技术摘要：CASPIAN——大语言模型多智能体系统中级联攻击的在线检测与归因

1. 问题陈述

大语言模型多智能体系统（LLM-MAS）日益容易受到级联攻击的影响，这是一种区别于孤立提示注入或幻觉的故障模式。在这些攻击中，注入单个智能体的对抗性或错误影响会传播、放大并在多个智能体及交互回合中自我强化。这些级联利用系统的交互结构，可能破坏共享记忆、重定向工具输出，并将智能体同步至集体错误的轨迹。

检测这些攻击的核心挑战在于证据的分布式和耦合性质：

• 跨通道传播：影响同时通过通信、共享记忆、工具 API 和执行元数据传播。仅监控单一通道提供的视图是不完整的。
• 时间累积：影响通过上下文重用逐渐累积。单个智能体在局部可能看似良性，而系统整体却逐渐转向协同故障。
• 现有防御的局限性：当前方法（语义护栏、LLM 裁判、基于图的检测器）主要在孤立消息、静态图或事后追踪上运行。它们无法捕捉级联传播的在线、跨通道、时间协调动态，往往错过早期故障，或需要离线分析从而排除了实时干预的可能性。

2. 方法论：CASPIAN 框架

CASPIAN（级联攻击谱传播与影响归因网络）是一个统一的框架，旨在在线检测和归因级联攻击。它将范式从局部语义检查转变为监控系统内因果影响演变结构。

2.1 统一跨通道因果建模

CASPIAN 将 LLM-MAS 建模为演变的跨通道因果影响张量 $A_t \in \mathbb{R}^{N \times N \times |C|}$，其中 $N$ 是智能体数量，$C = \{comm, mem, tool, exec\}$ 代表交互通道。

• 影响估计：CASPIAN 采用**晚期交互条件传递熵（LI-CTE）**公式，而非计算成本高昂的完整状态分析。该方法通过测量源活动在多大程度上解释了目标当前的行为（以目标自身历史状态为条件），来估计从智能体 $i$ 到 $j$ 在通道 $c$ 上的定向影响 $a_{ij}^{(c)}(t)$。
• 效率：受 ColBERT 式分解的启发，LI-CTE 构建紧凑的源和目标投影，仅引入毫秒级开销，同时捕捉具有历史感知能力的定向依赖关系。
• 张量聚合：特定通道的影响矩阵被归一化并聚合成统一的影响矩阵 $\tilde{A}_t$ 以进行谱分析，同时保留张量结构以进行通道级归因。

2.2 在线谱级联检测

CASPIAN 通过监控演变影响拓扑中的谱跃迁来检测级联。它通过四个关键动态区分瞬态协作活动与自我强化的级联：

1. 放大：主导谱能量（$E_t = \lambda_1(t) + \lambda_2(t)$）的增长。
2. 同步：谱间隙（$g_t = 1 - \lambda_2(t)/\lambda_1(t)$）的收紧，表明耦合传播模式。
3. 跨通道扩散：影响能量在多个通道间的分布，通过归一化香农熵（$H_t^{norm}$）测量。
4. 持久性：这些动态在时间上的持续强化。

检测逻辑：

• WATCH 条件：当放大增长与由主导模式驱动的谱耦合收紧（$\Delta g_t > 0$）同时发生时激活。
• 分类：
  • 单回合级联：如果 WATCH 与相移（突然的结构变化）或跨通道扩散同时发生，且存在可行的传播路径（弱链接检查），则立即检测。
  • 多回合级联：如果 WATCH 在自适应窗口 $W_{tw}$（由逆谱间隙决定）内持续，且包含至少一个结构转换事件，则进行检测。

2.3 在线因果归因

检测后，CASPIAN 利用缓存的影响动态执行在线归因，无需重放或重新计算。它识别：

• 源头：在开始时具有最强流出影响的智能体。
• 放大器：最强烈强化传播的智能体（高流出/流入比）。
• 桥梁：接收并在网络中重新分发影响的智能体。
• 传播主干：按最弱链接强度排名的前 $K$ 条主导路径，以及每条主干的主导交互通道。

3. 主要贡献

1. 统一跨通道因果建模：首个利用高效 LI-CTE 公式，在 LLM-MAS 中联合建模通信、记忆、工具和执行通道间定向智能体间影响的框架。
2. 在线谱检测：一种检测机制，能够从演变的影响动态中识别突发的单回合级联和渐进的多回合级联，无需攻击模板、良性校准轨迹或离线训练。
3. 实时归因：一种归因方案，直接从检测时缓存的影响动态中恢复级联源头、放大器、桥梁和传播路径，从而实现即时干预。

4. 实验结果

CASPIAN 在两个基准测试（TAMAS 和 ACIArena）上进行了评估，涵盖四个 LLM-MAS 框架（AutoGen, CrewAI, MetaGPT, LLM Debate），涉及 727 个场景和 2,908 条执行轨迹。

• 检测性能：CASPIAN 始终优于语义护栏（如 PromptGuard）、基于 LLM 的裁判和基于图的检测器（如 G-Safeguard）。
  • AUROC：在大多数配置中超过 0.90（例如 AutoGen 上为 0.942）。
  • 早期检测（EDR@5）：在 AutoGen 上约 79% 的案例中，在注入后 5 个回合内实现检测，显著优于基线（例如，最佳基于图基线为 0.482，而 CASPIAN 为 0.792）。
  • 鲁棒性：性能在不同攻击类型（意图操纵、执行攻击、协调攻击）和框架拓扑中保持强劲。
• 归因准确性：
  • 源头定位：高准确率（TAMAS AutoGen 上 Acc@1 $\approx$ 0.86）。
  • 桥梁/放大器：恢复稳定，尽管在分布式拓扑中桥梁识别更具挑战性。
  • 路径恢复：主干 Jaccard@3 分数在所有设置中均保持在 0.62 以上。
• 效率：CASPIAN 以低于 1% 的相对开销延迟运行（例如良性轨迹上约为 0.66%），适合在线部署。

5. 意义与主张

该论文主张，统一跨通道因果建模对于可靠检测和理解大语言模型多智能体系统中的级联故障至关重要。与先前在局部推理提示或静态图的方法不同，CASPIAN 解决了级联攻击作为全局传播过程的根本性质。

作者强调的关键要点：

• 结构重组：级联开始的特征是智能体间影响的结构重组（放大、同步、跨通道扩散），而不仅仅是孤立的异常。
• 在线可行性：该框架证明复杂的因果监控可以以可忽略的延迟集成到在线执行中，从而实现实时干预。
• 超越消息检查：监控执行、记忆和工具通道至关重要；仅监控消息无法捕捉具有持久记忆或工具访问权限系统中的传播信号。
• 可解释性：归因能力提供了故障的轨迹条件分解，支持安全审计和智能体协调动态分析。

该工作得出结论：结构因果监控为复杂 LLM 智能体生态系统的安全和审计提供了可扩展的基础，超越了局部语义检查的局限性。