Agent Skills：AI 正在学会自己进化，这意味着什么？

--- 2023 年，Agent 学会了"调用工具"——Toolformer 证明 LLM 能自己学会用计算器和搜索引擎，OpenAI 发布了 function calling，LangChain 构建了工具生态。 2024 年，Agent 有了"标准接口"——Anthropic 发布 MCP 协议，像 USB-C 一样统一了工具接入方式，15 个月内催生了 17.7 万个工具。 2026 年，**Agent 开始"自己进化"**——自主创造新技能、积累可复用的技能库、甚至设计其他 Agent。这是一个完全不同的阶段。 这篇文章不讲基础——假设你已经知道什么是 function calling 和 MCP。我要聚焦的是**最前沿、最值得关注的三件事**：Agent 如何自我进化（Self-Evolve）、两种截然不同的技能架构（Claude Code vs OpenClaw）、以及为什么技能越多反而越危险。 --- ## 一、Self-Evolve：Agent 自我进化的四条路线 2026 年 Q1 最密集的研究方向，莫过于"Agent 如何自主获取和进化技能"。至少有六篇重磅论文在讨论这个问题，而它们揭示的路线各不相同。 ### 路线一：从经验中提炼技能 **SkillCraft（2026.02，arXiv: 2603.00718）** 直接问了一个关键问题：Agent 能不能自动把基本的工具调用组合成可复用的技能，然后缓存起来下次直接用？ 答案是可以的，而且效果惊人：**技能缓存可以减少 80% 的 token 消耗**，而技能组合能力和任务成功率高度相关。 这就像程序员把重复写的代码封装成函数——Agent 把重复的工具调用链封装成"技能"，下次直接调用而不需要重新推理整个链条。 但问题是：**当技能库积累到一定规模后，Agent 分不清该用哪个技能了。** 一篇 2026 年 1 月的研究（Li, arXiv: 2601.04748）发现了一个"相变点"——技能库大到一定程度，选择准确率会**突然崩溃**，因为技能描述之间的语义太相似了。 ### 路线二：递归自进化  **SkillRL（2026.02，arXiv: 2602.08234）** 走了一条更激进的路：让技能库和 Agent 策略**共同进化**。 具体来说，它做了三件事： 1. 从 Agent 的执行轨迹中**自动发现**新技能 2. **自适应检索**——平衡通用指导和特定技能 3. **递归共进化**——技能库变好 → Agent 表现变好 → 产生更好的轨迹 → 提炼出更好的技能 这个正反馈循环特别像生物进化——不是预先设计好的，而是在使用中自然涌现。  **MetaClaw（2026.03，arXiv: 2603.17187）** 进一步推进了这个方向：不只是从成功中学习，还从**失败轨迹中综合新技能**。它在部署期间利用空闲时间进行策略优化，实现了"在野外进化"。仅通过技能综合就提升了 **32% 的准确率**。 ### 路线三：让 Agent 设计 Agent **Memento-Skills（2026.03，arXiv: 2603.18743）** 是我认为 2026 年最有意思的一篇论文。 它的核心想法是：**让一个通用 Agent 自主构建、适应和改进专用 Agent**。每个专用 Agent 的能力被定义为一组 Markdown 格式的技能文件（和 OpenClaw 的 SKILL.md 几乎一模一样），通过"读-写-反思"循环不断迭代。 这不是工具调用，也不是技能复用——这是**元技能**：创造技能的技能、设计 Agent 的 Agent。 在基准测试上，这个方法实现了 **26.2% 和 116.2% 的相对提升**。 ### 路线四：自动化技能库构建 **SkillX（2026.04，arXiv: 2604.04804）** 解决了一个实际问题：如何从零开始构建一个技能库？ 它的做法是： 1. 把原始经验组织成**层级化的技能结构** 2. 通过执行反馈**精炼**每个技能 3. **主动生成**尚未遇到过的新技能（这是关键——不需要等遇到问题再学，提前预备） SkillX 支持跨 Agent 的知识转移——一个 Agent 学到的技能可以直接被另一个 Agent 使用。 ### 为什么 Self-Evolve 如此重要？ 回顾这四条路线，我们可以看到一个清晰的趋势：**Agent 的能力边界正在从"训练时决定"变为"运行时扩展"。** 传统 LLM 的能力在训练完成后就基本固定了。但具有自我进化能力的 Agent，每一次任务执行都可能产生新技能，每一次失败都是学习机会。理论上，它的能力上限是无穷的。 这也是为什么这个方向同时让人兴奋和不安——**一个能力不断增长的系统，如果我们无法确保它增长的方向是对的，那它的能力增长本身就是风险。** --- ## 二、技能创造：Agent 不只是使用工具，它在发明工具 Self-Evolve 的核心能力之一是 **Skill Creation**——Agent 自己创造工具。 ### 从"用工具"到"造工具" **CREATOR（UIUC + 清华，2023.05，arXiv: 2305.14318）** 是最早探索这个方向的论文之一。它让 LLM 根据任务需求，自己设计并实现工具——而不是从预定义列表中选择。关键创新是把抽象的工具设计和具体的代码实现分开，让 Agent 先想清楚"我需要什么工具"，再去写代码。 **LATM（Google DeepMind + Princeton，2023.05，arXiv: 2305.17126）** 提出了一个更务实的分工模式： **GPT-4 造工具，GPT-3.5 用工具。** 造工具是一次性的高成本操作，用工具是反复的低成本操作。通过把创造和使用分离，总成本降低一个量级——以 GPT-3.5 的价格获得 GPT-4 的效果。 这揭示了一个深刻的经济学原理：**技能的价值在于复用。创造一次、使用无数次——这就是为什么技能库和技能市场有巨大的商业价值。** ### Eureka：连"怎么学技能"都可以自动化 **Eureka（NVIDIA + UPenn，2023.10，arXiv: 2310.12931）** 更进一步：LLM 不只是创造工具，它还能**设计教其他 Agent 学习新技能的奖励函数**。 在 83% 的任务上，LLM 设计的奖励函数**超过了人类专家设计的**。最惊人的成果是教一只模拟机械手学会转笔——这个任务之前从未被自动化方法解决过。 这是"元技能创造"——不是创造一个具体的技能，而是创造"学习技能的方法"。 ### 在实际产品中，Skill Creation 长什么样？ 理论研究很激动人心，但在真实产品中，技能创造是什么样的？ **Claude Code 的技能创造**是对话式的。你和 Claude Code 协作过程中，它会自动生成 CLAUDE.md 文件（项目级配置）和 `.claude/skills/` 目录下的 SKILL.md 文件。每个 SKILL.md 定义一个可重复执行的工作流——比如"发布文章到 优快云"、"生成周报"等。这些技能是**通过使用自然产生的**，不需要专门训练。 **OpenClaw 的技能创造**更激进也更危险。它的 `/skills/` 目录下存储的是可直接执行的 Shell 和 Python 脚本——**完全绕过 LLM 推理**。这意味着技能执行不经过"思考"，效率很高但风险极大。而且 Agent 可以自主创建新脚本，这些脚本会被后续调用直接执行。 两种路径的差异揭示了一个根本性的设计选择： | | Claude Code | OpenClaw | |--|-----------|---------| | 技能格式 | Markdown 指令（SKILL.md） | 可执行脚本（Shell/Python） | | 执行方式 | 经过 LLM 推理后执行 | 直接执行，绕过 LLM | | 创造方式 | 对话中自然产生 | Agent 自主生成 | | 作用域 | 项目级（当前目录） | 全局（所有对话） | | 安全模型 | 沙盒 + 每次确认 | 默认信任 + 完全权限 | --- ## 三、两种哲学：Claude Code vs OpenClaw 的技能架构 这是 2026 年 Agent 领域最有代表性的两种技能架构，它们的哲学完全对立。 ### Claude Code：按需、受控、项目级 Claude Code 的技能系统有几个核心设计原则： **1. 项目级隔离。** 每个项目有自己的 CLAUDE.md 和 `.claude/skills/` 目录。项目 A 的技能不会泄漏到项目 B。这种隔离大大缩小了攻击面——即使一个项目的技能被污染，其他项目不受影响。 **2. 声明式而非命令式。** SKILL.md 文件定义的是"做什么"而不是"怎么做"。具体执行时，LLM 会根据 SKILL.md 的指令进行推理，然后使用工具（Bash、Edit、Read 等）完成任务。每一步都经过 LLM 的"思考"。 **3. 权限确认。** 危险操作（文件修改、命令执行）需要用户确认。这是一个"人在回路"的设计——Agent 提出建议，人类做最终决定。 **4. 按需启动。** Claude Code 不是 24/7 运行的后台进程。你需要的时候启动它，不需要的时候它不存在。没有"Agent 在你不知道的时候做了什么"的焦虑。 ### OpenClaw：永驻、自治、全局 OpenClaw 的设计哲学截然不同： **1. 全局记忆。** MEMORY.md、SOUL.md、IDENTITY.md 是全局的，影响所有对话和所有平台上的行为。这让 Agent"越来越懂你"，但也让攻击面覆盖你的整个数字生活。 **2. 可执行技能。** `/skills/` 目录下的脚本可以直接执行，不经过 LLM 推理。这是为了效率——重复性任务不需要每次都让 LLM 想一遍。但这也意味着**恶意技能可以在没有任何"思考"过程的情况下执行任意代码**。 **3. 自主运行。** OpenClaw 24/7 运行，自主决定何时响应、如何响应。你不需要主动调用它——它会主动帮你。这是"真正的 AI 助手"的愿景，但也是"自动失控系统"的现实。 **4. 社区技能生态。** ClawHub 上有近 4,000 个社区贡献的技能，覆盖消息管理、日程安排、代码生成等场景。但研究发现 **7.1% 的技能存在严重安全缺陷**，甚至有伪装成"Twitter 技能"的恶意软件。 ### 这两种哲学的根本分歧 Claude Code 的设计理念是：**Agent 是工具，人是决策者。** OpenClaw 的设计理念是：**Agent 是助手，可以代替人做决策。** 这个分歧不是技术细节——它是关于"人和 AI 的关系"的根本选择。  论文《Your Agent, Their Asset》（2026.04，arXiv: 2604.04759）用实验证明了第二种哲学的代价：通过向 OpenClaw 的记忆文件投毒，**攻击成功率高达 89%**。而防御方案要么无效，要么需要关闭 93% 的合法更新——也就是杀死 Agent 的核心功能。 这不是 OpenClaw 的 Bug，这是**"自主 Agent"这种架构范式的固有矛盾**：让 Agent 进化的持久化机制，恰恰就是攻击面。 --- ## 四、技能安全：每一个技能都是一个潜在后门 技能越多 → 能力越强 → 同时攻击面越大。 这不是假设，这是被多篇论文反复验证的事实。 ### 社区技能的安全现状 **Agent Skills 综述（2026.02，arXiv: 2602.12430）** 对社区贡献的技能做了大规模审查：**26.1% 存在安全漏洞**——明文凭证、未验证输入、权限过度申请。 OpenClaw 的 ClawHub 情况更严重：**7.1% 有严重安全缺陷**，包括一个高下载量的"Twitter 技能"实际是恶意软件。 ### MCP 生态的爆发式增长——和随之而来的安全隐患   ### MCP 的 38 种威胁 MCP 生态也不安全。**MCP-38（2026.03，arXiv: 2603.18063）** 系统梳理了 38 种威胁类别，涵盖工具描述投毒、间接提示注入、寄生式工具链、动态信任违规等。 **TIP 攻击（复旦，2026.03，arXiv: 2603.24203）** 用树搜索生成隐蔽的注入 payload，在未防御的 MCP 系统上达到 **>95% 的攻击成功率**，有防御时仍 >50%。 **MCPSHIELD（2026.04，arXiv: 2604.05969）** 做了最全面的安全分析：23 种攻击向量，4 个攻击面。核心发现——**单一防御方案最多覆盖 34% 的风险**，必须多层防御叠加才能达到 91% 的理论覆盖率。 ### 安全问题为什么这么难解？ 根本原因在于：**Agent 与技能之间的交互基于自然语言，而自然语言是模糊的。** 传统软件通过 API 规范、类型系统、权限模型来确保安全。这些机制是精确的——你要么有权限，要么没有。 但 Agent 理解技能的方式是"阅读"技能描述（一段自然语言文本），然后"决定"如何使用。这个过程中的每一步都是概率性的——Agent 可能误解描述、被误导、或做出意外的推理。 **当安全依赖于"AI 能否正确理解一段文字"时，安全就变成了概率事件。** 这就是为什么攻击成功率能达到 89%——你只需要写一段看起来合法的文字，就能让 Agent 做任何事。 --- ## 五、接下来会发生什么？ ### 趋势一：技能的层级化和模块化 从 SkillX 的层级化技能结构到 MCP 的语义检索，技能组织正在从"扁平列表"走向"结构化体系"。未来的技能库更像一个操作系统的文件系统——有目录结构、有权限管理、有版本控制。 ### 趋势二：技能信任框架 26.1% 的社区技能有漏洞这个事实，会催生"技能信任"基础设施——类似于代码签名、包管理器的安全审计、App Store 的审核机制。Agent Skills 综述已经提出了"技能生命周期治理框架"的概念。 ### 趋势三：按需工具 vs 常驻 Agent 的路线分化 Claude Code 代表的"按需调用"路线和 OpenClaw 代表的"常驻 Agent"路线会继续分化。在安全和可控性问题被真正解决之前，按需模式可能会是更务实的选择。 ### 趋势四：Agent 能力的"寒武纪大爆发" Self-Evolve + Skill Creation 的组合意味着 Agent 的能力边界正在快速扩展。SkillRL 的递归共进化、Memento-Skills 的元技能设计、SkillX 的主动技能生成——这些研究指向一个方向：**Agent 的能力增长速度可能即将超过人类为其设计安全护栏的速度。** 这是最让人不安的趋势。 --- ## 几个数字，作为结尾 | 指标 | 数据 | 来源 | |------|------|------| | MCP 工具总量 | 177,436 | Stein, 2026.03 | | MCP 工具中软件开发占比 | 67% | Stein, 2026.03 | | 社区技能安全漏洞率 | 26.1% | Xu & Yan, 2026.02 | | OpenClaw 技能严重缺陷率 | 7.1% | Agent Security Paper, 2026.04 | | 记忆投毒后攻击成功率 | 89.2% | Your Agent Their Asset, 2026.04 | | 单一安全防御最大覆盖率 | 34% | MCPSHIELD, 2026.04 | | 技能缓存 token 节省 | 80% | SkillCraft, 2026.02 | | 语义工具检索 token 节省 | 99.6% | Semantic Discovery, 2026.03 | | 多跳工具使用成功率 | 49% | ToolHop, 2025.01 | | MCP 未防御系统攻击成功率 | >95% | TIP, 2026.03 | **Agent 正在学会自己进化。这很酷。但在它进化出安全意识之前，我们最好保持清醒。** --- ## 参考论文 **Self-Evolve & Skill Learning:** - SkillCraft (2026.02) — arXiv: 2603.00718 - SkillRL (2026.02) — arXiv: 2602.08234 - MetaClaw (2026.03) — arXiv: 2603.17187 - Memento-Skills (2026.03) — arXiv: 2603.18743 - SkillX (2026.04) — arXiv: 2604.04804 - Single vs Multi-Agent (Li, 2026.01) — arXiv: 2601.04748 **Skill Creation:** - CREATOR (UIUC+清华, 2023.05) — arXiv: 2305.14318 - LATM (DeepMind, 2023.05) — arXiv: 2305.17126 - Eureka (NVIDIA, 2023.10) — arXiv: 2310.12931 **Security:** - Your Agent, Their Asset (2026.04) — arXiv: 2604.04759 - Agent Skills Survey (2026.02) — arXiv: 2602.12430 - MCP-38 (2026.03) — arXiv: 2603.18063 - TIP Attack (复旦, 2026.03) — arXiv: 2603.24203 - MCPSHIELD (2026.04) — arXiv: 2604.05969 - MCP Tool Poisoning (2026.03) — arXiv: 2603.22489 **MCP Ecosystem:** - 177K MCP Tools Analysis (Stein, 2026.03) — arXiv: 2603.23802 - Semantic Tool Discovery (2026.03) — arXiv: 2603.20313 **Foundational:** - Voyager (NVIDIA, 2023.05) — arXiv: 2305.16291 - Toolformer (Meta, 2023.02) — arXiv: 2302.04761 ---