受限智能体：多智能体AI系统的委托安全机制

一篇来自arXiv的论文提出Agentic Principal Chain (APC)框架，用于多智能体AI系统的委托安全。该框架通过六项授权检查，依据会话状态评估每个请求，并跟踪和限制委托的范围与预算，在模型外部强制执行决策。在包含InjecAgent、AgentDojo和ASB的3,154个实例评估中，APC将AgentDojo的数据外泄从75%-100%降至0%，并阻止了InjecAgent全部544个数据窃取案例。

此前LLM智能体的权限在会话开始时设定且静态不变，每个请求独立评估，不参考先前动作，导致组合攻击和委托滥用难以防范。APC首次引入基于累计会话状态的委托链追踪和组合闭包检查，将安全从模型行为层面提升到授权架构层面，并在基准测试中显著降低数据外泄，为多智能体系统提供可验证的安全方案。

APC通过链式追踪代理间委托的权威，逐级累加限制和预算。每个请求都会与历史动作进行组合检查，防止单独授权但组合起来被禁止的操作。决策在模型外部强制执行，不受模型行为影响。论文证明了Blast Radius Monotonicity和Composition Soundness，后者仅在完全限制集和串行准入条件下成立。这种机制将安全保证从概率性模型行为转向确定性架构约束。

对采用多智能体的产品，APC可作为一种安全层集成，降低提示注入和数据泄露风险，无需修改底层模型。企业可将其用于授权关键操作，如访问云服务或调用工具，减少对模型可靠性的依赖。同时，组合检查可能增加推理延迟，需权衡安全与性能。对安全合规要求高的行业，APC可作为审计日志的基础。

• 在现有Agent平台中集成APC授权检查层，为开发者提供会话级安全API，并支持自定义限制规则。
• 开发基于APC的审计工具，记录委托链和授权决策，帮助企业满足合规要求。
• 针对特定垂直场景（如金融数据访问）推出APC预配置策略包，降低集成门槛。

• APC在非串行请求或开放限制集下的安全性未经验证，实际效果仍需评估。
• 论文未提供性能开销数据，集成APC对推理延迟的影响不明。
• APC是否适用于多模型或异构智能体环境，缺乏证据。
• 论文中Intent binding的具体效果未完整描述，需进一步信息。