多智能体协作的攻击面，可能比你想象的大：把协作风险拆成四类来看
一、为什么单 Agent 的安全思路不够用了
过去一年，讲 Agent 安全的文章大多围绕一个智能体展开：提示注入、工具越权调用、供应链投毒、MCP 接口滥用。这些固然重要，但当你把多个 Agent 接到一起——编排者调用执行者、子任务分发、共享一个记忆库——你会发现，攻击面不是简单的“乘以 N”，而是多出一整类新的风险来源。
一个可以被引用的事实是：根据中国科学院信息工程研究所研究员曹亚男在 CNCC2026“自主而有界”论坛上题为《多智能体系统的安全风险与挑战》的报告摘要，多智能体系统虽然能显著增强复杂任务的处理能力，但智能体间的通信、决策与协作机制也引入了更多潜在脆弱点，使系统攻击面进一步拓宽。该报告将风险归纳为四类：通信拓扑泄露、信息路径越界、安全风险累积传播、共享记忆冲突。
另一份资料，即由中国电信、公安部第三研究所、华为、蚂蚁科技、清华大学、上海交通大学等联合发布的《AI智能体安全治理白皮书》，则从系统架构角度指出：AI 智能体的风险贯穿感知、决策、记忆、执行四个层面，且风险具有显著的层级传导特性——单一环节的漏洞即可沿“感知失真—决策误判—执行失控”的路径放大危害。
这两份资料一个讲“协作引入了什么新风险”，一个讲“风险如何在系统内传导”。把它们拼在一起，恰好能得到一张可对照自家架构的风险—防护表。本文就尝试做这件事。
二、四类协作风险，逐个拆开
1. 通信拓扑泄露
多智能体系统的编排结构（谁指挥谁、哪些 Agent 可以互相通信）本身就是敏感信息。攻击者若能通过消息内容、错误回显或时序行为推断出拓扑，就能定位系统中的关键节点——比如那个持有最高权限、负责聚合结果的“协调者”，然后集中火力攻击它。
自查建议：检查你的框架中，Agent 间的路由信息、任务描述是否会被透传到下游模型的上下文里；日志和错误信息是否暴露了内部调度结构。
2. 信息路径越界
在理想设计中，每个 Agent 只应看到完成自己任务所需的信息。但实际系统中，上下文往往被“图省事”地整段传递——A Agent 的完整对话历史直接塞给 B。一旦 A 被注入恶意指令，污染会顺着这条路径扩散到本不该接触的环节。
《AI智能体安全治理白皮书》对记忆层的描述与此呼应：智能体维护外部记忆库存储交互与任务上下文，如果攻击者注入恶意信息或虚假知识，这些信息可能被持久保存并反复调用，造成长期污染与隐蔽操控，例如篡改记忆中的身份信息可能导致后续任务出现越权操作。
自查建议：为 Agent 间传递的信息做最小化裁剪，而不是全量透传；对进入共享记忆的内容建立写入校验和来源标记。
3. 风险累积传播
这是最容易被低估的一类。单个 Agent 出错，影响尚可控；但当多个 Agent 串联执行时，每个环节的小偏差会累积放大。白皮书将此称为“决策幻觉风险”：当智能体具备一定自主决策与执行能力时，其错误输出可能通过链式反应放大，造成系统性事故，在自动驾驶、金融交易、医疗诊断等高敏感场景中，微小的逻辑推理偏差也可能诱发重大安全事故。
W3C 会议资料《AI智能体的安全挑战及应对建议》中也提到了多智能体协作下的目标冲突问题：每个智能体基于局部信息做分布式决策时，目标冲突可能导致系统性失效。
自查建议：在流水线的关键节点设置独立的验证或回滚机制，不要依赖下游 Agent “自己发现上游错了”；对高后果动作（资金、删除、外发）设置人工或规则级闸门。
4. 共享记忆冲突
多个 Agent 读写同一个记忆库，就像多个线程操作共享变量而没有加锁——只不过这里的“竞态”包括语义冲突、权限混淆和恶意覆写。一个 Agent 写入的上下文可能被另一个 Agent 以完全不同的意图解读，攻击者也可以利用写入通道植入影响全局的信息。
自查建议：区分只读与可写区域；为记忆条目绑定来源 Agent 和有效期；定期审计共享记忆中跨任务的持久化内容。
三、产业界的诊断式防护思路：AgentDoG
风险拆完了，防护怎么办？上海人工智能实验室的刘东瑞在同一个论坛上的报告《Agent系统的风险归因与防护》介绍了团队研发的诊断式智能体守卫模型 AgentDoG。根据论坛公开资料，该框架通过三维度智能体安全分类体系与可解释性模块，实现轨迹细粒度监控与风险根因诊断，相关技术已落地应用于多家公司。
对我们有价值的不是这个产品本身，而是它的思路：多智能体系统出问题时，最大的痛点往往不是“发现异常”（异常可能只是最终结果不对），而是归因——到底是哪个 Agent、在哪一步、因为什么出错。诊断式防护强调对执行轨迹做细粒度监控，这恰好对应上面四类风险的定位需求：拓扑泄露要看通信记录，路径越界要看信息流，累积传播要看各环节的中间输出，记忆冲突要看读写日志。
四、一张可对照的风险—防护表
| 通信拓扑泄露 | 感知层（消息即输入） | 隐藏/混淆内部调度结构，控制错误信息回显 |
| 信息路径越界 | 感知→决策（上下文透传） | 最小化信息传递，来源标记 |
| 风险累积传播 | 决策→执行（链式放大） | 节点级验证、独立回滚、高后果动作闸门 |
| 共享记忆冲突 | 记忆层（篡改与植入） | 读写权限分离、来源绑定、定期审计 |
五、适用范围与局限
适用范围：这套框架最适合已经或计划使用多 Agent 编排（规划者—执行者、多角色协作、Agent 团队）的系统，尤其是涉及金融、医疗等白皮书点名的高敏感场景。
局限也要说清楚：第一，四类风险是学术界在论坛议程中的归纳，具体到不同框架（如基于图编排的、基于共享黑板机制的），风险表现会有差异，不能生搬硬套。第二，AgentDoG 是论坛介绍中的产业方案，本文并未做实际测试，其效果请读者自行评估。第三，协作风险不是孤立的——白皮书强调的“感知失真—决策误判—执行失控”传导路径提醒我们，协作风险最终仍要通过单 Agent 的漏洞落地，基础的单 Agent 防护（工具权限隔离、输入过滤）依然不可或缺。
多智能体协作带来能力跃升的同时，也确实带来了新的攻击面。与其笼统地说“风险放大”，不如像上面那样，把风险落到自己架构的具体位置上，一条一条对——这大概是这场论坛能给我们最实用的启示。
参考资料
以下链接为本文使用的公开资料。事实依据与检索摘录保存在本地记录中；资料内容与适用范围以原始页面为准。
- [\\[中国电信&公安部第三研究所&华为&蚂蚁科技&清华大学&上海交通大学\\]：AI智能体安全治理白皮书 – 发现报告](<https://www.fxbaogao.com/detail/5065956>)
- 自主而有界：智能体系统的对抗攻防与安全治理 | CNCC2026 – 知乎
- [\\[PDF\\] AI智能体的安全挑战及应对建议](<https://www.w3.org/2024/01/webevolve-series-events/annual-2025/slides/qiongqian-yang.pdf>)
