WebWeaver：以隐蔽的上下文推断攻破 LLM 多智能体系统拓扑机密性

如何在只攻陷单个任意智能体、且不直接查询ID的条件下，恢复LLM-MAS的完整通信拓扑。

• 为何重要：作者称通信拓扑影响LLM-MAS的效用与安全，且没有普遍最优拓扑，因此是高价值知识产权（Figure 1，引Yu et al., 2024; Yang et al., 2025）。作者还称，知道该结构的对手能比不掌握结构的策略发动更复杂的攻击（Shahroz et al., 2025; Wang et al., 2025b）。
• 已有做法的缺口：先前推断假定攻击者控制负责发起系统的管理智能体，并用越狱直接查询邻居身份。作者称这一假设在不同主体各自运行智能体的协作中不现实，且基于关键词的防御就能挡住身份查询。
• 本文的假设：更合理的是只攻陷任意一个智能体，并从协作上下文而不是ID推断拓扑。越狱失败时，问题退化为零样本、NP-hard的图补全（Fang et al., 2025）。
• 提出的框架：作者提出WebWeaver，并称它是首个只攻陷单个任意智能体、不需管理权限、也不靠越狱直接抽取邻居ID就能恢复完整拓扑的框架。同时构建带拓扑、智能体提示词和收发标签的对话数据，作者计划近期发布。
• 威胁模型：
  • 目标：推断目标LLM-MAS的通信拓扑，以取得所有者的知识产权，并便于对其他智能体发动更强下游攻击、接触其私有数据。
  • 知识：知道哪些智能体参与目标系统；可用自己控制的另一套LLM-MAS收集智能体间对话。论文以高校分域协作为例。
  • 能力：控制目标系统中一个任意智能体，并可向相邻智能体主动要上下文。作者把这解释为设备分离、异步或短时断线下的重传。文本写被攻陷数满足1≤k≤N2，实验一律k=1。假定没有孤立智能体。
  • 访问：对受害智能体没有white-box访问。后缀优化的梯度在本地代理LLM上计算后再迁移；论文未给出该代理模型的名称。

论文把相关工作放在拓扑作用、三类安全问题和图补全上，并点名批评直接查身份与控制发起者。

LLM-MAS与拓扑

• 协作系统：Lu et al. (2024)、Schmidgall et al. (2025)、Gottweis et al. (2025)、Hong et al. (2023)、Kim et al. (2025)、Guan et al. (2025)研究由大模型智能体经通信拓扑协作的系统，覆盖科学与工业任务。
• 拓扑与表现：Yu et al. (2024)、Zhang et al. (2024)、Yang et al. (2025)、Cemri et al. (2025)讨论拓扑对效用与安全的影响，以及结构问题带来的失败。引言还引Zhang et al. (2025)，称相同成员下拓扑变化仍会造成效用与安全差别。作者称优化拓扑是有价值资产，但其机密性仍基本未被研究。
• 结构知识的下游用途：Shahroz et al. (2025)与Wang et al. (2025b)被引为掌握结构后可以发动强于不掌握结构的攻击。论文只作这一描述，未展开这些攻击的做法。

LLM-MAS安全的三类工作

• 可用性与行为安全：Zhou et al. (2025)、Zhang et al. (2024)、Chen et al. (2024)研究拒绝服务、心理操纵，以及保护智能体行为与通信的防御。论文将它们归为前两类，未与WebWeaver做实验对比。
• 拓扑机密性：Wang et al. (2025a)把拓扑泄露视为知识产权问题。论文点名批评：现有做法依赖越狱直接查询身份，并假定控制发起系统的智能体，这在协作场景中很少成立。

图补全

• CZRL：Fang et al. (2025)的对比式零样本关系学习，用于知识图谱补全。论文称越狱失败后的拓扑推断属于这类零样本、NP-hard图补全，并采用该方法作基线。

基线与数据

• 基线方法：IP Leakage（Wang et al., 2025a），即论文所称与任务直接相关的唯一基线；CZRL（Fang et al., 2025）。对CZRL，论文假定攻击者能经越狱取得其他智能体对话，并用对话学习节点文本嵌入。
• 基准：CSQA（Talmor et al., 2019）、GSM8k（Cobbe et al., 2021）、Fact与Bias（Yu et al., 2024）。

作者把本文放在第三类，主张在单智能体、基于上下文而非ID的威胁模型下做推断，并称不需要管理权限，也不靠直接抽取邻居ID。

WebWeaver先在已知拓扑上离线收集对话并训练发送者预测器，再只利用被攻陷智能体收到的对话恢复局部邻接；越狱成功则递归扩展，失败则用带掩码的DDPM补全全图（Figure 2）。

问题设定

• 图表示：无向图G=(V,E)，对称邻接矩阵A属于{0,1}的N×N。二值掩码M中，Mij=1表示i与j的关系已观测。观测拓扑为Aobs=Agt⊙M，目标是补出(1−M)⊙Agt中的缺失项。
• 攻陷范围：文本写1≤k≤N2，实验取k=1。假定系统没有孤立智能体。已知子图来自Figure 2的Step 2与Step 3。
• 两条路径：越狱成功记为Y，失败记为N。与扩散模块合用时，论文称只需Step 1和Step 2，不再对目标系统做越狱。

越狱模块

• 离线预测器：从攻击者自控环境被动收集对话历史H，条目含消息内容与发送者身份。Sθ最大化Pθ(sender=s|m)，只按内容识别发送者。附录A.3写其特征为句向量或TF-IDF、文体统计，以及轮次、接收者身份和接收者是否为hub；分类器是Gradient Boosting与Logistic Regression的集成。
• 局部邻接：被攻陷智能体AC把收到的消息mi送入Sθ，取argmax得到发送者，聚合为局部邻接Aobs。
• 递归与回退：向AC注入传播提示，让邻居回传不含发送者索引的对话，并把同一指令继续传给各自邻居。若安全过滤拒绝，则在本地代理LLM上用GCG优化后缀再迁移。论文未给出代理模型名称、迭代次数、top-k和后缀长度。附录Algorithm 1汇总该流程；附录A.2的角色提示词是可扩展性测试用的，不是该攻击提示词。
• 优化目标：论文把后缀优化写成最小化顺从式目标回复的负对数似然：min L(δ)=−∑_t=1^|P|log p(y_t|x_prop⊕δ)。其中xprop为传播提示，δ为后缀，⊕为拼接。

无越狱扩散模块

• 用途：优化后的越狱仍失败时，用已收集的拓扑与对话训练DDPM，把部分观测图当作待去噪输入。作者称该版本对目标系统没有额外计算开销。
• 生成过程：x0=Agt。前向按方差日程β1到βT加高斯噪声，反向用噪声预测网络去噪。论文给出采样式，但未给出β的取值和T的数值。
• 掩码修复：作者称标准无条件采样会破坏已知子图。每个反向步先得到模型预测，再按该步噪声水平采样已知部分，然后融合为x_{t-1}=(1-M)\odot x^{pred}_{t-1}+M\odot x^{obs}_{t-1}。已知区域沿Aobs的噪声轨迹，未知区域由模型填补。Algorithm 2在T步后对x0取阈值得到拓扑。

正确性与在线顺序

• 定理：附录A.1的Theorem 1称，若学到的score准确，Manifold-Constrained Fusion在离散步数T趋于无穷时，样本收敛到条件后验p(xu|xo)。论证把score按掩码子空间分解，并把融合步视为该条件分布的Euler–Maruyama离散化。
• 在线顺序：收集对话、训练预测器、取出AC收到的对话、预测直接邻居；越狱成功则迭代到没有新智能体，失败则做掩码补全。作者称实践中先跑越狱模块，多轮后缀优化仍失败再退回无越狱模块。论文未给出轮数。

实验设置

• 骨干：Llama 3.1 8B、Qwen 2.5 7B、Mistral NeMo 12B、Gemma 2 9B。每次实验把同一模型赋给全部智能体，主结果是跨越这四种配置的平均，未按模型分列。附录A.4.2另比较LLaMA-3-70B与含Mistral、Gemma、Phi-2的7B–12B集群，该节没有数值。
• 数据：CSQA有12,247道选择题；GSM8k有8,500道数学题；Fact是经由GPT-4生成的事实陈述；Bias是基于刻板印象的陈述（后两者引Yu et al., 2024）。Table 6使用200个独立测试样本。主表未写样本量与重复次数。
• 拓扑与攻陷：实验取k=1。Table 6比较Chain、Star、Tree、Complete。Figure 4把智能体数从5调到20。附录A.2为该测试准备20个角色提示词，分常识推理、偏见与安全、对抗、聚合四组。
• 基线：IP Leakage（Wang et al., 2025a）；CZRL（Fang et al., 2025）。Figure 3中Ours为越狱版，Ours (w/o)为无越狱模块。
• 指标与判定：MRR衡量真实邻居在候选排序中的位置；另报Precision、Recall、F1。开销以秒计。拓扑指标相对真实拓扑计算，论文未用LLM裁判给拓扑打分。
• 防御设置：Figure 3拒绝任何旨在暴露相邻智能体ID的请求。Table 4中良性智能体使用LLaMA Guard，并由单个越狱示例提示。

主结果

据Table 2，四种骨干平均后的图补全为：

Swipe horizontally to read the table

模块 / 数据集	Precision	Recall	F1	MRR
越狱 / CSQA	1.0000	0.7688	0.8666	0.7292
越狱 / GSM8k	1.0000	0.9688	0.9821	0.9208
越狱 / Fact	1.0000	1.0000	1.0000	1.0000
越狱 / Bias	1.0000	1.0000	1.0000	1.0000
无越狱 / CSQA	0.8310	0.7506	0.7887	0.7029
无越狱 / GSM8k	0.8418	0.7844	0.8120	0.7593
无越狱 / Fact	0.8432	0.7876	0.8145	0.7618
无越狱 / Bias	0.8518	0.7902	0.8198	0.8659

• 作者称两个模块在四个数据集上都取得强结果；越狱模块的Precision与F1更高，Fact与Bias上四项均为1.0000。作者将其归于直接上下文访问提供了更完整的邻域信息。
• 无越狱模块有下降，但作者称F1仍高于0.78。CSQA上差距更大：越狱模块Recall为0.7688、MRR为0.7292，不是四项全满。
• 作者把CSQA上的下降归因于推理路径更多样、交互更嘈杂，从而拉低发送者预测器。Table 1的F1为CSQA 0.8772、GSM8k 0.9470、Fact 0.9597、Bias 0.9830；作者称四者都高于0.85，CSQA相对更低。

关键词防御下的对比

• 测了什么：Figure 3比较IP Leakage、CZRL、无越狱模块与完整WebWeaver在过滤相邻ID后的Precision、Recall、F1。文字转写没有各柱数值。
• 作者的解读：IP Leakage各项接近零，因其只依赖被滤掉的显式索引。CZRL保持中等表现，作者称它没有充分利用被攻陷智能体拦截入站对话并向邻居扩散消息的能力。无越狱模块仅凭对话上下文就高于其所称SOTA；完整方法的Precision与Recall最高。
• 总括数字：摘要写主动防御下推理准确率约高60%（about 60% higher）；结论写60% accuracy improvement。论文未给出该百分比对应的单元格。

分拓扑、开销与规模

• 200次模拟：Table 6中WebWeaver的MRR为CSQA 0.78、GSM8K 0.80、Fact 0.81、Bias 0.89；IP Leakage为0.04、0.03、0.01、0.04；CZLR为0.67、0.60、0.54、0.66。WebWeaver在Chain上标为F1的第三项为CSQA 0.87、GSM8K 0.91、Fact 0.89、Bias 0.94。
• 作者解读与表内数字：附录A.4.1称中心化拓扑比稀疏拓扑更易受攻击，并举CSQA上Star的F1 0.51高于Chain的0.28、Bias上Complete的F1为0.58。这两组数与Table 6的CZLR行一致，不是WebWeaver行；后者CSQA的Chain/Star第三项为0.87/0.92，Bias的Complete为0.96。作者称CZLR的MRR约在0.54–0.67，与表一致。作者称Bias、CSQA的F1一致高于GSM8K、Fact；CZLR的Bias–Tree为0.20，低于Fact–Tree的0.23和GSM8K–Tree的0.32。WebWeaver行里若干Precision/Recall与同格第三项不满足调和平均，例如CSQA–Chain为1.00/0.98/0.87；这里按表头照抄，不换算。
• 开销与规模：Table 3中越狱版在线耗时为CSQA 30.7秒、GSM8K 35.8秒、Fact 12.7秒、Bias 15.4秒；IP Leakage在线为25.3、32.0、8.6、9.9秒；无越狱模块在线为N/A。四组在线耗时里，越狱版都高于同数据集的IP Leakage。作者称CZRL开销与无越狱模块相近，但Table 3没有CZRL的秒数。Figure 4把智能体数从5增至20，作者称效果不随网络扩大而下降；图注写作GMS8k，文字转写没有各点F1。附录称70B上的效果与较小模型一致、且常常更好，作者归因于更大模型更严格遵循角色提示；该节没有数值。

其他消融与分析

• 发送者预测器（Table 5，P/R/F1）：Logistic为.5/.6/.5、.5/.7/.6、.5/.8/.6、.5/.6/.5；BERT为.8/.8/.8、.9/.9/.9、.9/.9/.9、.9/1./.9；本文方法为.8/.8/.8、.9/.9/.9、.9/.9/.9、.9/.9/.9。作者称本文方法无梯度、计算开销更小，故作默认。Table 5的CSQA F1写作.8，Table 1为0.8772，论文未说明两表设置是否相同。
• 越狱提示（Table 4，LLaMA Guard，图补全F1）：固定提示为CSQA 0.64、GSM8K 0.56、Fact 0.69、Bias 0.58；优化提示为0.72、0.93、1.00、1.00。作者称自适应提示高于固定提示，并称引入更新的越狱方法可能再提高成功率。
• Figure 5：随机抽取的推断示例中，红节点为被攻陷智能体，灰节点为良性智能体；文字转写无边级数值。
• 特征：附录A.3使用all-mpnet-base-v2或1–3词、3–5字符TF-IDF，加文体统计和交互上下文。论文未报告各特征单独去掉后的数字。实验报告的是拓扑推断指标与开销，未报告掌握拓扑后的下游攻击成功率。

作者指出的局限与后续方向

• 未做真实协作部署：Limitations写明，出于伦理与实际考虑，未在真实在线学术协作平台或正在进行的协作项目上评估。作者列出的原因包括：要与人类参与者和可能敏感的研究流程交互，涉及同意、隐私和对正在进行的协作的干扰；还需要领域知识并与在研团队协调，超出本文范围。
• 评估环境：同一节写明，评估限于受控、可复现的实验设置。
• 后续计划：作者计划与不同学科的研究者合作，设计符合伦理、基于同意、结合情境的研究，以评估方法在真实协作环境中的适用性和影响（Limitations）。
• 防护主张：Conclusion称关键词防御挡不住这类推断，需要拓扑感知的防护。这是结论中的主张，不是新的实验方案。

实验覆盖范围

• 主实验骨干为Llama 3.1 8B、Qwen 2.5 7B、Mistral NeMo 12B、Gemma 2 9B；同一实验内全体智能体使用同一模型，报告值是四种配置的平均（第4节）。附录A.4.2比较了LLaMA-3-70B与含Mistral、Gemma、Phi-2的7B–12B集群，未给数值。
• 任务数据为CSQA、GSM8k、Fact、Bias。Table 6写明200个样本，并比较Chain、Star、Tree、Complete。Figure 4的智能体数为5至20。全部实验k=1（第3.1节）。
• 防御相关结果包括拒绝暴露相邻智能体ID的关键词过滤（Figure 3），以及LLaMA Guard加单个越狱示例（Table 4）。对照为IP Leakage与CZRL。
• 发送者预测器消融比较Logistic、BERT与本文方法（Table 5）；越狱提示消融比较初始提示与GCG优化提示（Table 4）。指标是MRR、Precision、Recall、F1和秒级开销。
• 论文未报告GCG本地代理LLM的模型名、扩散与GCG的T、β日程、top-k、后缀长度和查询次数；主表未写重复次数，也未按单个骨干分列；Figure 3与Figure 4的正文转写没有各点数值；未报告掌握拓扑之后的下游攻击成功率。

WebWeaver是针对LLM-MAS通信拓扑机密性的推断攻击：只控制一个任意智能体，从对话上下文恢复全图，而不是查询智能体ID。

• 问题：作者认为优化后的拓扑是高价值知识产权，掌握它也便于发动更强的下游攻击。已有推断要么要控制发起系统的管理智能体，要么用越狱直接查身份，作者称后者易被关键词防御挡住。
• 做法：离线训练发送者预测器，在被攻陷智能体上识别直接邻居；再用递归越狱把不含发送者索引的上下文要回来。越狱失败则用掩码DDPM补全，已知边在去噪中被写回。附录称该融合在步数趋于无穷时收敛到条件后验。实验取k=1，对受害模型没有white-box访问，梯度在未点名的本地代理模型上计算。
• 主结果：四种骨干平均后，越狱模块在Fact与Bias上Precision、Recall、F1、MRR均为1.0000；CSQA上F1为0.8666、Recall为0.7688（Table 2）。无越狱模块的F1为0.7887、0.8120、0.8145、0.8198。发送者预测器F1为0.8772、0.9470、0.9597、0.9830（Table 1）。Table 6的200个样本中，WebWeaver的MRR为0.78、0.80、0.81、0.89，IP Leakage为0.04、0.03、0.01、0.04。
• 防御与开销：作者称关键词过滤下IP Leakage接近零，WebWeaver更高；摘要写准确率约高60%，结论写提升60%，正文没有给出算式。LLaMA Guard下，优化提示的图补全F1为0.72、0.93、1.00、1.00，固定提示为0.64、0.56、0.69、0.58（Table 4）。无越狱模块的在线耗时记为N/A；越狱模块在线为30.7、35.8、12.7、15.4秒（Table 3）。
• 作者的结论：作者称关键词防御挡不住基于上下文的推断，需要拓扑感知的防护。Limitations写明评估限于受控环境，未在真实学术协作平台上测试，并计划做符合伦理、基于同意的后续研究。