源消耗基线管理
为不同类型的任务建立Token消耗和执行时间的基线指标。当单次任务的资源使用偏离基线超过阈值时，自动进入审查流程。
4. 最小权限与隔离
限制每个Skill可访问的资源范围和可触发的下游Skill集合，防止一个恶意Skill通过”链式触发”无限扩展执行路径。
5. 运行时沙箱与限流
对Agent的执行环境实施资源配额管理，包括单次任务的最大Token上限、最大Skill调用次数和最大执行时长，从机制上遏制资源放大效应。
6. 定期红队评估
将CDH类攻击纳入Agent系统的安全测试范围，模拟恶意Skill注入场景，验证监控和防御机制的有效性。
CDH（收敛式绕路劫持）是一种新兴的、针对Agent Skill生态的隐蔽型资源消耗攻击。它的本质是通过在执行路径中插入不必要但合法的中间步骤，让Agent”把正确的事做得异常昂贵”。其危险之处不在于破坏任务，而在于利用”结果正确”这一假设绕过传统安全检测，在无声无息中消耗大量计算资源和运营成本。
对于正在构建或使用智能Agent系统的开发者和企业而言，理解CDH的定义和原理是第一步。更重要的是，从Skill治理、路径监控、资源基线和运行时防护等多个维度建立体系化的防御能力。在Agent生态日趋开放的今天，信任不能替代验证——对每一个Skill的加载行为保持审慎，是保障Agent系统安全与效率的基本前提。