MADBench：多智能体辩论安全性基准测试

研究者发布 MADBench，用于评估多智能体辩论（MAD）的安全性，按 MAD 工作流构建分层攻击分类，纳入既有攻击与针对辩论设计的新策略，在 356 个源任务、3958 个测试用例上评估六类攻击。结果显示，受攻击时 MAD 未必提升 LLM 推理：相比单智能体基线，问答任务中可缓解对答案准确率的攻击，但在问答与工作区任务中都会放大未授权读写。

此前对 MAD 的攻击研究多针对特定攻击类型，缺少跨攻击的系统性评估。MADBench 用统一分类和大规模测试集把问题从“辩论是否提升推理”推进到“辩论在攻击下是否安全”，并给出准确率与未授权读写两类相反结论，改变了把多智能体辩论默认视为稳健的假设。

MAD 依赖智能体互相交换与批评答案来纠错，同一交互通道也可被用来传播对抗错误并引导最终答案。分层分类沿 MAD 工作流布置攻击点，因而能同时观察最终答案变化和影响传播。结果显示攻击对答案准确率的影响与对未授权读写的影响方向不同，说明辩论的纠错机制与信息扩散机制并不一致。

若产品采用多智能体辩论做推理或工具调用，需要分别评估答案准确率和权限边界，不能因问答准确率被缓解就默认整体安全。研发应把未授权读写视为独立风险项，在辩论链路中加入权限校验与影响传播监测，并对多智能体协作场景做对抗测试。

• 在多智能体编排框架中内置辩论环节的对抗测试模块，覆盖授权读写与答案传播两类指标。
• 面向企业工作区类 Agent 产品，为辩论式协作增加细粒度权限控制和越权读写告警。
• 把 MADBench 的分层攻击分类转化为上线前安全评估清单，按角色与交互步骤逐项验证。
• 为多智能体产品提供可观测的辩论日志，标记对抗影响如何在智能体之间传播。

• MADBench 对六类攻击的具体定义与攻击强度设置未在证据中给出。
• 未授权读写放大的具体机制和触发条件尚未说明。
• 实验所用模型、辩论轮数和智能体配置未披露，结论能否外推到其他设置待确认。
• 3/5 智能体合谋时 28.30% 与 3.26% 两项指标的统计口径和任务类型划分需进一步核实。