技术摘要：MESA —— 为保障多智能体系统安全，优先处理脆弱的通信通道

1. 问题陈述

基于大语言模型（LLM）的多智能体系统（MAS）正越来越多地被部署于医疗咨询、软件开发和客户服务等高风险领域，以实现复杂的分布式工作流自动化。虽然这些系统利用智能体间的通信通道来实现协作，但这些通道也引入了新的、尚未被充分理解的攻击面。现有的防御措施通常将所有通信通道视为同等重要，或者依赖于观察到攻击后的反应式措施。

本文解决的核心问题是 MAS 内部脆弱性的非均匀分布。作者观察到，破坏特定通信通道（边）所产生的影响具有高度集中性；单个被破坏的通道可能导致高达 75% 的总攻击成功率。然而，防御者缺乏一种通用的模型，能够在攻击发生前预测哪些边是最关键的。由于缺乏此类模型，安全资源（如监控、红队测试、加固）无法得到高效分配，导致系统在冗余区域过度保护，而在关键区域保护不足。

2. 方法论：MESA 框架

本文引入了 MESA（MAS 边显著性分析），这是一个旨在主动对通信边进行安全性关键度排序的无标签框架。MESA 在离线状态下运行，仅需要系统的通信图和干净的执行轨迹，无需历史攻击数据。

2.1 建模

MAS 被建模为一个有向图 $G = (V, E)$，其中节点代表 LLM 智能体，有向边代表通信通道。目标是构建一个边评分函数，用以量化一条边的预期安全影响。

2.2 特征提取

MESA 聚合了八个源自图论和显著性分析的特征：

• 六个静态特征（图结构相关）： 这些特征捕捉拓扑结构的固有属性，与具体任务无关。
  • 流量集中度（正号）： 边介数（Edge Betweenness, $Betw$）、信息瓶颈（Information Bottleneck, $IB$）和桥接指标（Bridge Indicator, $Br$）。这些指标衡量一条边承载了多少流量，或其移除是否会导致图断开。
  • 端点冗余度（负号）： 端点中心度（Endpoint Centrality, $EC$）、源出度（Source Out-Degree, $SrcD$）和目标入度（Target In-Degree, $TgtD$）。这些指标衡量发送者和接收者的冗余度，较高的连通性意味着单条边的脆弱性较低。
• 两个动态特征（任务依赖型探测）： 这些指标衡量系统在执行过程中对特定通道的依赖程度。
  • 通道消融 ($\Delta_{abl}$)： 衡量完全移除一条边时任务准确率的下降程度。
  • 消息掩码 ($\Delta_{mask}$)： 衡量在保留该边但将其内容替换为符合角色设定且不含信息的填充物时，准确率的下降程度。这区分了结构依赖与内容依赖。

2.3 评分

MESA 分数通过对每个特征进行归一化，并根据其预期的符号（对于脆弱性指标为正，对于冗余度指标为负）进行聚合来计算：
$$MESA(e) = \sum_{i=1}^{8} s_i \cdot \tilde{r}_i(e)$$
该分数允许防御者在离线状态下对边进行排序，并优先处理排名前列的子集进行防御。

3. 实验评估

作者在以下综合测试平台上评估了 MESA：

• 场景： 客户服务（异构-非对称）、软件工程（异构-对称）以及同质辩论。
• 拓扑结构： 六种典型拓扑（中心型 Hub、链式 Chain、层级型 Hierarchy、环形 Ring、网状 Mesh、混合型 Hybrid）以及两类随机图族（Erdős–Rényi、Barabási–Albert）。
• 模型： 五种参数规模从 8B 到 27B 的开源 LLM（Qwen-3.5, Gemma-4, Llama-3.1）。
• 攻击模型： 一个动态误导信息注入流水线，其中攻击者拦截并重写受损边上的消息，以翻转系统的输出（例如，批准一笔欺诈性退款）。

关键指标

• 排名忠实度（Rank Fidelity）： MESA 分数与经验性的每边攻击成功率（ASR）之间的 Spearman 相关系数 ($\rho$)。
• 防御覆盖率（Defense Coverage）： 通过防御排名前 $k$ 的边时，拦截成功的攻击比例。

4. 关键结果

4.1 脆弱性集中性

初步分析证实，脆弱性具有高度非均匀性。在客户服务场景中，攻击排名前 20% 的边（按 ASR 排序）产生了 59% 的总攻击成功率，而均匀分布则预测仅为 20%。稀疏且具有瓶颈特征的拓扑结构（如 Chain、Ring）被发现比稠密拓扑结构（如 Mesh）更易受到攻击。

4.2 预测效能

• 相关性： MESA 分数与经验 ASR 显示出强相关性。各场景下的平均 Spearman $\rho$ 为 +0.60，在特定配置下（如客户服务场景中的 Gemma-4-E4B）达到峰值 +0.73。
• 特征贡献： 静态特征和动态特征均提供了独特的信号。PCA 分析显示，静态特征主要加载在第一主成分上（52% 方差），而动态特征加载在第二主成分上（21% 方差），证实了它们的互补性质。
• 泛化能力： MESA 成功迁移到了 LangGraph 工作流，保持了与经验 ASR 较强的相关性（$\rho \approx +0.71$ 至 $+0.86$），证明了其超越作者自定义框架的可移植性。

4.3 防御分配

• 效率： 防御由 MESA 排序的前 10% 的边，拦截的成功攻击次数约为随机选择相同预算边的 3 倍。
• 成本效益： “20%-引导”策略（仅对排名前 20% 的静态排序边进行动态探测）保留了大部分全量探测带来的收益，同时将动态分析的成本降低了 5 倍。
• 自适应攻击： 针对“灰盒”攻击者（已知拓扑但不知防御策略），M_ESA 引导的防御非常有效。然而，针对“白盒”自适应攻击者（已知防御策略），确定性的前 $k$ 防御变得脆弱。作者发现，从前 MESA 评分池中随机化选择受保护的边提供了最佳平衡，在减少约 10.5% 的自适应攻击成功率的同时，仅损失了约 3.6% 的灰盒攻击拦截率。

4.4 局限性

• 同质设置： MESA 在所有智能体角色和输入都相同的同质辩论场景中预测性较弱，因为边级别的脆弱性变得更加均匀且具有噪声。
• 暴露感知： 当限制在“可达”边（例如，通过用户输入而非内部中间人攻击访问的边）时，绝对增益虽较小但依然存在，这证实了 MESA 在现实威胁模型中的效用。

5. 重要性与贡献

本文将 MESA 定位为迈向多智能体系统主动、边级别防御的基础性一步。其主要贡献包括：

1. 一种新颖的度量标准： MESA 是首个结合图论和显著性特征，通过离线、无标签方式对通信边进行安全性关键度排序的方法。
2. 实证验证： 它证明了 MAS 中的攻击影响集中在极小部分的边上，验证了“并非所有通道都同等关键”的假设。
3. 可操作的防御策略： 它为系统运营者提供了一种实际机制，使其能够将有限的安全预算（如监控、红队测试）分配给最具影响力的通道，从而实现比随机分配高得多的防御覆盖率。
4. 可移植性： 该框架在多种不同的 LLM、拓扑结构以及生产就绪的框架（如 LangGraph）之间具有良好的泛化能力。

作者总结道，保障 MAS 的安全需要超越统一保护或智能体级加固。相反，防御者必须识别并优先处理那些一旦被破坏，最有可能改变系统决策的特定通信通道。MESA 提供了一种分析工具，使人们能够在攻击发生前的离线阶段做出这些优先级决策。