💻 computer science

LCGuard: Latent Communication Guard for Safe KV Sharing in Multi-Agent Systems

LCGuard 是一个通过应用对抗性训练来转换共享 KV 缓存以保障多智能体大语言模型系统中潜在通信安全的框架，该方法在保留任务相关语义的同时，有效防止了对敏感的智能体特定信息的重建。

原作者： Sadia Asif, Mohammad Mohammadi Amiri, Momin Abbas, Prasanna Sattigeri, Karthikeyan Natesan Ramamurthy

发布于 2026-05-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Sadia Asif, Mohammad Mohammadi Amiri, Momin Abbas, Prasanna Sattigeri, Karthikeyan Natesan Ramamurthy

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一支由专家侦探组成的团队，他们协同合作以侦破一起复杂的案件。在旧的方式中，他们会用 plain English（普通英语）书写便条传递信息。如果侦探 A 写道：“我在银行附近发现了一只红鞋”，侦探 B 读到后便能理解。但如果侦探 A 不小心写道：“我在银行附近发现了一只红鞋，顺便提一下，我的秘密家庭住址是枫树街 123 号”，那么这一秘密便向所有人暴露了。

问题：“思维便条”泄露
最近，这些侦探团队（AI 智能体）开始以一种全新的、超高速的方式传递便条。他们不再书写完整句子，而是传递“思维快照”（称为KV 缓存）。这些快照如同侦探原始、未经过滤的思绪与记忆。它们比纯文本更易于快速共享，且包含更丰富的细节。

然而，其中存在一个隐患。正如人类大脑在思考“红鞋”时仍会保留其秘密家庭住址，这些“思维快照”也秘密地包含了敏感信息（如私人用户数据或机密上下文），而这些是侦探从未打算分享的。由于这些快照复杂且隐蔽，无人能轻易检查其中究竟藏有何种秘密。狡猾的黑客可以窃取这些快照，并利用特殊解码器重构侦探的私人秘密，即便侦探从未用普通英语将其写下。

解决方案：LCGuard（“隐私过滤器”）
该论文提出了LCGuard（潜在通信守卫）。可将 LCGuard 想象为一个智能、无形的过滤器，位于侦探们传递思维快照之前。

转换过程：在侦探 A 将“思维快照”传递给侦探 B 之前，LCGuard 会通过一台特殊机器对其进行处理。
目标：这台机器被训练为同时完成两件事：
- 保留有用信息：确保“红鞋”和“银行”等细节保持清晰，以便侦探 B 仍能破案。
- 扰乱秘密：通过数学方式扭曲或移除隐藏的“家庭住址”细节，使得即便黑客窃取快照，也无法重构秘密。

如何训练它（“猫鼠游戏”）
为了构建这一过滤器，研究人员设计了一场训练游戏：

窃贼（对抗者）：一个计算机程序试图查看经过过滤的快照，并猜测秘密家庭住址。
守卫（LCGuard）：过滤器尝试仅对快照进行适度修改，使窃贼无法成功，同时不破坏完成任务所需的“红鞋”细节。

他们反复进行这场游戏。窃贼的猜测能力不断提升，迫使守卫在隐藏秘密方面变得更加出色。最终，守卫学会了完美的平衡：既保持团队高效，又使秘密无法被恢复。

研究发现
研究人员使用不同 AI 侦探团队在各种谜题（基准测试）上对该系统进行了测试。

无守卫：团队快速且聪明，但“窃贼”能轻易窃取秘密（泄露率高）。
添加噪声（其他方法）：有些方法尝试仅向快照添加静态噪声。这虽能有效隐藏秘密，但也使“红鞋”细节变得模糊，导致团队无法完成谜题。
使用 LCGuard：团队保持快速且聪明（高性能），而“窃贼”几乎每次都无法猜中秘密。

总结
LCGuard 是为直接共享“思维”的 AI 团队提供的一张安全网。它充当隐私过滤器，从共享的思维数据中清除敏感的个人细节，同时保留有用信息的完整性，确保团队能够高效协作，而不会意外暴露私人秘密。

技术摘要：LCGuard

问题陈述

基于大语言模型（LLM）的多智能体系统（MAS）正日益采用通过 Transformer 键值（KV）缓存进行的隐式通信，以提高效率并保留比传统文本交换更丰富的语义结构。然而，这一转变引入了一种关键且未被充分探索的安全漏洞：表示级信息泄露。

与离散、可检查的文本不同，KV 缓存是高维、语义稠密的表示，编码了上下文输入、中间推理状态和注意力结构。当智能体共享这些缓存时，敏感的智能体特定输入（例如用户上下文、私有文档）可能会隐含地嵌入在隐式工件中。本文提出，拥有共享缓存访问权限的 adversaries（通过被攻陷的智能体、日志记录或辅助模型）可以训练解码器，从共享的 KV 表示中重构这些敏感输入。现有的安全机制通常作用于生成的文本输出或工具动作，无法约束通过这些隐式通道传输的内容。

方法论：LCGuard

为此，作者引入了LCGuard（隐式通信守卫），这是一个旨在调节基于 KV 的隐式通信中敏感信息流的框架。

核心概念

LCGuard 将共享的 KV 缓存视为隐式工作内存，并学习在 KV 工件在智能体之间传输之前应用的表示级变换（ $g_{ij}$ ）。其目标是在保留任务相关语义的同时，使智能体特定的敏感输入（ $s_i$ ）变得不可恢复。

威胁模型与泄露定义

本文通过重构将泄露操作化：

Adversary（攻击者）： 一个观察通信工件（ $M_{obs}$ ）并试图使用学习到的解码器（ $D_i$ ）重构敏感输入（ $s_i$ ）的实体。
泄露度量： 泄露通过先验重构损失（在不访问工件的情况下重构 $s_i$ ）与重构损失（在给定工件的情况下重构 $s_i$ ）之间的差距来量化。较小的差距表明泄露成功；较大的差距（接近先验损失）表明隐私得到了保护。

对抗性优化

LCGuard 将安全的隐式通信表述为一个极小极大优化问题：
$\min_{\{\phi_i\}} \max_{\{\psi_i\}} \beta \sum_{i=1}^{N} L^{(i)}_{rec}(M_{obs}) + L_{task}(M)$

Adversary（ $\psi_i$ ）： 被训练以最小化重构损失（ $L_{rec}$ ），试图从变换后的工件中提取敏感信息。
通信函数（ $\phi_i$ ）： 被训练以最大化重构损失（使 $s_i$ 难以恢复），同时最小化任务损失（ $L_{task}$ ）以保留下游效用。
权衡参数（ $\beta$ ）： 控制隐私抑制与任务性能之间的平衡。

该框架支持两种变体：

单智能体 LCGuard： 智能体基于个体通信链路在本地优化变换。
全系统 LCGuard： 对整个系统进行联合优化，以应对组合式泄露，即敏感信息可能在经过多个智能体聚合后重新出现。

主要贡献

攻击面的识别： 本文识别出隐式 KV 通信作为一种新型攻击面，其中共享的工作内存可以隐含地传播敏感信息，这与基于文本的泄露不同。
LCGuard 框架： 提出了一种表示级框架，在传输前对 KV 缓存进行变换以调节信息流。
基于重构的泄露概念： 引入了一种基于从共享表示中恢复智能体特定输入能力的实用泄露定义，超越了表面级的输出约束。
极小极大公式化： 将隐私 - 效用权衡表述为对抗性优化问题，在任务效用与信息暴露之间取得平衡。
实证验证： 通过大量实验证明，LCGuard 在多种模型系列（Qwen3、Gemma-2、LLaMA）和基准测试中实现了良好的隐私 - 效用权衡。

实验结果

作者在包括PrivacyLens、AgentLeak和MAGPIE在内的基准测试上评估了 LCGuard，涵盖了各种模型规模和拓扑结构（顺序、分层和基于图）。

隐私与效用： “原生 KV 共享”（无保护）实现了最高的任务帮助性，但遭受极高的攻击成功率（ASR），通常超过 0.87。相比之下，LCGuard 一致地将 ASR 降低了约65–75%（例如，在 Qwen3-4B 顺序设置中从 0.871 降至 0.216），同时保持了具有竞争力的任务帮助性。
与基线的比较：
- ADAPT（基于噪声）： 实现了低 ASR，但显著降低了任务效用（例如，帮助性降至约 0.28），因为噪声移除了敏感信息和任务相关信息。
- PrivAct（基于策略）： 在输出级指标上提高了隐私分数，但未能降低 ASR，证实了输出级约束无法防止隐式泄露。
- LCGuard： 通过直接变换表示，表现优于两者，实现了最佳平衡。
系统级与本地： “全系统 LCGuard”始终优于“单智能体 LCGuard”，表明泄露并非纯粹本地化，而是通过多跳变换和聚合累积的。系统级优化对于缓解组合式泄露是必要的。
鲁棒性： LCGuard 在不同模型规模（3B 到 14B）和通信拓扑下仍然有效，尽管较大的模型固有地编码了更多可恢复的信息，需要更强的保护。

意义与主张

本文声称 LCGuard 提供了一个原则性框架，用于安全的基于 KV 的隐式通信，解决了现有安全机制无法在表示级约束信息流的空白。

推理时保护： 与训练时防御不同，LCGuard 在推理时运行，调节传输内容而无需更改底层智能体模型的权重。
实用权衡： 该框架证明，可以在不导致任务性能崩溃的情况下显著降低敏感输入的可恢复性，这是基于噪声的方法未能实现的权衡。
未来方向： 作者谦逊地指出，该框架目前假设同构智能体和仅文本的隐式空间。他们建议未来的工作可以将 LCGuard 扩展到异构多智能体系统、多模态智能体和自适应通信策略。

本文结论指出，虽然 LCGuard 降低了实证重构成功率，但它不提供形式化的隐私保证（例如差分隐私），应与访问控制和输出级防护措施一起部署。