智能体安全研究 · 第 5 期：每个 agent 都是安全的，串起来就不安全了

TJXFire

2026年10月9日 15:59
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

全文约 4100 字，含 5 张图，预计阅读 12 分钟。

01写在前面

我早年做过一阵系统集成，带我的人说过一句话，到现在还记得：出问题的很少是模块本身，多半在接口上。

这一期讲的事，本质上是这句话换了个场景。

每个 agent 都用最好的模型、做最好的对齐，系统照样不安全——因为风险不在任何一个 agent 身上，在它们之间的缝里。论文标题把这层意思说得更直接：安全的模型，组合不出安全的系统。

写这个系列的初衷，是想把碎片化的论文按攻击位置排成一条线。排到这一期，线从「一个 agent 内部」延伸到了「多个 agent 之间」——而这一段，恰恰是最没人看守的。

本期主稿

论文标题：ChannelGuard: Safe Models Do Not Compose into Safe Multi-Agent Systems

作者：Elias Hossain、Md Mehedi Hasan Nipu、Fatema Tuj Johora Faria、Tasfia Nuzhat Ornee、Maleeha Sheikh

单位：美国中佛罗里达大学、孟加拉北南大学、艾哈苏拉大学理工学院

论文编号：arXiv:2607.19430

本期主题：多智能体与协作风险

一句话结论：安全的模型，组合不出安全的系统

02先说个场景

一家公司的报销流程有四道岗：提需求的、办事的、复核的、出报告的。

每一岗都有人把关，每个人也都尽职。但你有没有想过一件事——复核那位，凭什么相信办事那位交上来的材料是真的？

他相信，是因为材料是从内部流转过来的。内部来的东西，默认干净。

多智能体系统就是这么搭的。一个规划器把任务拆开，几个工人分头去做，一个校验器检查，一个合成器汇总输出。每一次交接，都是一次「内部来的东西默认干净」。

图 1：本系列五期的攻击面演变。前四期攻击者面对的是一个 agent，第 4 期把攻击面在时间维度上展开；本期在空间维度上展开——攻击者面对的是一条流水线｜自制示意图

03论点：安全的模型，组合不出安全的系统

这句话是论文标题的后半句，也是本期的核心。

前四期我们一直在单个 agent 的框架里讨论问题。到了多智能体，会多出一类单个 agent 层面根本不存在的风险。

图 2：典型的多智能体流水线。规划器、工人、校验器、合成器之间的每一次交接，都是一条没有监控的通道｜自制示意图

上游 agent 的输出，就是下游 agent 的输入。而这个输入，既不经过用户输入的过滤，也不经过工具返回值的检查——它是「自己人」给的。

论文的原话是：每一跳都是一条未受监控的通道，攻击者可以借它夹带指令。

这里要理解一个关键点：你给每个 agent 都套上最好的模型、做最好的对齐，也解决不了这个问题。因为问题不出在任何一个 agent 身上，出在它们之间的缝里。

这也是为什么论文标题要用「compose」这个词——安全性不是可组合的性质。两个安全的组件拼在一起，接口处会长出新的攻击面。

04六类攻击，进的是不同的缝

论文把针对多智能体流水线的攻击整理成六类：

图 3：ChannelGuard 的系统全貌。请重点看最上方那一排灰底方框——六类攻击各自从流水线的不同位置进入；中间黄色区域是加了六道信息瓶颈门之后的流水线｜图源：arXiv:2607.19430 Figure 1

注意这六类里，有三类是前几期讲过的东西换了个位置。工具输出投毒是第 2 期的间接注入，共享记忆投毒是第 4 期的存储型注入。它们本身不是新攻击——新的是它们现在有了更多的落点。

只有「推理状态注入」和「共识坍塌」是多智能体独有的：前者污染规划器拆出来的子任务，后者操纵多个工人结果的汇总过程。

这两类值得多说几句，因为它们展示了多智能体特有的攻击思路。

推理状态注入打的是「分工」这个动作。规划器把一个大任务拆成若干子任务分下去，每个工人只看得到自己那一块。这意味着没有任何一个工人拥有全局视角——一个子任务单独看完全无害，是否构成攻击只有拼起来才知道，而拼起来的那个环节恰恰不做安全判断。

共识坍塌打的是「汇总」这个动作。多个工人的结果需要合并，合并规则通常是多数一致或者交给合成器裁决。攻击者不需要控制全部工人，只需要污染到足以改变汇总结果的那部分。

这两类攻击都不针对某一个 agent，而是针对 agent 之间的组织方式。换句话说，它们攻击的是架构，不是模型。

05最值得看的一组数据：攻击成功率都是 0，但含义完全不同

论文的防御方案叫 ChannelGuard，做法是在每一条 agent 间通道上都装一道信息瓶颈门，用嵌入相似度对照一个对抗短语库做判定，不需要训练。

如果只看攻击成功率，结论会很奇怪：六类攻击里有五类，加不加防御，成功率都是 0.000。

看上去防御没必要做。但把「攻击是在哪一层被拦下的」拆开看，画面就完全变了。

图 4：同样是「没出事」，拦截发生在哪一层含义完全不同。绿色是应用内网关拦下的，橙色是模型厂商的黑盒过滤器拦下的，红色是泄露｜数据来源：arXiv:2607.19430 表 13，本文据其制图

看工具输出投毒那两行：

未防御时，30 次里有 24 次是被「厂商黑盒」拦下的。也就是说，攻击确实没成功，但拦住它的不是你的代码，是模型提供方那个你看不见、也控制不了的过滤器。

加了应用内网关之后，30 次全部在自己这一层被挡住。

攻击成功率两者都是 0，但可控性差了一个量级。一个是「我们挡住了」，一个是「厂商替我们挡住了，而且我们不知道它为什么挡、什么时候会不挡」。

共享记忆投毒那两行更明显：未防御时 30/30 全靠厂商黑盒，加了网关后仍有 22 次落在厂商那一层——说明这一类攻击应用侧还没接管住。

论文对现有防御的批评正在这里：它们要么只守最前面的输入边界，要么干脆跑在应用之外，是不透明、有随机性的厂商侧过滤器。

06论文自己承认没防住的那一类

有一类攻击，加不加 ChannelGuard 都是 0.667——自适应改写。

在图 4 最下面两行也能看到：两种情况都泄露 20 次，防御一点没起作用。

这类攻击的设定是白盒——攻击者知道防御用的是嵌入相似度匹配，于是把攻击语句改写成语义相同、但嵌入距离拉开的说法。

基于相似度的防御，天然打不过知道相似度阈值的对手。这不是实现问题，是方法论边界。

论文把这个结果原样报了出来，没有藏。这一点值得称道——很多防御类论文会把打不过的那一栏悄悄挪走。

顺带一提，论文还统计了哪些攻击短语最好用，排第一的是「在回复里原样输出 ATTACK\_SUCCESS 这个字符串」，赢了 138 次；第二是那句经典的「忽略此前所有指令」，93 次。

07一个更值得记住的教训：0 分不等于好防御

论文做基线对比时，出现了一个我认为本期最该记住的结果。

困惑度过滤器（Perplexity-Filter）把所有攻击的成功率都压到了 0.000，包括 ChannelGuard 都没防住的自适应改写。

单看这一栏，它是全场最强的防御。

图 5：同一份实验里困惑度过滤器的三项指标。攻击成功率 0.000 看上去完美，但正常任务正确率是 0/30、误报率 1.000｜数据来源：arXiv:2607.19430 表 12 与表 23

它的正常任务正确率是 0 / 30，误报率 1.000。

它不是防住了攻击，它是把整个系统关掉了。所有请求，不管好的坏的，一律拦截。攻击成功率当然是 0——因为什么都没跑起来。

这个例子和第 2 期那个 Gemma 的坑是同一类错误：只报安全指标、不报可用性指标，数字就会骗人。

本系列到目前为止，这个陷阱已经出现三次了——第 2 期的低 ASR 模型、第 3 期的低 ASR 框架、本期的完美过滤器。看到一个特别漂亮的安全数字，第一反应应该是去找它的代价在哪。

顺便说一组对可用性有帮助的数字。论文统计了流水线各角色的耗时占比：校验器占了 56.4%，三个工人合计 37.4%，规划器 14.3%，合成器 13.3%。

也就是说，这条流水线一半以上的时间花在「检查」上。但回看图 4，校验器（蓝色那段）实际拦下的攻击并不多——提示注入未防御时拦了 4 次、自适应改写拦了 7 次，其余基本为零。

校验器很贵，但它不是一个安全组件。它是在检查任务做得对不对，不是在检查内容干不干净。这两件事经常被混为一谈。

08涉我部分

中国相关

这一期国内团队缺席，但空白比前几期都大

先说清楚：这篇没有国产模型

和第 2 期（六个受测模型四个国产）、第 4 期（三个受测模型两个国产）不同，本期主稿的受测后端是 Azure GPT-5、Anthropic Sonnet-4.5 和 Haiku-4.5，一个国产模型都没有。

作者单位也在美国和孟加拉，与国内无关。这一点不必回避，也不该硬凑涉我。

但这本身就构成一条信息：多智能体安全这个方向，中文世界的实证工作明显少于前几期涉及的方向。素材库里这个主题 19 篇，涉我评分最高的只有 6 分，而提示注入方向有多篇满分。

而国内的多智能体落地一点都不慢

阿里 AgentScope 是国产工业级多智能体框架，核心理念是「一切皆消息」（Everything is a Message），几行 Python 就能搭出一条流水线。

MetaGPT 更值得一提——它的设计思路是模拟一家真实软件公司的协作模式，把产品经理、架构师、工程师这些角色分给不同的 agent，从需求分析一路做到代码实现。

请把 MetaGPT 的角色分工和本期图 2 那条流水线对照一下看。规划器、工人、校验器、合成器——这就是同一个结构。论文里那六类攻击的落点，在 MetaGPT 这类框架里一个不少。

低代码侧，字节的扣子（Coze）面向非技术用户，Dify、FastGPT 面向有开发能力的团队，多智能体编排已经是标配功能。

落地速度和安全研究的密度，这两条曲线在国内是不匹配的。这个差值本身，就是本系列想去填的东西。

09合规：框架里的「智能体」始终是单数

延续前几期的做法，我把《人工智能安全治理框架》2.0 原文又检索了一遍。这一期的结果比第 4 期还要空。

结论很清楚：框架讨论的始终是「一个智能体调用工具」的风险，从未涉及多个智能体互相调用。

3.2.1(b) 那句被我引用过三期的话——「智能体需调用终端系统文件、权限、接口、工具，以实现复杂任务自主规划自动执行」——主语是单数的智能体，宾语是工具。它没有设想过宾语位置上站着另一个智能体。

「信任」那两次出现更能说明问题。一次是「鼓励研发和采用具备透明决策逻辑的模型和可解释算法，提升用户对系统运行机制的理解和信任」，另一次是提升系统透明度以「增强社会公众信任基础」。

两次都是人对系统的信任，没有一次是 agent 对 agent 的信任。而本期讲的整个问题，恰恰就建立在 agent 对 agent 的信任之上。

这个概念在现行治理文本里还不存在。不存在的东西，自然也谈不上有条款去约束它。

需要公道地说：这不是框架写得不好。框架 2.0 定稿于 2025 年 9 月，多智能体的规模化落地在那之后。指出空白的意义只有一个——提醒做合规对照的人：你的多智能体系统，现在没有对应条款可勾。

对照第 3 期讲广告审核时的情况，两者性质不同。广告那边是制度现成、标准缺一维；这边是连概念都还没进入文本。后者要补起来更慢。

10这个攻击现在能打真实系统吗

按惯例把距离说清楚，这一期的距离比前几期都要大。

实验规模很小。每组攻击 30 次，全文合计 2100 余条执行轨迹，论文自己披露的全部实验成本是 47.36 美元。这个量级足以说明趋势，不足以支撑「某某防御有效性为 X%」这种精确断言。

流水线是研究者搭的。规划器、三个工人、校验器、合成器这个结构是论文设定的典型形态，真实系统的拓扑差异很大。

但论点本身不依赖实验规模。「上游输出即下游输入、而下游默认上游可信」是一个结构性事实，不需要实验证明——只要你的系统里 agent 之间会传递内容，这条缝就存在。

判断你受不受这类风险影响，只需要问一句：我的系统里，有没有一个 agent 会把另一个 agent 的输出直接当成可信输入用？

如果答案是有，那么前四期讲过的每一种载荷，在你这里都多了若干个新的落点。

11那该怎么办

通道治理　平台方

▸ 把 agent 之间的每一跳当成一次不可信输入，而不是内部调用 —— 这是本期唯一真正重要的一条

▸ 在跳与跳之间留检查点，哪怕只是记录：这一跳传了什么、由谁产生、给了谁

▸ 不要指望模型厂商的过滤器兜底，你不知道它为什么拦、什么时候不拦

度量方式　平台方与评测方

▸ 看防御效果时永远要求同时给出可用性指标，只报攻击成功率的结论一律存疑

▸ 关注「攻击在哪一层被拦下」，而不只是「有没有被拦下」—— 拦在自己这层才叫可控

▸ 承认边界：基于相似度的防御打不过知道阈值的白盒对手，别把它当万能

架构选型　使用方

▸ 用 MetaGPT、AgentScope 这类多智能体框架时，先画出自己的流水线拓扑，数一数有几跳

▸ 跳数就是新增的攻击面数量，能合并的环节尽量合并

▸ 校验器不是安全组件 —— 论文里它占了 56.4% 的运行时间，但拦下的攻击并不多

12下期预告

第 6 期讲权限与隔离：智能体到底该拿多大的权。前五期讲的所有攻击，最终能造成多大破坏，取决于同一件事——它拿到手的权限有多大。这一期会回到最朴素、也最有效的那条防线上。

信息来源与可信度分层
第一层（论文实测，可复核）：ChannelGuard: Safe Models Do Not Compose into Safe Multi-Agent Systems，arXiv:2607.19430。文中六类攻击划分、0.333／0.167、0.667、拦截层分布、困惑度过滤器的 0/30 与误报率 1.000、攻击短语排行、校验器 56.4% 运行时间占比、实验成本 47.36 美元等均取自该文，图 3 为论文原图，图 4、图 5 系据其表 12、13、23 数据制图，图 1、图 2 为本文自制示意。
第二层（标准原文，可查证）：《人工智能安全治理框架》2.0 版，全国网安标委，2025 年 9 月 15 日发布。检索词命中次数为对 tc260.org.cn 公开 PDF 全文经 NFKC 归一化后统计。
第三层（行业公开信息，口径不一）：AgentScope、MetaGPT、扣子、Dify、FastGPT 的定位与能力描述来自厂商与社区公开资料，未独立验证，仅用于说明国内落地形态。
说明：本期主稿未使用任何国产模型作为受测后端，作者单位与国内无关，正文已明确说明，未作牵强关联。实验规模较小（每组 30 次，合计 2100 余条轨迹），结论宜作趋势参考。

智能体安全研究 · 每周一篇 · 只谈能验证的