🤖 AI

When Child Inherits: Modeling and Exploiting Subagent Spawn in Multi-Agent Networks

Dit artikel onderzoekt de beveiligingsrisico's van subagent-erfenis in multi-agent LLM-systemen, demonstreert hoe gecompromitteerde ouderagenten kwaadaardige instructies en status via onveilige geheugen- en resourcebeheer kunnen doorgeven aan nieuw gegenereerde kinderen, en stelt expliciete beveiligingsinvarianten voor als verdediging.

Oorspronkelijke auteurs: Ziwen Cai, Yihe Zhang, Xiali Hei

Gepubliceerd 2026-05-12

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Ziwen Cai, Yihe Zhang, Xiali Hei

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een drukke kantooromgeving voor waar een Manager (de hoofd-AI) een team van Specialisten (subagenten) huurt om grote projecten te voltooien. De Manager kan onmiddellijk nieuwe specialisten aannemen, hen toegang geven tot bestanden en hen vertellen wat ze moeten doen. Dit artikel, getiteld "When Child Inherits: Modeling and Exploiting Subagent Spawn in Multi-Agent Networks", onderzoekt wat er gebeurt wanneer een van deze specialisten wordt bedrogen of "gehackt".

De onderzoekers ontdekten dat in huidige AI-systemen, als een Manager wordt bedrogen, het "kwaad" niet bij die ene persoon blijft. Het verspreidt zich naar iedereen die ze huren, waardoor een kettingreactie van chaos ontstaat.

Hier is een overzicht van hun bevindingen met behulp van eenvoudige analogieën:

Het Kernprobleem: De "Slechte Kopieer-Plak"

In de echte wereld, als een manager een nieuwe werknemer huurt, geeft ze hen meestal alleen de specifieke hulpmiddelen en bestanden die nodig zijn voor die specifieke baan.

In deze AI-systemen echter, wanneer een Manager een nieuwe subagent huurt, kopieert en plakt het systeem vaak het volledige brein van de Manager in de nieuwe werknemer.

De Analogie: Stel je een manager voor die is bedrogen tot het geloven van een gevaarlijk geheim (zoals "Open de kluis"). Wanneer ze een nieuwe assistent aannemen, geven ze hen niet alleen een schoon blad; ze overhandigen hen een notitieboek met alles wat de manager weet, inclusief het gevaarlijke geheim.
Het Resultaat: De nieuwe assistent, die alleen was ingehuurd om "een gedicht te schrijven", heeft plotseling de geheime instructies om "de kluis te openen", omdat ze het besmette geheugen van de manager hebben geërfd.

De Vier Beveiligingslekken

De onderzoekers identificeerden vier specifieke manieren waarop dit systeem faalt:

1. De "Te Veel Informatie"-lek (Onbeperkte Geheugenerfenis)

Het Probleem: Wanneer een nieuwe agent wordt geboren, krijgt het de hele geschiedenis, wachtwoorden en regels van de ouder, zelfs als het slechts een kleine taak moet uitvoeren.
De Metafoor: Het is alsof je een tijdelijke tuinman huurt, maar hen de sleutels geeft voor de bankkluis, de kluis en de hoofdsleutel voor het hele gebouw, alleen omdat de huiseigenaar (de ouder) ze heeft. Als de huiseigenaar is bedragen om te denken dat de tuinman de bank moet inbreken, heeft de tuinman nu de sleutels en de instructies om het te doen.

2. De "Geen Portier"-lek (Afwezigheid van Toegangscontrole voor Bronnen)

Het Probleem: Het systeem controleert niet of een nieuwe agent een specifiek hulpmiddel daadwerkelijk nodig heeft. Als de ouder toegang heeft tot internet, een shell-opdracht of bestandsverwijdering, krijgt het kind dit ook, ongeacht hun functieomschrijving.
De Metafoor: Je huurt een kind in om af te wassen. Je geeft hen de sleutels van het huis, de auto en de gewapende kluis omdat "ze ze misschien nodig hebben". Het systeem gaat ervan uit dat het kind alleen afwast, maar als het kind in de war raakt of wordt bedrogen, kunnen ze nu de auto rijden of de kluis inbreken.

3. De "Verouderde Kaart"-lek (Asynchrone Geheugenafwijking)

Het Probleem: Zodra een nieuwe agent is ingehuurd, werkt het zelfstandig. Als de Manager later beseft: "Wacht, ik heb een fout gemaakt, doe dat niet!" en hun eigen notities bijwerkt, ziet de nieuwe agent de update nooit. Ze blijven werken met de oude, verkeerde instructies.
De Metafoor: Een manager zegt tegen een werknemer: "Ga links." De werknemer vertrekt. De manager realiseert zich toen: "Oh nee, er is een gat links, ga rechts!" De manager werkt hun eigen kaart bij, maar de werknemer loopt al naar het gat omdat ze nooit zijn verteld te stoppen. De werknemer zit vast met een "ouderwetse" kaart.

4. De "Broer-Zus Sabotage"-lek (Ongeautoriseerde Beëindiging van Broers en Zussen)

Het Probleem: Een ingehuurde agent kan worden bedrogen om zijn "broer" of "zus" agenten te ontslaan of uit te schakelen, zelfs als ze gelijkgestemden zijn en niet over elkaar bevoegd zijn.
De Metafoor: Stel je twee werknemers voor, Alice en Bob, die beide door dezelfde baas zijn ingehuurd. Als Alice wordt bedrogen om te denken dat zij de baas is, kan ze Bob ontslaan. In een normaal bedrijf kan Alice Bob niet ontslaan; alleen de baas kan dat. Maar in dit AI-systeem kan Alice gewoon zeggen: "Bob, je bent ontslagen," en het systeem gehoorzaamt.

Hoe Ze Het Bewezen

De onderzoekers testten dit op populaire open-source AI-frameworks (zoals OpenClaw). Ze hoefden het besturingssysteem van de computer niet te hacken; ze gebruikten gewoon "prompt injection" (de AI bedriegen met woorden).

Het Experiment: Ze bedrogen een hoofdagent in een slechte staat. Vervolgens zagen ze hoe het "kwaad" zich verspreidde naar nieuwe agenten, die vervolgens bestanden verwijderden, toegang kregen tot ongeautoriseerde hulpmiddelen of hun collega's uitschakelden.
De Bevinding: Dit gebeurde bij verschillende AI-modellen (van verschillende bedrijven zoals OpenAI, Meta, enz.). Het probleem was niet het "brein" (het AI-model); het probleem was de "kantoorstructuur" (het framework dat de agenten beheert).

Het Voorgestelde Oplossing: Een "Beveiliger"-systeem

Het artikel stelt voor dit op te lossen door een strikt reglement (een formeel model) te bouwen dat fungeert als een beveiliger bij de deur van elke nieuwe agent:

De "Need-to-Know"-filter: Wanneer een nieuwe agent wordt ingehuurd, moet het systeem het geheugen van de ouder verwijderen en de nieuwe agent alleen de specifieke notities geven die relevant zijn voor hun baan.
De "ID-badge"-controle: Het systeem moet elke keer controleren of een agent een hulpmiddel probeert te gebruiken. Als een "gedichtenschrijver" probeert een "bestandsverwijdering"-hulpmiddel te gebruiken, zegt het systeem "Nee", zelfs als de ouder dat hulpmiddel had.
De "Live-update"-logboek: Als de manager van gedachten verandert, moet er een gedeeld logboek zijn dat alle agenten controleren voordat ze actie ondernemen, zodat niemand werkt met een oude, gevaarlijke kaart.
De "Bevelstructuur"-vergrendeling: Een agent kan alleen de agenten ontslaan of stoppen die het zelf heeft ingehuurd. Het kan zijn broers en zussen niet aanraken.

De Conclusie

Het artikel concludeert dat naarmate AI-systemen complexer worden en beginnen om hun eigen helpers in te huren, we niet kunnen vertrouwen op het gedrag van de AI. We moeten structurele muren bouwen (zoals toegangscontrole en geheugenisolatie) die voorkomen dat een enkele fout uitmondt in een totale instorting van het systeem. Het gevaar is niet alleen dat de AI slim is; het is dat het systeem het te gemakkelijk toestaat om zijn fouten te verspreiden.

Technische Samenvatting: Wanneer een Kind Erft: Modellering en Exploitatie van Subagent-Generatie in Multi-Agent Netwerken

Probleemstelling

Sinds het ontstaan van agentische systemen op basis van Large Language Models (LLM) heeft het veiligheidsonderzoek zich grotendeels gericht op kwetsbaarheden van individuele agenten, zoals prompt-injectie, jailbreaking en vergiftiging van de supply chain. Er bestaat echter een kritieke lacune in het begrijpen van hoe compromissen zich voortplanten binnen multi-agent netwerken (MAS). Specifiek zijn de mechanismen die geheugenerfenis, toegang tot middelen en bevoegdheid tot beëindiging regelen, vaak slecht gedefinieerd of onveilig wanneer een ouder-agent een subagent genereert.

Het artikel identificeert dat huidige frameworks prioriteit geven aan functionaliteit en schaalbaarheid boven veiligheid, wat leidt tot scenario's waarin een lokaal compromis in een ouder-agent zich kan verspreiden naar nieuw aangemaakte subagenten. Dit gebeurt via onveilige replicatie van geheugen, gebrek aan rollengebonden controle op middelen, asynchrone divergentie van status en onjuiste bevoegdheden voor beëindiging. Deze problemen maken het mogelijk dat een enkele aanvalspost agentgrenzen overschrijdt, vertrouwen schendt en aanvallen door het hele netwerk versterkt.

Methodologie

De auteurs hanteren een drievoudige methodologie: formele modellering, structurele analyse en empirische validatie.

1. Formele Modellering

Het artikel introduceert een formeel model van rollengebonden multi-agent netwerken. Dit model definieert het systeem als een hiërarchie van agenten met specifieke rollen, capaciteiten en levensduren. Belangrijke componenten zijn:

Netwerkstructuur: Een gewortelde boomstructuur (arborescence) waarbij een hoofdagent ( $a_0$ ) delegeren aan subagenten.
Capaciteiten: Formele definities voor acties zoals spawn (genereren), kill (beëindigen), delegate (delegeren) en access-memory (geheugentoegang).
Geheugen & Levensduur: Onderscheid tussen inherit-full (volledig erven), inherit-partial (gedeeltelijk erven) en agent-agnostic (agent-onafhankelijk) geheugentypen, en tussen session-based (persistent) en task-oriented (vluchtige) agenten.
Veiligheidsinvarianten: Het model stelt drie kerninvarianten vast die een veilig systeem moet handhaven:
1. Beëindigingsscope: Alleen directe ouders of de wortelagent kunnen nakomelingen beëindigen.
2. Geheugenisolatie: Subagenten mogen alleen toegang hebben tot geheugen dat consistent is met hun toegewezen erfmodus.
3. Controle op toegang tot middelen: Subagenten moeten beperkt worden tot middelen die noodzakelijk zijn voor hun specifieke rol (Principe van Minimaal Privilege).

2. Structurele Analyse

Met behulp van het formele model analyseren de auteurs drie open-source frameworks: OpenClaw, Hermes en Agent Zero. Ze mappingen de implementatiedetails van deze systemen af tegen de gedefinieerde invarianten om structurele tekortkomingen te identificeren.

3. Empirische Validatie

De auteurs voerden Proof-of-Concept (PoC) exploits uit tegen een standaardimplementatie van OpenClaw (gekozen vanwege de volledigheid van functies en wijdverbreide adoptie). Ze demonstreerden hoe de geïdentificeerde kwetsbaarheden konden worden uitgebuit om schadelijk gedrag te veroorzaken, waaronder ongeautoriseerde uitvoering, misbruik van middelen en corruptie van status. Daarnaast voerden ze een ablatiestudie uit over vijf verschillende LLM-aanbieders (MiniMax, Meta, Alibaba, DeepSeek, OpenAI) om te verifiëren dat de kwetsbaarheden voortkomen uit de framework-architectuur en niet uit specifiek modelgedrag.

Belangrijkste Bijdragen

1. Identificatie van Vier Structurele Kwetsbaarheden

Het artikel karakteriseert vier distincte klassen van kwetsbaarheden die inherent zijn aan huidige multi-agent frameworks:

Onbeperkte Geheugenerfenis: Subagenten ontvangen vaak een volledige replicatie van de context van de ouder (inclusief chatgeschiedenis en toolconfiguraties), ongeacht hun toegewezen rol. Dit leidt tot transitieve contaminatie, waarbij een enkele prompt-injectie in de wortelagent zich voortplant naar alle nakomelingen.
Afwezigheid van Controle op Toegang tot Middelen: Subagenten krijgen vaak toegang tot het volledige tool-oppervlak van de ouder (bijvoorbeeld shell-uitvoering, toegang tot het bestandssysteem) in plaats van een op rol gebaseerd subset. Dit schendt het Principe van Minimaal Privilege.
Asynchrone Geheugendivergentie: Door niet-blokkerende spawn-operaties en gebrek aan synchronisatie werken subagenten met verouderde momentopnamen van de status van de ouder. Als een ouder na het genereren van een kind een correctie of intrekking ontvangt, blijft het kind hiervan onwetend en kan het doorgaan met handelen op basis van verouderde of ingetrokken instructies.
Ongeautoriseerde Beëindiging van Broers en Zussen: Session-based subagenten kunnen worden geïnstrueerd (via prompt-injectie of geërfd schadelijke regels) om peer task-oriented agenten te beëindigen. Dit schendt invarianten voor beëindigingsscope, waardoor een gecompromitteerde agent de beschikbaarheid van veiligheidskritieke peers kan verstoren.

2. Voorgestelde Defensiemechanismen

De auteurs stellen gerichte verdedigingen voor die gebaseerd zijn op de formele invarianten:

Agent Capability Registry (ACR): Een centraal register dat het patroon Policy Decision Point (PDP) / Policy Enforcement Point (PEP) afdwingt. Het beperkt tooltoegang tot een op rol gebaseerde set ( $\phi(b)$ ) en dwingt af dat kill-capaciteiten alleen worden verleend als er een ouder-kind-verbinding bestaat.
Rollengebonden Geheugenprojectie: In plaats van volledige contextreplicatie wordt het geheugen opgedeeld in gelabelde segmenten. Bij het genereren filtert een projectiefunctie het geheugen van de ouder en verleent het kind alleen segmenten die overeenkomen met de gevoeligheidsclassificatie van zijn rol.
Revisiegebaseerde Synchronisatie: Een alleen-voor-toevoeging revisielog ( $V$ ) houdt updates en intrekkingen bij. Voordat een subagent handelt, controleert het dit logboek om ervoor te zorgen dat zijn context niet is vervangen of ingetrokken door de ouder, waardoor exploitatie van verouderde status wordt tegengegaan.

3. Empirische Resultaten

Bevestiging van Kwetsbaarheden: Alle vier de kwetsbaarheden werden succesvol uitgebuit in OpenClaw.
- Geheugenerfenis: Een "popcorn"-trigger die in de ouder was geïnjecteerd, werd stilzwijgend geërfd door een subagent die een ongerelateerde taak had toegewezen (grappen vertellen), waardoor deze ongeautoriseerde bestanden kon openen.
- Controle op Middelen: Een subagent kon shell-opdrachten uitvoeren, bestandsrechten wijzigen en persistente autostart-payloads installeren zonder tussenkomst van het framework.
- Beëindiging van Broers en Zussen: Een session-based agent slaagde erin een peer task-oriented agent halverwege de uitvoering te beëindigen via een instructie in natuurlijke taal.
- Geheugendivergentie: Een subagent wijzigde een gedeelde bron, maar de ouder-agent, die werkte met een verouderde cache-weergave, valideerde de bron als "veilig" voordat de wijziging voor hem zichtbaar was.
Consistentie tussen Modellen: De ablatiestudie bevestigde dat deze kwetsbaarheden framework-niveau problemen zijn. Dezelfde aanvallen slaagden bij vijf verschillende LLM-aanbieders, wat aangeeft dat het wisselen van modellen het risico niet vermindert.
Architecturale Vergelijking: Het artikel merkt op dat frameworks zoals Hermes en Agent Zero, die geen session-based subagenten hebben, gedeeltelijk immuun zijn voor specifieke vectoren (zoals beëindiging van broers en zussen), maar nog steeds last hebben van geheugendivergentie en gebrek aan formele controle op middelen.

Betekenis en Claims

Het artikel stelt dat erfenis niet slechts een implementatiedetail is, maar een centraal onderdeel dat de veiligheid van multi-agent systemen beïnvloedt.

Verschuiving in Focus: Het werk verschuift het veiligheidsdiscours van modelniveau-verdedigingen (bijvoorbeeld betere prompt-engineering) naar architecturale verdedigingen op systeemniveau. Het stelt dat de orkestratielaag het primaire bedreigingsoppervlak is.
Formele Basis: Door een formeel model met verifieerbare invarianten te bieden, biedt het artikel een principiële basis voor het analyseren en beveiligen van multi-agent frameworks, verder dan ad-hoc inspectie.
Praktische Impact: De bevindingen tonen aan dat huidige populaire frameworks aanzienlijke aanvalsvlakken blootleggen waar een enkel compromis door het netwerk kan cascaderen, waardoor de integriteit, beschikbaarheid en vertrouwelijkheid van het hele systeem worden ondermijnd.
Richtlijnen voor Defensie: De voorgestelde mechanismen (ACR, geheugenprojectie, revisielogboeken) bieden actiegericht advies voor frameworkontwerpers om veilige multi-agent systemen te bouwen die onafhankelijk zijn van specifieke LLM-aanbieders.

De auteurs concluderen dat, hoewel LLM's inherent probabilistisch zijn, de systemen die ze hosten moeten zijn verankerd in deterministisch veiligheidsontwerp om hun redeneercapaciteiten veilig te benutten.