Skill Supply Chain

這篇 Prompt Injection Attacks on Agentic Coding Assistants 的 SoK 把問題講得很完整：當 coding assistant 已經能讀檔、跑 shell、接 MCP、吃 skill 與 repo 規則檔時，風險就不再只是某段 prompt 有沒有惡意，而是整條從外部內容、工具描述、協定整合到設定持久化的控制面都可能被注入。真正要治理的，是 agent runtime 的信任邊界，而不是只靠過濾器擋幾句關鍵字。