多智能体协作的攻击面可能比你想象的大把协作风险拆成四类来看一、为什么单 Agent 的安全思路不够用了过去一年讲 Agent 安全的文章大多围绕一个智能体展开提示注入、工具越权调用、供应链投毒、MCP 接口滥用。这些固然重要但当你把多个 Agent 接到一起——编排者调用执行者、子任务分发、共享一个记忆库——你会发现攻击面不是简单的“乘以 N”而是多出一整类新的风险来源。一个可以被引用的事实是根据中国科学院信息工程研究所研究员曹亚男在 CNCC2026“自主而有界”论坛上题为《多智能体系统的安全风险与挑战》的报告摘要多智能体系统虽然能显著增强复杂任务的处理能力但智能体间的通信、决策与协作机制也引入了更多潜在脆弱点使系统攻击面进一步拓宽。该报告将风险归纳为四类通信拓扑泄露、信息路径越界、安全风险累积传播、共享记忆冲突。另一份资料即由中国电信、公安部第三研究所、华为、蚂蚁科技、清华大学、上海交通大学等联合发布的《AI智能体安全治理白皮书》则从系统架构角度指出AI 智能体的风险贯穿感知、决策、记忆、执行四个层面且风险具有显著的层级传导特性——单一环节的漏洞即可沿“感知失真—决策误判—执行失控”的路径放大危害。这两份资料一个讲“协作引入了什么新风险”一个讲“风险如何在系统内传导”。把它们拼在一起恰好能得到一张可对照自家架构的风险—防护表。本文就尝试做这件事。二、四类协作风险逐个拆开1. 通信拓扑泄露多智能体系统的编排结构谁指挥谁、哪些 Agent 可以互相通信本身就是敏感信息。攻击者若能通过消息内容、错误回显或时序行为推断出拓扑就能定位系统中的关键节点——比如那个持有最高权限、负责聚合结果的“协调者”然后集中火力攻击它。自查建议检查你的框架中Agent 间的路由信息、任务描述是否会被透传到下游模型的上下文里日志和错误信息是否暴露了内部调度结构。2. 信息路径越界在理想设计中每个 Agent 只应看到完成自己任务所需的信息。但实际系统中上下文往往被“图省事”地整段传递——A Agent 的完整对话历史直接塞给 B。一旦 A 被注入恶意指令污染会顺着这条路径扩散到本不该接触的环节。《AI智能体安全治理白皮书》对记忆层的描述与此呼应智能体维护外部记忆库存储交互与任务上下文如果攻击者注入恶意信息或虚假知识这些信息可能被持久保存并反复调用造成长期污染与隐蔽操控例如篡改记忆中的身份信息可能导致后续任务出现越权操作。自查建议为 Agent 间传递的信息做最小化裁剪而不是全量透传对进入共享记忆的内容建立写入校验和来源标记。3. 风险累积传播这是最容易被低估的一类。单个 Agent 出错影响尚可控但当多个 Agent 串联执行时每个环节的小偏差会累积放大。白皮书将此称为“决策幻觉风险”当智能体具备一定自主决策与执行能力时其错误输出可能通过链式反应放大造成系统性事故在自动驾驶、金融交易、医疗诊断等高敏感场景中微小的逻辑推理偏差也可能诱发重大安全事故。W3C 会议资料《AI智能体的安全挑战及应对建议》中也提到了多智能体协作下的目标冲突问题每个智能体基于局部信息做分布式决策时目标冲突可能导致系统性失效。自查建议在流水线的关键节点设置独立的验证或回滚机制不要依赖下游 Agent “自己发现上游错了”对高后果动作资金、删除、外发设置人工或规则级闸门。4. 共享记忆冲突多个 Agent 读写同一个记忆库就像多个线程操作共享变量而没有加锁——只不过这里的“竞态”包括语义冲突、权限混淆和恶意覆写。一个 Agent 写入的上下文可能被另一个 Agent 以完全不同的意图解读攻击者也可以利用写入通道植入影响全局的信息。自查建议区分只读与可写区域为记忆条目绑定来源 Agent 和有效期定期审计共享记忆中跨任务的持久化内容。三、产业界的诊断式防护思路AgentDoG风险拆完了防护怎么办上海人工智能实验室的刘东瑞在同一个论坛上的报告《Agent系统的风险归因与防护》介绍了团队研发的诊断式智能体守卫模型AgentDoG。根据论坛公开资料该框架通过三维度智能体安全分类体系与可解释性模块实现轨迹细粒度监控与风险根因诊断相关技术已落地应用于多家公司。对我们有价值的不是这个产品本身而是它的思路多智能体系统出问题时最大的痛点往往不是“发现异常”异常可能只是最终结果不对而是归因——到底是哪个 Agent、在哪一步、因为什么出错。诊断式防护强调对执行轨迹做细粒度监控这恰好对应上面四类风险的定位需求拓扑泄露要看通信记录路径越界要看信息流累积传播要看各环节的中间输出记忆冲突要看读写日志。四、一张可对照的风险—防护表协作风险对应传导环节白皮书四层防护要点通信拓扑泄露感知层消息即输入隐藏/混淆内部调度结构控制错误信息回显信息路径越界感知→决策上下文透传最小化信息传递来源标记风险累积传播决策→执行链式放大节点级验证、独立回滚、高后果动作闸门共享记忆冲突记忆层篡改与植入读写权限分离、来源绑定、定期审计五、适用范围与局限适用范围这套框架最适合已经或计划使用多 Agent 编排规划者—执行者、多角色协作、Agent 团队的系统尤其是涉及金融、医疗等白皮书点名的高敏感场景。局限也要说清楚第一四类风险是学术界在论坛议程中的归纳具体到不同框架如基于图编排的、基于共享黑板机制的风险表现会有差异不能生搬硬套。第二AgentDoG 是论坛介绍中的产业方案本文并未做实际测试其效果请读者自行评估。第三协作风险不是孤立的——白皮书强调的“感知失真—决策误判—执行失控”传导路径提醒我们协作风险最终仍要通过单 Agent 的漏洞落地基础的单 Agent 防护工具权限隔离、输入过滤依然不可或缺。多智能体协作带来能力跃升的同时也确实带来了新的攻击面。与其笼统地说“风险放大”不如像上面那样把风险落到自己架构的具体位置上一条一条对——这大概是这场论坛能给我们最实用的启示。参考资料以下链接为本文使用的公开资料。事实依据与检索摘录保存在本地记录中资料内容与适用范围以原始页面为准。[\[中国电信公安部第三研究所华为蚂蚁科技清华大学上海交通大学\]AI智能体安全治理白皮书 - 发现报告](https://www.fxbaogao.com/detail/5065956)自主而有界智能体系统的对抗攻防与安全治理 | CNCC2026 - 知乎[\[PDF\] AI智能体的安全挑战及应对建议](https://www.w3.org/2024/01/webevolve-series-events/annual-2025/slides/qiongqian-yang.pdf)