当本地监视器遗漏组合性危害：诊断多智能体系统中的分布式后门

这篇论文揭示，在多智能体LLM系统中，运行时监视器逐项检查消息、工具调用或步骤，但存在“分布式后门”漏洞：有害负载被分割到多个代理中，每个片段均通过本地检查，组装后却构成攻击。作者形式化了可观察性边界，证明一旦片段在监视视角中表现为良性，任何检测器都无法捕获。实验显示，局部监视器在局部证据消失时丢失信号，仅在看到组装对象后恢复；用良性流量训练的监视器可恢复攻击代码结构（AUROC 0.874）。解码视图门能阻止所有测试攻击，但全轨迹监视器仍需到达暴露负载的表示层才能成功。

此前安全监控假设每个步骤独立检查即可保证整体安全。该研究指出，组合性危害可绕过这种局部安全防护，导致分布式后门攻击不被察觉。这意味着现有监控方案存在根本性空白，必须重新思考多智能体系统的安全设计。

分布式后门利用“局部良性”原理：将有害负载分成多个良性片段，每个片段在监视器视角中与普通流量无异，因此无论检测器多强，只要视角不变就无法识别。只有看到组装后的完整对象（或到达暴露负载的表示层）才能发现攻击。监视器训练于良性数据仍可恢复攻击结构，但需要解码途径。

对于使用多智能体LLM系统的产品，现有运行时监控方案无法检测分布式后门。产品团队需重新设计安全架构，考虑全局视图或组合性检测，否则易被攻击者利用。同时，解码视图门等技术可作为补充防护层，但需确认表示层访问权限。

• 开发基于组装视图的分布式监控工具，在关键汇聚点检查多代理交互的合成结果，以捕获组合性危害。
• 提供解码视图门作为安全插件，要求监控系统能访问负载暴露的表示层，以阻断已知编码族的分布式后门。

• 如何在实际系统中找到负载暴露的表示层，并保证监控效率不被显著降低？
• 解码视图门对不同编码族的泛化能力如何，是否会被更隐蔽的编码绕过？