MIRROR：面向多智能体通信的法定人数完整性防御

核心问题是：第三方中介可在不攻破智能体的情况下，篡改 LLM 多智能体传输中的消息。

• 场景：作者称跨组织部署的 LLM-MAS 靠自然语言协作，通信层却基本无防护。无防护 AutoGen 链在代码生成上的 ASR 为 100%（附录 D）。
• 现有不足：语义校验要额外推理，并可能拦截良性输出。TLS 挡不住合法终结会话、因而能改明文的网关或 broker；端到端签名能处理该缺口，但要在框架内管理私钥，作者认为不适合易泄漏上下文的去中心化组件。
• 核心假设：无密钥摘要不是消息认证码，在途对手改写后重算摘要，本地不会发现。完整性只来自诚实路径占多数；路径相关时，决定量是最大共享故障组的规模，不是路径条数。
• 提出的原语：MIRROR，通信层的 multipath quorum integrity。它把一条规范化载荷复制到多条逻辑路径，仅当严格多数报告同一摘要时接受。作者称不声称法定人数机制有算法新意，贡献是面向 LLM-MAS 的界定与评测。
• 威胁模型：
  • 受害系统：经第三方 API 网关或 broker 交换不透明自然语言载荷、且中介合法终结 TLS 的 LLM-MAS。
  • 目标与能力：采用 AiTM 模型。所控路径上可读、改、丢、延迟、重放，可重算无密钥摘要并跨路径协同；知道协议、规范化规则和哈希函数。
  • 做不到的事：不能读写未控路径，不能打破第二原像抵抗。端点假定诚实；发送或接收方被攻破则无保护，也不能替代提示注入防御。
  • 数量界限：至多控制 c/k=α 的路径。路径共享基础设施时，第 3.4 节改为：被攻陷共享故障组的路径数之和小于 k/2。

• LLM-MAS 与通信攻击
  • 框架假定：AutoGen（Wu 等，2023）、CAMEL（Li 等，2023）、MetaGPT（Hong 等，2024）做多智能体协作；作者称它们大体假定智能体间通信可信。
  • 端点侧防御：红队（Perez 等，2022），以及论文归入辩论和 LLM-as-a-judge 的语义校验（Xiong 等，2023；Amayuelas 等，2024）。作者称这些防御要额外推理，且不保护通信层免受 AiTM（He 等，2025）。
• 系统层替代
  • 多路径传输：Nguyen 等（2017）的 Multipath TLS 与基于 MPTCP 的防御提高网络层拦截门槛；作者称中介终结会话时无效。
  • 签名与日志：端到端签名在单条路径上检测篡改，不需要多数，代价是跨独立框架的 PKI 配置、存储和轮换。作者称已有 PKI 时签名是更好的选择；broker 强制校验和见证日志把信任移到日志或证明服务，而不是去掉可信中介。
• 法定人数与 BFT
  • 经典机制：Lamport 等（1982）与 Castro、Liskov（1999）的法定人数完整性和实用 BFT。作者称 MIRROR 在机制上不声称新意。
  • LLM 上的改编：Zheng 等（2025）用语义推理把 BFT 思路用于 LLM；作者称这依赖语义解释，因而有相应的成本与脆弱性。Skowyra 与 Jero（2020）的 Moving Target Defense 与利用路径多样性的直觉相同。
• 基线与基准：无防护（定义为 k=1）和 LLM-as-a-Judge；数据集为 MMLU、HumanEval、MBPP，框架为 AutoGen、CAMEL、MetaGPT。

作者将 MIRROR 放在 TLS 与签名之间：对合法终结 TLS 的中介强于只靠传输加密，保证弱于签名，且无密钥管理、无可信第三方。Table 1 把问题与经典 BFT 分开：对象是网络中介而非副本，只保证单次消息字节，不防护坏端点，阈值是 c < k/2 而不是异步设置下的 f < n/3。

MIRROR 在生成完成后复制同一条规范化字节，接收方只在摘要达到严格多数时接受并恢复载荷。安全不来自无密钥哈希。

设定与路径

• 不透明载荷：智能体交换自然语言消息，每条是不透明载荷，MIRROR 不解释内容。逻辑路径由发送适配器选定，可以是不同 API 网关、broker、网络路径或区域，不是硬件源路由。发往 k 条路径就是经 k 个分别寻址的通道各传一次。
• 端点与新鲜性：假定诚实端点。被攻破的发送方会把自选载荷规范化并复制到每一条路径。作者把单调序号和时间戳放进规范化字节串，使重放对不上当前轮的法定人数；这被当作规范化规则，不另改表决。

复制、摘要与接受

• 路径分工：k=2t+1 取奇数。t+1 条全载荷路径发送 (m, H(m))，t 条见证路径只发送 H(m)。哈希为 SHA-256。
• 接受规则：接收方汇总全部 k 个槽位上的摘要，超时未送达记为无摘要。仅当 C(H^∗)>k/2 时接受，并从任一摘要等于 H* 的全载荷路径恢复 m，否则拒绝。C 是最常见摘要的频次，分母是 k 而不是实际回复数，因此延迟或扣留不能挪动阈值。偏离多数的路径被标记。
• 摘要不做认证：它无密钥、无秘密。作用只有两个：见证路径携带固定 32 字节，带宽是 t+1 份载荷加 t 份定长见证；诚实多数固定 H* 后，对抗的全载荷路径不能交出另一个载荷并被接受，因为那要求摘要碰撞到这个指定目标。所需假设是第二原像抵抗，不是抗碰撞。

完整性、相关与可用性

• Theorem 1：在诚实路径发送相同规范化字节和摘要、H 第二原像抵抗、端点诚实、且 c<k/2 时，篡改载荷除可忽略概率外不被接受；一旦达到法定人数，从匹配的全载荷路径恢复 m，不再查询 LLM。c≥k/2 时对手可以控制法定人数，两条性质都不成立。恢复还用到 c≤t，从而 t+1 条全载荷路径里至少一条诚实。附录 A 给出完整论证；密码学只进入第二原像那一支，其余是计数。
• Proposition 1：把路径分成 g 个共享故障组。对攻陷组集合 S，Theorem 1 成立当且仅当这些组的路径数之和小于 k/2；只攻陷一个组时，化为最大组规模小于 k/2。作者给出的部署规则是：任一提供商、区域或管理域不得承载多数路径。例如 k=5 全经一个提供商则没有保证；同一五条分成 (2, 2, 1) 可容忍任一单个提供商被攻陷。作者称这是重述假设，隐藏的共同基础设施会在无预警下合并分组。
• Corollary 1：令 ceff=c+f，f 为独立故障的路径数。ceff<k/2 时，注入不同摘要、丢弃或延迟都不能阻止诚实消息被接受。作者称完整性与可用性在同一阈值失效，不以彼此交换；普通抖动占用和攻击相同的余量，选 k 时两者都要计入。

实现边界与 BFT 对照

• 生成一次：每条消息只查询 LLM 一次。复制发生在生成之后的固定字节上，不要求确定性解码；实验中的 temperature 0 只是评测控制。
• 路径退役：实现会退役与法定人数不一致的路径，并在后续消息中替换。作者称这不进入按消息、单轮的 Theorem 1，且不对其作安全声称。
• Table 1：故障部件是网络中介不是副本；对象是消息字节不是程序状态；单次而非多轮；不要求副本执行确定性；不防护坏端点（经典 BFT 在 f<n/3 时防护）；阈值 c<k/2 对比异步 BFT 的 f<n/3；密码假设是第二原像抵抗，不是签名或 PKI。作者称更弱的阈值对应更弱的问题：只需对付篡改中介，不需对付 equivocating 的端点。

实验设置

• 模型与框架：AutoGen、CAMEL、MetaGPT，默认配置。本地模型为 Gemma-4-31B-it，经 API 的模型为 Gemini 2.5 Pro。RQ1 用 AutoGen，RQ3 用 MetaGPT，二者都是三智能体 Chain；RQ2 在 AutoGen 与 CAMEL 上扫描拓扑。Table 2 表内未写模型名。
• 数据：MMLU STEM 707 例，HumanEval 164 题，MBPP 测试任务 427。对全文划分做穷尽单次遍历。
• MIRROR 与解码：所报告的 MIRROR 均为 k=5、SHA-256；无防护基线按定义是 k=1。解码 temperature 0.0、top-p 1.0、最多 1024 token，路径选择用固定种子。作者称确定性解码只为去掉生成方差。路径是共享同一后端的并行隔离 API 请求，对应 Proposition 1 的 g=1。
• 对手：静态，受控集合在一次运行中固定且不再重新获取，并启用路径轮换；篡改被检出后该路径离开对手控制。攻击按 He 等（2025）的已发表描述重实现，含基于反思的对抗智能体；附录 B 给出提示词。目标是 MMLU 标签偏移 +4 个位置，以及在代码任务中注入恶意函数。对手确定性改写，并在全部受控路径发出相同载荷。作者称这是法定人数防御的最坏情形，绝对基线幅度只作参考。
• 指标：ASR 是最终输出因操纵而不正确的任务比例；另有相对 token 消耗，以及 Judge 的 FPR。论文未写明 LLM-as-a-Judge 所用模型，也未写明“不正确”的判定程序。
• 算力：一块 NVIDIA A100 80GB；每个 API 配置约一小时。

主结果

前六行据 Table 2，为四拓扑的均值±标准差（无 ± 者在 Table 3 中各拓扑相同），单位为 %；表内未写模型。末两行据第 4.4 节，为 MetaGPT、Gemini 2.5 Pro、三智能体 Chain。

Swipe horizontally to read the table

设置	无防护	Judge ASR	Judge FPR	MIRROR
MMLU / AutoGen	60.0±24.9	0.4	0.0	0.0
MMLU / CAMEL	30.2±35.8	0.0	10.2	0.0
MBPP / AutoGen	100.0	0.0	0.0	0.0
MBPP / CAMEL	27.5±15.5	0.0	44.2	0.0
HumanEval / AutoGen	100.0	0.0	0.0	0.0
HumanEval / CAMEL	37.0±13.9	0.0	40.9	0.0
HumanEval / MetaGPT	90	未报告	未报告	0
MBPP / MetaGPT	100	未报告	未报告	0

• 作者称无防护幅度随框架和拓扑变化很大，且相对拓扑非单调，因此不能从通信结构推断鲁棒性。
• 作者称 Judge 把 ASR 降到接近 0，但低 ASR 有一部分来自保守的过度拦截，而不是忠实恢复。Table 2 里并非每行 Judge ASR 都是 0.0，MMLU/AutoGen 为 0.4。摘要中的 up to 44.2% 指拓扑扫描里被挡住的良性输出。
• 作者称 MIRROR 在各已报告配置上一致，并将其归因于在语义层之下操作。Figure 3a 图注称 Judge 在 MetaGPT 上部分缓解，正文未给出该设置的 Judge ASR。

阈值扫描

• 测的是 MBPP、AutoGen、k=5、c∈{1,…,5}（Figure 2，第 4.2 节）。图注横轴为 Compromised Channels (α)，纵轴为 ASR (%)，虚线标理论阈值 α=0.5；横轴文字含 0.2、0.4、0.5、0.6、0.8、1.0。
• 第 4.2 节称 α<0.5 时 ASR 为 0%，α≥0.5 时转到 100%，并称 Figure 2 是阶跃。
• 作者称这是 Theorem 1 的预期行为，不是独立发现；作用是检查实现是否正好在预测阈值切换，而不是更早变差。低于阈值的 0% 被归因于法定人数本身，与路径轮换无关。路径仍是 g=1，作者称该实验检验机制，不检验路径独立假设。

分拓扑

• Table 3 无防护 MMLU：AutoGen 为 Chain 20.1、Tree 57.9、Complete 83.7、Random 78.2；CAMEL 为 89.8、1.4、26.6、3.1。
• 代码任务无防护：AutoGen 的 MBPP 与 HumanEval 四拓扑均为 100.0；CAMEL 的 MBPP 为 54.1、16.4、21.5、17.8，HumanEval 为 59.1、37.8、22.0、29.0，顺序同为 Chain、Tree、Complete、Random。
• MIRROR 在 Table 3 每个拓扑为 0.0。Table 2 注写 MMLU/CAMEL 无防护跨度是 1.4–89.8。作者称不能由结构推断鲁棒性。

部署向成本

• RQ3 使用生产 API 和 MetaGPT，但路径仍是逻辑实例。作者因此称为 deployment-oriented，而不是 in-the-wild。
• Figure 3b：MIRROR 的相对 LLM token 为基线的 1×，LLM-as-a-Judge 为 35×。作者称接收方只处理一条已通过法定人数的字符串，不做中间 LLM 评估；代价是 O(k) 的网络载荷复制和额外延迟，属于带宽而不是推理，且不随模型规模增长。
• 论文未在 Figure 3 图注中给出 Judge 的 ASR 数字，只称部分缓解。

其他消融与分析

• 路径轮换不改变所报告数字；作者称未用它去测它所针对的自适应对手（第 4.1 节）。
• 受控路径发送相同载荷；作者称分票只会削弱攻击（第 4.1 节）。
• 附录 C：α<1.0 时受控路径在固定种子下均匀随机选取，例子为 42；对抗载荷同样 temperature 0.0、top-p 1.0、最多 1024 token。
• 附录 D / Figure 4：k=1、α=1、Gemma-4-31B-it、AutoGen；图注称代码任务 ASR approaches 100%，引言称该无防护链上代码生成为 100%。
• 负面情形：α≥0.5 时作者报告 ASR 为 100%，此时 Theorem 1 称完整性和恢复都不成立；CAMEL 的 Tree/MMLU 无防护 ASR 为 1.4（Table 3）。

作者指出的局限与后续方向

• 轮换：路径轮换针对的持久对手，作者所知尚未在 LLM-MAS 上被演示，且与 Proposition 1 紧张：替换路径须落在被攻陷组之外。它也和良性故障纠缠，暂时失败的诚实路径当时与对抗路径无法区分，抖动会退役健康路径。何时能恢复多数条件留作未来工作（第 5 节）。
• 退役即攻击面：不能读写诚实路径的对手仍可能只靠延迟让其超时退役，从而在不增加被控路径时跨过 α=0.5。作者还写了一条更严规则：仅当某路径与另一路径报告同一非多数摘要时才退役。两种规则都未对自适应对手评测（第 5 节）。
• 路径独立：作者称这是约束性假设。Proposition 1 把它写成可审计形式，但没有消掉它。评测运行在 g=1，因此没有检验该假设。名义上不同的提供商是否真独立，作者未回答（第 5 节）。
• 规范化与端点：需要精确的字节级规范化，诚实路径之间的分歧会表现为虚假的法定人数失败。假定诚实端点，对被攻破智能体或提示注入没有保护（第 5 节）。
• 未做的比较与测量：未与 broker 强制校验、见证日志或端到端签名做实证比较，这些在第 6 节只作定性讨论。基线 ASR 依赖 AiTM 重实现。未评测针对规范化逻辑的自适应对手，作者认为这是最有希望的攻击面。未测 wall-clock 延迟，也未测良性法定人数失败率；作者称后者在 g=1 时按构造为 0（第 5 节）。
• 双用途与开放问题：同一机制也可能使恶意多智能体系统更难被检查或干预；作者称这是完整性机制共有的双用途性质（第 5 节）。结论把测量真实部署能否提供独立失效的路径视为最重要的开放问题（第 7 节）。

实验覆盖范围

• 被测模型为 Gemma-4-31B-it 与 Gemini 2.5 Pro；框架为 AutoGen、CAMEL、MetaGPT（第 4.1 节）。
• 数据为 MMLU STEM 707 例、HumanEval 164 题、MBPP 测试 427 题；拓扑为 Chain、Tree、Complete、Random；MIRROR 为 k=5、SHA-256，结果是全文划分上的单次遍历（第 4.1 节，Table 2，Table 3）。
• 阈值扫描为 MBPP、AutoGen、k=5、c∈{1,…,5}；对手为静态，受控路径发出相同载荷（第 4.1–4.2 节，Figure 2）。
• 语义对照为 LLM-as-a-Judge，Table 2 给出 ASR 与 FPR；MetaGPT 实验给出相对 token（Figure 3）。路径在共享后端上逻辑实例化，作者写明对应 g=1（第 4.1 节）。
• 论文未报告 LLM-as-a-Judge 的模型名称，以及 ASR 中“不正确”的判定程序。第 5 节写明未评测自适应对手和 wall-clock 延迟，也未与签名、见证日志或 broker 强制校验做实证比较。

MIRROR 是 LLM 多智能体通信层上的多路径法定人数完整性原语，只处理不透明字节，不解释消息内容。

要处理的是 Agent-in-the-Middle：中介合法终结 TLS 后可改在途消息，而语义校验有推理开销和误拦，签名又要求私钥管理。

做法是生成结束后复制同一规范化载荷。k 为奇数时，多数路径带全文和 SHA-256，其余只带摘要；最常见摘要超过 k/2 个槽位才接受。无密钥摘要不认证，安全来自诚实路径占多数；路径相关时看最大共享故障组是否小于 k/2。低于该阈值时，作者给出的可用性推论称丢弃或拒绝法定人数也不能挡住诚实流量。

结果上，MBPP、AutoGen、k=5 时，α<0.5 的 ASR 为 0%，α≥0.5 为 100%（第 4.2 节）。Table 2 中两框架三数据集上 MIRROR 为 0.0%，无防护的 AutoGen 代码任务为 100.0，Judge 在 MBPP/CAMEL 的 FPR 为 44.2。MetaGPT 配 Gemini 2.5 Pro 时，无防护 HumanEval 为 90%、MBPP 为 100%，MIRROR 为 0%；相对 LLM token 为 1×，Judge 为 35×（第 4.4 节、Figure 3）。

作者的结论是：完整性不来自摘要本身，而来自可在配置时核对的诚实多数路由；他们把测量真实部署能否提供独立失效路径视为最重要的开放问题。