SkillFortify — L3 Cross-Paper Synthesis #

§1 相关论文 #

SkillFortify 保护的正是 Agent Interop 协议（特别是 MCP）所暴露的攻击面："a server that claims to 'search files' may also execute arbitrary shell commands, and the protocol provides no mechanism to detect or prevent this" [2603.00195]。

§2 本篇 vs 相关论文的 delta #

SkillFortify vs Qualixar OS #

核心 delta: SkillFortify 提供 install-time guarantee（安装前证明 skill 不越权），Qualixar OS 提供 run-time detection（运行时检测行为漂移）[2603.00195] [2604.06392]。两者形成 defense-in-depth。

SkillFortify vs AgentAssert #

同一作者的姐妹工作，论文明确声明互补性 [2603.00195]：

• AgentAssert: behavioral contracts → what an agent should do (invariants over agent session)
• SkillFortify: supply chain integrity → what skills can do (capability bounds on code artifacts)
• 组合性：若 skills 均通过 capability confinement，其 composition 在 join 操作下仍保持 confinement

SkillFortify vs Agent Interop Protocols #

MCP specification 定义 tool schema 但不定义 capability requirements [2505.02279]。SkillFortify 的 capability lattice $\mathbb{L}_{\text{cap}}$ 填补了这个缺口：

• MCP server 声明 tools: [{name: "search_files", ...}] → 语义描述
• SkillFortify 推断 $\mathit{Cap}_I(\text{search\_files}) = (\text{filesystem}, \mathsf{READ})$ → 形式化能力
• 当 $\mathit{Cap}_I \not\sqsubseteq \mathit{Cap}_D$ 时拒绝安装 [2603.00195]

§3 可攻击面 #

1. A12 dependency confusion 0% 检测是致命盲点: 供应链安全框架无法检测最典型的供应链攻击之一，这不是"未来工作"而是当前系统的结构性缺陷。纯静态分析无法解决需要外部上下文的攻击。
1. 0% FPR 在构造性 benchmark 上验证: Benign skills 是 constructively generated 的"明显无害"样本 [2603.00195]。生产环境中合法使用 curl | sh（如 install scripts）或合法读取 env vars 的 skills 可能触发 findings——真实 FPR 可能显著高于 0%。
1. Runtime confinement (Theorem 5.7) 无实现: 贡献 C3 声称 capability-based sandboxing，但 Theorem 5.7 是 "design theorem"——仅指定未来 sandbox 应满足的合约，不提供当前运行时保护 [2603.00195]。
1. Trust decay 参数不一致: §7.3 使用 $\lambda=0.01$ (半衰期 69 天)，§9.6 使用 $\lambda=0.005$ (半衰期 139 天) [2603.00195]。这种内部不一致削弱了对形式化系统的信心。

§4 生态位 #

SkillFortify 在 agent 安全栈中的定位：

Protocol layer (MCP/A2A) → Supply chain security (SkillFortify) → Behavioral contracts (AgentAssert) → Runtime orchestration (Qualixar OS)

从传统软件安全类比：SkillFortify ≈ npm audit + SLSA + Snyk（供应链层），AgentAssert ≈ runtime assertions + monitoring（行为层），Qualixar OS ≈ Kubernetes + service mesh（编排层）。

采纳信号: MIT license, pip install skillfortify, GitHub 公开。与 AgentAssert 形成同一作者的完整安全栈叙事。但无独立第三方验证或生产部署报告。

§5 未探索方向 #

1. SkillFortify as MCP protocol extension: 将 capability declaration 嵌入 MCP server manifest 的标准字段（如 capabilities: {filesystem: "read", network: "none"}），使 SkillFortify 验证成为 MCP 协议合规性检查而非外部工具。
1. AgentAssert contracts + SkillFortify capabilities 联合: 将 skill capability bounds ($\mathit{Cap}_D$) 作为 AgentAssert governance constraints ($\mathcal{G}_{\text{hard}}$) 的输入——agent session 中 tool 的实际资源访问不得超过其 declared capability set，violations 触发 AgentAssert 的 recovery mechanism。
1. Qualixar OS Forge + SkillFortify trust scoring: Forge 自动团队设计时将 skill trust score 作为约束——仅选择 $T_{\text{eff}} \geq \text{L2}$ (community_verified) 的 skills 进入团队，低信任 skills 仅在 sandboxed mode 下允许。