🧒 初中生也能看懂的版本
① 研究背景（为什么要做？）
现在有一种新商品叫“智能体技能”：它是一段写给 AI 看的说明书，告诉 AI 遇到某类任务该按什么步骤做、注意哪些坑。好的技能很值钱，可以授权卖给公司。但麻烦也随之而来：技能是纯文本，复制成本几乎为零，买家用完转手卖给别人，或者有人把别人的技能改几个字就当成自己的发布，原作者根本查不出来。传统的“提示词水印”方法在这里不灵——技能动辄几千字，水印信号被稀释；而且那些方法常常要往文本里塞奇怪的字符，读起来就不像人话了，技能也就废了。作者想解决的就是：怎么在技能里埋一个既隐蔽、又经得起改写、还能指向具体买家的“产权指纹”。
② 研究问题（要回答什么？）
论文要回答三个问题。第一，能不能设计一种只依赖“看内容”的审计方法——不需要拿到对方的模型权重、不需要内部接口，仅凭可疑服务返回的文本就能判断它有没有盗用？第二，这种埋点会不会破坏技能本身的可用性和可读性？第三，如果对方故意改写、压缩、删条款，甚至用另一个大模型来“洗稿”，证据还找得回来吗？更进一步，能不能区分是哪个买家泄露的？
③ 研究方法（怎么做的？）
作者的办法分两步。第一步是“找锚点”：把一份长技能解析成一棵结构树，识别出那些稳定的结构位置（比如“输入要求”“执行步骤”“注意事项”这些段落），记成 SkillIR。这些位置不容易被改写，适合埋点。第二步是“埋胶囊”：把一段带条件的指令拆散，分配到不同锚点上，组成一个“只有用特定问法才会激活”的胶囊——平时它安安静静，不干扰正常使用；审计时，防守方发出成对的正向和负向探针，胶囊被激活，里面的证据就露出来。为了区分买家，作者还给每个买家分配一个专属的“词汇选择”组合，用纠错码编码，这样即便有一部分信号丢了，也能还原出是谁。
④ 结果（发现了什么？）
实验覆盖三个领域（代码审查、数据科学、旅行规划）、六个模型、三种智能体框架。结果相当强：识别原作者的准确率 99.2%，识别泄露买家的 Top-1 准确率 99.3%，而且正常使用时技能的任务完成质量基本不受影响、可读性也保住了。稳健性测试里，即使对技能做改写、压缩、删除条款、重排结构，证据仍然能被检出；在五种自适应攻击下（包括用一个懂方法的模型来清洗文本、多个买家串通），所有权证据依然可靠，只是买家溯源的精度会平缓下降而不是彻底失效。规模测试显示，买家数量扩到 256 个时，Top-1 溯源仍有 97.4%，Top-3 保持在 99.4% 以上。
⑤ 讨论（这些发现说明什么？）
作者认为，这项工作揭示了一个被忽视的治理问题：技能正在成为一种可交易的知识产权，但市场缺少溯源基础设施。相比传统水印，结构化埋点的优势在于它顺着技能本身的组织方式走，不靠插入乱码，因此不牺牲可读性；而纠错码的引入让“是谁泄露的”变得可回答，而不只是“这是不是我的”。局限也很清楚：方法假设防守方能向可疑服务发出探针并拿到回复，对完全封闭、只返回最终答案的服务效果会打折；此外，技能越长埋点越稳，短技能的容量有限。
⑥ 结论（最终结论 + 启示）
结论是：给智能体技能加“可审计的产权指纹”在技术上可行，而且能在不破坏可用性的前提下达到很高的溯源精度。对技能市场和平台来说，这意味着可以建立授权、追责与分成的机制；对监管者来说，技能供应链和代码供应链一样，需要版权与来源审计。作者开源了实现，也提醒这类技术应配合合同法与平台规则使用，单靠技术无法解决全部侵权问题。
🎓 专业 IRMaD 结构解读
I. Introduction（引言）
Agent skills 把可复用工作流、约束与任务程序封装为面向 LLM 的可部署自然语言工件。与系统提示不同，技能具有规模大（数百至数千 token、多章节）与可读性强（自然语言书写）两个特征，这使其既具商业价值，又极易被未授权再分发与重新包装。既有的提示词版权审计方法（PromptCARE、PromptCOS、SWAP 等）针对短提示设计：技能长度会稀释水印信号，而 token 级扰动又会破坏技能赖以生效的可读性。本文提出 SkillCODER，在黑箱、仅内容（black-box, content-only）设定下同时实现所有权验证与买家归因，贡献在于把“结构感知埋点 + 纠错码指纹”引入技能这一新载体。
I. Theoretical Framework & Hypotheses（理论框架与假设）
方法建立在三条设计原则之上。其一，结构稳定性：技能的自然语言章节结构比具体措辞更稳定，改写与重排后锚点仍可识别，因此把证据绑定到结构节点而非 token 序列。其二，条件激活：证据应以“工件门控胶囊”（Artifact-Gated Capsule）形式存在，仅在防守方设计的验证查询下激活，正常使用时不干扰任务。其三，可纠错编码：买家身份用受控词汇纠错码（Controlled-Vocabulary Error-Correcting Codes）编码，每个码位绑定一个受控词汇选择，使部分信号丢失时仍可解码。
M. Materials & Methods（材料与方法）
- 嵌入阶段：解析技能为 section-aware 中间表示 SkillIR，识别结构锚点；将条件指令分散到锚点形成 Artifact-Gated Capsule；用纠错码把买家指纹编码为胶囊内的受控词汇选择。
- 验证阶段：防守方向可疑服务发出成对的正向/负向探针，抽取胶囊证据，通过纠错解码恢复所有权与买家身份。
- 实验设置：三个领域（code review、data science、travel planning）、六个模型、三种 agent 框架；对照基线为 prompt 级版权审计方法（PromptCARE、PromptCOS）。
- 稳健性：改写、压缩、条款删除、结构重排，以及五种自适应攻击（含 method-aware LLM sanitizer 与多买家串通）。
- 规模：买家数 B∈{16,32,64,128,256}，码长 L 相应取 32–256，最小距离 d_min=L/2；每份受保护副本执行 32 次验证探针，报告 Top-1/Top-3 解码准确率、擦除率与非擦除比特率。
- 效用指标：任务保真度与可读性（正常路径输出对比原始技能与基线方法）。
R. Results（结果）
- 主结果：三领域、六模型、三框架下，所有者验证准确率 99.2%，买家 Top-1 归因准确率 99.3%，同时保持任务保真度，显著优于 prompt 级基线。
- 稳健性：改写、压缩、条款删除、重排后信号仍可恢复；五种自适应攻击下所有权证据可靠可检，买家归因平缓退化而非崩溃。
- 规模：B=256 时 Top-1 由 0.993 降至 0.974（−1.9pp），Top-3 ≥0.994；擦除率由 0.031 升至 0.072，非擦除比特率由 0.969 降至 0.928。
- 可读性对照：PromptCOS 在正常查询下会泄露结构化元数据块，违反可读性要求；SkillCODER 正常路径输出与原始技能一致。
- 伦理与开放：不使用真人被试或个人数据，评估技能为合成或宽松许可公开仓库；验证需所有者私钥，降低滥用风险；代码已开源。
| 指标 | 结果 |
|---|---|
| 所有者验证准确率 | 99.2% |
| 买家 Top-1 归因 | 99.3% |
| 256 买家时 Top-1 / Top-3 | 97.4% / ≥99.4% |
| 擦除率（B=16→256） | 3.1% → 7.2% |
| 自适应攻击下 | 所有权可检，买家归因平缓退化 |
a / D. Discussion & Conclusion（讨论与结论）
- 治理意义：把技能视为可交易知识产权，需要“内容即可审计”的溯源机制；SkillCODER 提供了不依赖模型内部访问的技术底座。
- 与既有工作对比：prompt 级水印在长技能上信号稀释且损害可读性；结构感知 + 条件激活 + 纠错码是针对技能载体的必要改造。
- 局限：需要防守方能发出探针并获得回复；短技能容量有限；对完全封闭的只答式服务效果下降；跨语言技能未评估。
- 结论：技能版权审计在技术上可行且精度很高，但应与合同、平台规则和授权机制配合，技术只是治理链条的一环。
🧠 IRMaD 思维导图
mindmap
root((技能版权审计))
I 引言
技能成为可卖商品
复制成本近零
旧水印不适配长文本
R 原则
结构稳定优先
条件激活不扰使用
纠错码编买家指纹
M 方法
解析成结构化锚点
分散写入条件胶囊
正负探针激活
受控词汇纠错解码
R 结果
原创识别 99.2%
买家溯源 99.3%
改写压缩仍可查
256 买家仍 97.4%
a 讨论
技能需溯源基础设施
可读性得以保留
封闭服务效果打折
D 结论
技术可行精度高
配合合同与平台规则
供应链需来源审计
图：本研究的 IRMaD 思维导图。蓝色 I 引言；橙色 R 研究问题；绿色 M 方法； 橙色 R 结果；紫色 a 讨论；红色 D 结论。