💻 computer science

CASPIAN: Online Detection and Attribution of Cascade Attacks in LLM Multi-Agent Systems via Cross-Channel Causal Monitoring

CASPIAN ist ein neuartiges Framework, das die Online-Erkennung und kausale Zuordnung von Kaskadenangriffen in LLM-Multi-Agenten-Systemen ermöglicht, indem es die dynamische propagierte Einflussnahme über verschiedene Kanäle mittels eines einheitlichen Ansatzes der bedingten Transferentropie modelliert und dabei bestehende lokale Verteidigungsmechanismen sowohl in Bezug auf die Genauigkeit als auch die Latenzzeit übertrifft.

Ursprüngliche Autoren: Kavana Venkatesh, Jafar Isbarov, Saad Amin, Murat Kantarcioglu, Jiaming Cui

Veröffentlicht 2026-05-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Kavana Venkatesh, Jafar Isbarov, Saad Amin, Murat Kantarcioglu, Jiaming Cui

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein Team von KI-Assistenten vor, die zusammenarbeiten, um ein komplexes Problem zu lösen, wie etwa die Planung einer Reise oder das Verfassen eines Berichts. Sie sprechen miteinander, teilen Notizen, nutzen Werkzeuge und führen Aufgaben aus. Dies ist ein Multi-Agenten-System.

Stellen Sie sich nun vor, einer dieser Assistenten wird von einem böswilligen Akteur getäuscht (ein „Kaskadenangriff"). Anstatt dass nur dieser eine Assistent einen Fehler macht, breitet sich der Fehler wie ein Virus aus. Er wird verstärkt, geteilt und bekräftigt, bis das gesamte Team zusammenarbeitet, um etwas Falsches zu tun, obwohl jeder einzelne Schritt für sich betrachtet harmlos erscheinen mag.

Bestehende Sicherheitstools sind wie Türsteher, die am Eingang die Ausweise einzelner Personen prüfen. Sie betrachten eine Nachricht oder einen Agenten nach dem anderen. Sie übersehen die Tatsache, dass die Gefahr darin liegt, wie die Agenten sich über verschiedene Kanäle (Chat, geteilter Speicher, Werkzeuge und Codeausführung) beeinflussen.

CASPIAN ist ein neues Sicherheitssystem, das entwickelt wurde, um diese „Team-weiten Zusammenbrüche" im Entstehen zu erkennen. So funktioniert es, unter Verwendung einfacher Analogien:

1. Die „Einflusskarte" (Die Kausale Matrix)

Stellen Sie sich das KI-Team als eine Gruppe von Menschen in einem Raum vor. Normalerweise sprechen sie höflich miteinander. Doch wenn ein Angriff beginnt, entsteht ein spezifisches Muster von Einfluss.

Der alte Weg: Sicherheitstools hören zu, was die Menschen sagen (den Text).
Der Weg von CASPIAN: CASPIAN hört nicht nur den Worten zu; es kartiert den Energiefluss. Es fragt: „Hat die Aktion von Agent A dazu geführt, dass Agent B sein Verhalten ändert, auch wenn die Worte von Agent B noch normal klingen?"
Es erstellt eine live, vierdimensionale Karte darüber, wer wen durch vier Kanäle beeinflusst:
1. Kommunikation (Chat-Nachrichten)
2. Speicher (Geteilte Notizen)
3. Werkzeuge (Nutzung von APIs oder Software)
4. Ausführung (Wie schnell sie laufen, welche Fehler sie machen, welche Token sie verbrauchen)

2. Der „Erdbeben-Detektor" (Spektrale Überwachung)

Wie weiß CASPIAN, dass ein Zusammenbruch beginnt, bevor es zu spät ist? Es verwendet eine Technik namens Spektrale Überwachung.

Die Analogie: Stellen Sie sich eine Menschenmenge vor. Wenn sie ganz normal plaudern, sind ihre Bewegungen zufällig und locker. Doch wenn eine Panik ausbricht, beginnen sie möglicherweise plötzlich, sich in perfekter Einheit zu bewegen, oder die „Energie" im Raum steigt sprunghaft an.
Die Mathematik: CASPIAN betrachtet die „Form" der Einflusskarte.
- Verstärkung: Wird das „Rauschen" lauter? (Der Einfluss wächst).
- Synchronisation: Schalten sich die Agenten in ein starres, sich wiederholendes Muster um? (Der „spektrale Abstand" schrumpft, was bedeutet, dass das System seine Flexibilität verliert und in einer Schleife stecken bleibt).
- Querverbreitung: Springt der schlechte Einfluss gleichzeitig vom Chat zum Speicher und zu den Werkzeugen?
Wenn das System diese spezifischen Muster erkennt, weiß es, dass sich eine Kaskade bildet, selbst wenn der Text harmlos aussieht.

3. Der „Detektiv" (Zuordnung)

Sobald CASPIAN Alarm schlägt, sagt es nicht nur „Etwas ist falsch". Es agiert wie ein Detektiv, um den Täter und den Weg des Verbrechens zu finden. Es identifiziert:

Den Ursprung: Den ersten infizierten Agenten (Patient Null).
Den Verstärker: Den Agenten, der das Problem verschlimmerte, indem er den Fehler wiederholte oder verstärkte.
Die Brücke: Den Agenten, der die Infektion von einem Teil des Teams zum anderen trug.
Die Wirbelsäule: Die Hauptstraße, auf der der schlechte Einfluss reiste.

4. Warum es schnell und leicht ist

Die Studie behauptet, CASPIAN sei unglaublich effizient.

Die Analogie: Die meisten Sicherheitssysteme sind wie ein schwerfälliger Sicherheitsbeamter, der die ganze Schlange anhält, um jede Tasche zu prüfen. CASPIAN ist wie eine intelligente Kamera, die den Verkehrsfluss in Echtzeit überwacht.
Es fügt weniger als 1 % Verzögerung zum System hinzu. Es muss keine alten Protokolle neu lesen oder einen Menschen um Hilfe bitten; es berechnet den „Einfluss-Score" im laufenden Betrieb, während das Gespräch stattfindet.

5. Die Ergebnisse

Die Forscher testeten CASPIAN gegen andere Sicherheitsmethoden (wie Textfilter und KI-Richter) unter Verwendung zweier wichtiger Benchmarks (TAMAS und ACIArena) über verschiedene KI-Frameworks hinweg (wie AutoGen und CrewAI).

Das Ergebnis: CASPIAN fing die Angriffe viel früher und genauer auf als die anderen.
Die „Frühwarnung": Es konnte den Angriff oft innerhalb der ersten paar Gesprächsrunden erkennen, während andere Methoden warteten, bis der Schaden angerichtet war, oder ihn ganz übersehen.
Der „Warum": Es funktionierte, weil es die Struktur der Interaktion des Teams betrachtete und nicht nur den Inhalt ihrer Worte.

Zusammenfassung:
CASPIAN ist ein Echtzeit-„Einfluss-Radar" für KI-Teams. Anstatt zu warten, bis ein Agent etwas Schlechtes sagt, beobachtet es, wie die Agenten sich gegenseitig vorantreiben und zurückdrängen. Wenn es sieht, dass das Team in eine gefährliche, sich selbst verstärkende Schleife über Chat, Speicher und Werkzeuge hineingelangt, identifiziert es sofort die Quelle und den Pfad des Versagens und stoppt die Kaskade, bevor das gesamte System abstürzt.

Technische Zusammenfassung: CASPIAN – Online-Erkennung und Zuordnung von Kaskadenangriffen in LLM-Multi-Agenten-Systemen

1. Problemstellung

Large Language Model Multi-Agenten-Systeme (LLM-MAS) sind zunehmend anfällig für Kaskadenangriffe, eine Fehlerart, die sich von isolierten Prompt-Injection-Angriffen oder Halluzinationen unterscheidet. Bei diesen Angriffen pflanzt sich ein von einem einzelnen Agenten injizierter adversarischer oder fehlerhafter Einfluss fort, verstärkt sich und festigt sich selbst über mehrere Agenten und Interaktionsschritte hinweg. Diese Kaskaden nutzen die Interaktionsstruktur des Systems aus, können gemeinsam genutzten Speicher korrumpieren, Tool-Ausgaben umleiten und Agenten auf eine kollektiv fehlerhafte Trajektorie synchronisieren.

Die zentrale Herausforderung bei der Erkennung dieser Angriffe liegt in der verteilten und gekoppelten Natur der Beweise:

Querverlaufende Propagation: Einfluss breitet sich gleichzeitig über Kommunikation, gemeinsam genutzten Speicher, Tool-APIs und Ausführungs-Metadaten aus. Die Überwachung eines einzelnen Kanals liefert ein unvollständiges Bild.
Temporale Akkumulation: Einfluss akkumuliert sich allmählich durch Wiederverwendung von Kontexten. Ein Agent kann lokal harmlos erscheinen, während das System kollektiv in Richtung koordinierten Versagens übergeht.
Grenzen bestehender Verteidigungen: Aktuelle Ansätze (semantische Guardrails, LLM-Richter, graphenbasierte Detektoren) operieren weitgehend auf isolierten Nachrichten, statischen Graphen oder nachträglichen Spuren. Sie erfassen die online, querverlaufende und zeitlich koordinierte Dynamik der Kaskadenpropagation nicht, verpassen oft Fehler in frühen Stadien oder erfordern eine Offline-Analyse, die eine Intervention in Echtzeit ausschließt.

2. Methodik: Das CASPIAN-Framework

CASPIAN (Cascade Attack Spectral Propagation and Influence Attribution Network) ist ein einheitliches Framework, das für die Online-Erkennung und Zuordnung von Kaskadenangriffen entwickelt wurde. Es vollzieht einen Paradigmenwechsel von der lokalisierten semantischen Inspektion hin zur Überwachung der sich entwickelnden Struktur kausaler Beeinflussung im gesamten System.

2.1 Einheitliche querverlaufende kausale Modellierung

CASPIAN modelliert das LLM-MAS als sich entwickelnden querverlaufenden kausalen Beeinflussungstensor $A_t \in \mathbb{R}^{N \times N \times |C|}$ , wobei $N$ die Anzahl der Agenten ist und $C = \{comm, mem, tool, exec\}$ die Interaktionskanäle darstellt.

Schätzung des Einflusses: Anstatt einer rechenintensiven Vollzustandsanalyse verwendet CASPIAN eine Formulierung der Late-Interaction Conditional Transfer Entropy (LI-CTE). Diese schätzt die gerichtete Beeinflussung $a_{ij}^{(c)}(t)$ vom Agenten $i$ zu $j$ auf Kanal $c$ , indem gemessen wird, wie stark die Aktivität der Quelle das aktuelle Verhalten des Ziels erklärt, konditioniert auf den eigenen historischen Zustand des Ziels.
Effizienz: Inspiriert durch eine ColBERT-artige Zerlegung konstruiert LI-CTE kompakte Projektionen von Quelle und Ziel und führt nur einen Overhead im Millisekundenbereich ein, während kontextbewusste, gerichtete Abhängigkeiten erfasst werden.
Tensor-Aggregation: Kanalspezifische Einflussmatrizen werden normalisiert und zu einer einheitlichen Einflussmatrix $\tilde{A}_t$ für die spektrale Analyse aggregiert, wobei die Tensorstruktur für die Zuordnung auf Kanalebene erhalten bleibt.

2.2 Online-spektrale Kaskadenerkennung

CASPIAN erkennt Kaskaden durch die Überwachung von spektralen Übergängen in der sich entwickelnden Beeinflussungstopologie. Es unterscheidet transienten kollaborativen Aktivität von sich selbst verstärkenden Kaskaden durch vier Schlüsseldynamiken:

Verstärkung: Wachstum der dominanten spektralen Energie ( $E_t = \lambda_1(t) + \lambda_2(t)$ ).
Synchronisation: Verengung der spektralen Lücke ( $g_t = 1 - \lambda_2(t)/\lambda_1(t)$ ), was auf gekoppelte Propagationsmodi hinweist.
Querverlaufende Ausbreitung: Verteilung der Einflussenergie über mehrere Kanäle, gemessen über die normalisierte Shannon-Entropie ( $H_t^{norm}$ ).
Persistenz: Anhaltende Verstärkung dieser Dynamiken über die Zeit.

Erkennungslogik:

WATCH-Bedingung: Wird aktiviert, wenn Verstärkungswachstum mit einer Verengung der spektralen Kopplung ( $\Delta g_t > 0$ ) zusammenfällt, die vom dominanten Modus getrieben wird.
Klassifizierung:
- Ein-Schritt-Kaskaden: Werden sofort erkannt, wenn WATCH mit einem Phasenwechsel (plötzliche strukturelle Änderung) oder querverlaufender Ausbreitung zusammenfällt, sofern ein machbarer Propagationspfad (Weak-Link-Check) existiert.
- Mehr-Schritt-Kaskaden: Werden erkannt, wenn WATCH über ein adaptives Fenster $W_{tw}$ (gesteuert durch die inverse spektrale Lücke) persistiert und mindestens ein strukturelles Übergangsereignis enthält.

2.3 Online-kausale Zuordnung

Nach der Erkennung führt CASPIAN eine Online-Zuordnung unter Verwendung zwischengespeicherter Beeinflussungsdynamiken durch, ohne dass eine Wiedergabe oder Neuberechnung erforderlich ist. Es identifiziert:

Ursprung: Der Agent mit dem stärksten ausgehenden Einfluss zu Beginn.
Verstärker: Der Agent, der die Propagation am stärkens verstärkt (hohes Verhältnis von Ausfluss zu Zufluss).
Brücke: Der Agent, der Einfluss empfängt und im Netzwerk neu verteilt.
Propagationsrücken: Die Top- $K$ dominanten Pfade, sortiert nach ihrer Schwächsten-Glied-Stärke, zusammen mit dem dominanten Interaktionskanal für jeden Rücken.

3. Hauptbeiträge

Einheitliche querverlaufende kausale Modellierung: Das erste Framework, das gerichtete inter-agentuelle Beeinflussung über Kommunikations-, Speicher-, Tool- und Ausführungskanäle in LLM-MAS unter Verwendung einer effizienten LI-CTE-Formulierung gemeinsam modelliert.
Online-spektrale Erkennung: Ein Erkennungsmechanismus, der sowohl abrupte Ein-Schritt- als auch schrittweise Mehr-Schritt-Kaskaden aus sich entwickelnden Beeinflussungsdynamiken identifiziert, ohne Angriffsvorlagen, Kalibrierungsspuren für harmlose Fälle oder Offline-Training zu benötigen.
Echtzeit-Zuordnung: Ein Zuordnungsschema, das Kaskadenursprünge, Verstärker, Brücken und Propagationspfade direkt aus zwischengespeicherten Beeinflussungsdynamiken zum Zeitpunkt der Erkennung wiederherstellt und somit eine sofortige Intervention ermöglicht.

4. Experimentelle Ergebnisse

CASPIAN wurde an zwei Benchmarks (TAMAS und ACIArena) über vier LLM-MAS-Frameworks (AutoGen, CrewAI, MetaGPT, LLM Debate) hinweg evaluiert, die 727 Szenarien und 2.908 Ausführungsspuren umfassten.

Erkennungsleistung: CASPIAN übertraf semantische Guardrails (z. B. PromptGuard), LLM-basierte Richter und graphenbasierte Detektoren (z. B. G-Safeguard) konsistent.
- AUROC: Überstieg in den meisten Konfigurationen 0,90 (z. B. 0,942 bei AutoGen).
- Früherkennung (EDR@5): Erzielte eine Erkennung innerhalb von 5 Schritten nach der Injektion in ~79 % der Fälle bei AutoGen und übertraf die Baselines signifikant (z. B. 0,792 vs. 0,482 für die beste graphenbasierte Baseline).
- Robustheit: Die Leistung blieb über verschiedene Angriffstypen (Intent-Manipulation, Ausführungsangriffe, Koordinationsangriffe) und Framework-Topologien hinweg stark.
Genauigkeit der Zuordnung:
- Ursprungsortung: Hohe Genauigkeit (Acc@1 $\approx$ 0,86 bei TAMAS AutoGen).
- Brücke/Verstärker: Stabile Wiederherstellung, wobei die Identifizierung von Brücken in verteilten Topologien schwieriger ist.
- Pfadwiederherstellung: Die Spine-Jaccard@3-Werte blieben über alle Einstellungen hinweg über 0,62.
Effizienz: CASPIAN arbeitet mit einer relativen Latenz von unter 1 % (z. B. ~0,66 % bei harmlosen Spuren), was es für den Online-Einsatz geeignet macht.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass eine einheitliche querverlaufende kausale Modellierung für die zuverlässige Erkennung und das Verständnis von Kaskadenfehlern in LLM-Multi-Agenten-Systemen unerlässlich ist. Im Gegensatz zu früheren Methoden, die lokal über Prompts oder statische Graphen reasoning betreiben, adressiert CASPIAN die fundamentale Natur von Kaskadenangriffen als globale Propagationsprozesse.

Von den Autoren hervorgehobene Kernpunkte:

Strukturelle Reorganisation: Der Beginn einer Kaskade ist durch eine strukturelle Reorganisation der inter-agentuellen Beeinflussung (Verstärkung, Synchronisation, querverlaufende Ausbreitung) gekennzeichnet und nicht nur durch isolierte Anomalien.
Online-Tauglichkeit: Das Framework zeigt, dass komplexe kausale Überwachung in die Online-Ausführung mit vernachlässigbarer Latenz integriert werden kann, was eine Intervention in Echtzeit ermöglicht.
Jenseits der Nachrichteninspektion: Die Überwachung von Ausführungs-, Speicher- und Tool-Kanälen ist entscheidend; eine reine Nachrichtenüberwachung erfasst Propagierungssignale in Systemen mit persistenter Speicherung oder Tool-Zugriff nicht.
Interpretierbarkeit: Die Zuordnungsfähigkeiten bieten eine spurenkonditionierte Zerlegung des Versagens, die Sicherheitsaudits und die Analyse der Agentenkoordinationsdynamiken unterstützt.

Die Arbeit schließt, dass strukturelle kausale Überwachung eine skalierbare Grundlage für Sicherheit und Auditing in komplexen LLM-Agenten-Ökosystemen bietet und sich über die Grenzen der lokalisierten semantischen Inspektion hinaus bewegt.