多智能体协同过滤系统的连接性攻击与防御研究

多智能体协同过滤里，连通性如何改变攻防结果尚不清楚。

• 场景： 作者称有状态的 LLM 用户与物品智能体经自然语言交互细化偏好；连通性来自拓扑、每轮候选数和历史重叠，并影响漏洞如何传播。作者希望据此发展更稳健的推荐流程。
• 不足： 作者称智能体推荐红队多在固定配置上测试，未回答效果是否随连通性变化；一般 MAS 的拓扑结论来自规模和结构都不同的系统，引言称可迁移性尚未建立。
• 差异： 作者列出三点：双部且用户/物品角色不对称；连通性同时来自推理设计与历史交互；规模更大、状态持续更久，因而有较小任务型 MAS 未报告的时间动态。
• 做法： 在 AgentCF 上沿候选数 k 与目录集中度 ρ 复现 MAS 攻防，刻画两轴的作用，并探索用流行病式静态指标按预期攻击结果排序配置。摘要称原观察只是部分可迁移。
• 威胁模型：
  • 目标： 传播（偏好操纵或资源耗尽）、抽取（隐私泄露或逆向提示与拓扑），或二者结合。
  • 知识： 应用层对手，不能访问模型内部或编排器调度；权重与推理基础设施假定安全。
  • 能力： 按比例 α 攻陷用户和/或物品智能体，主实验 (α_U, α_I)=(0.25, 0.25)；手段是系统提示覆盖，或向记忆/描述植入 canary。
  • 受害系统： AgentCF 双部网格。成功看非攻击者记忆中的污染率或泄漏率，按用户、物品分区逐轮统计。

相关讨论分成多智能体推荐、攻击面、安全评测和拓扑感知四组。

多智能体推荐

• 拓扑谱系： 论文综述 LLM 推荐从单智能体接口发展到多智能体，包括经 hub 或编排器协调的中心化系统、对等网格（含 AgentCF、MACF）和混合系统。
• 安全关注： 作者称这类系统的安全正受到更多关注，并把自己的工作放在把 MAS 拓扑意识引入多智能体推荐这一线上。

推荐与 MAS 攻击面

• 固定配置上的红队： 论文讨论经典投毒、托攻击和提示注入，以及画像投毒、记忆破坏、后门和检索投毒。作者点名近期智能体推荐攻击确认了脆弱性，但测试配置是固定的。
• 更广威胁与迁移缺口： 论文还讨论间接提示注入、自复制载荷、控制流劫持、隐私泄漏、合谋和集体操纵。作者称一般 MAS 已把连通性视为攻击结果的重要因素，但那些系统的规模和结构与 CF 不同，引言称可迁移性尚未建立。

安全评测

• 已有基准： ASB 与 TAMAS 评测一般 MAS 攻防；AgentLeak 与失效模式分析覆盖隐私泄漏和系统性失效。推荐侧包括安全教程、AgentRecBench 和规模化智能体评测；评测也已超出单纯效用。
• 评测工具： 作者称自己的工具受这些基准影响，并增加按分区、按轮的指标，以分开瞬态和稳态。

拓扑感知

• 扩散： 论文称 NetSafe 报告较低连通性的拓扑更安全，并引入可预测安全排序的静态图指标；多轮隐蔽篡改、优化提示攻击和信息传播分析进一步讨论拓扑如何影响扩散。
• GNN 防御： 论文讨论若干 GNN 防御，并称将其中若干种适配到 CF 后评测。

基线与数据

• 复现对象： 攻击为 CORBA、NetSafe、MAMA、MASLeak、TOMA、MASTER；防御为 G-Safeguard、BlindGuard、T-Guard、M-Guard，对照是无防御运行。数据为 MovieLens-100K 子样本，主平台为 AgentCF；MACF 未进入 §4 图。

作者把这项工作放在 MAS 与推荐安全的交叉：用候选数和目录集中度，在双部 CF 上分开看用户与物品。摘要称原观察只是部分可迁移。

在 AgentCF 上把连通性拆成两条可扫的轴，复现已有 MAS 攻防，而不是提出新载荷。

平台与两条连通性轴

• AgentCF： 双部网格，编排器主持，但用户与物品能直接改彼此记忆。规范设置是 k=2、中等重叠目录：每步选（用户，正物品，负物品），用户对两物品排序，两侧更新描述或偏好记忆。k=3 改为三物品排序，k=1 改为二元喜欢/不喜欢。记忆是滚动情景列表，交互后追加语义摘要。可选的用户间意见交换是否在主实验打开，论文未说明。
• 候选数 k： 推理时设定，k∈{1,2,3}，即每轮每个用户能立刻作用到的物品数。
• 目录集中度： 固定 100 个用户，把 MovieLens-100K 重采样到 n_I∈{200,100,50}。作者定义为 ρ ≡ n_U/n_I，故 ρ∈{0.5,1,2}。作者称更密的目录把同样多的历史交互集中到更少物品上。
• MACF： 星型、k=0，通信经中心 hub，没有直接用户—物品接触就不会立刻改记忆。作者将其排除出 §4 图，因为工作流有连通性以外的结构混杂，且带抽取分量的攻击若不做大幅改动则不适用。

对手、植入面与判定

• 植入： 系统提示覆盖，或向用户记忆/物品描述植入 canary。主实验攻陷比例为 (0.25, 0.25)。
• 传播成功： 当前记忆含载荷的非攻击者比例，分用户、物品逐轮统计，并另跟踪 DoS rate。
• 抽取成功： 例如种入 PII 字段被恢复的比例，或系统提示、指令、拓扑等设计信息被恢复的比例。
• 评审： 默认评审 Claude Sonnet 4.5 对照原状态与已知 canary 给 contaminated/clean。精确匹配和嵌入匹配只作抽查，主仪器是 LLM judge。分析时把瞬态斜率（U_tr、I_tr）和稳态均值（U_ss、I_ss）分开。

六类攻击如何接到 CF

• CORBA： 自复制递归阻塞载荷种入一个目标物品的记忆，并写入固定比例用户的系统提示。作者称反向反思可能洗掉部分载荷，因此绝对污染率预期低于原文。跟踪用户、物品受害率和总体 DoS rate。
• NetSafe： 错误信息变体。用户侧同时用中毒系统提示和画像，物品侧用中毒物品描述。
• MAMA / MASLeak： MAMA 只把用户当受害者，向记忆种入 13 个 PII 字段，分身份、联系、位置、时间、受管制标识五类，以用户—物品对话为泄漏通道，并报告分类泄漏率。MASLeak 为两阶段蠕虫；作者放宽反思提示以保留结构化数据块，并分字段跟踪 IP 与拓扑泄漏。
• TOMA / MASTER： 二者都是先逆向再传播。TOMA 把 canary 注入离线拓扑分析选出的桥接物品，并用传播轨迹重建交互图；抽取侧用边集 Jaccard 的 Topology Similarity F1 和 Edge FPR。MASTER 把直接能力询问改成经 canary 物品的间接引出，并把黑暗特质人设字符串追加到攻击者用户记忆。

四类防御如何接到双部图

• G-Safeguard： 在通信上建话语图，把记忆嵌成向量，用有监督的边感知 GAT 标出攻击节点，并删掉其出边。作者把图构建改到用户—物品双部图，训练流程保留。对着 NetSafe 评测。
• BlindGuard： 只用正常交互、无攻击者标签的对比学习检测偏离。编码器改为融合自身、邻居和全局特征的分层 MLP，以处理双部图里用户与物品的度不对称。
• T-Guard： 原文有视觉—文本校验；作者称本设置无视觉模态，故该组件不适用。保留污点传播、三档策略（隔离、抑制反向记忆更新、或照常）和动态策略更新。对着 TOMA。
• M-Guard： 三部分：检测系统提示泄露并在下一轮输入中加入警告；按角色重要性与拓扑位置做分层监控；部署前在系统提示前附加场景硬化指令。作者把领域固定为电影推荐，并把重要性分类改到用户/物品分区。对着 MASTER。

探索性的一阶预测器

• 动机： 作者希望只由图结构量排序配置的预期攻击严重度，而不跑完整仿真。论文未报告由此省下的查询次数或耗时。
• 形式： 双总体、近齐次的 SIS 式均值场：感染由分区特异的接触暴露驱动，恢复来自接触介导的对齐恢复，另有系统级加项。稳态采用只计种子攻击者传染的一跳近似，得到分分区的 Recovery-Aware First-Order Connectivity 预测器。
• 拟合： γ 与 r 按攻击和分区经验拟合，以最大化平均 Spearman 相关。作者称相关在目标、角色和时间段上不均匀，并认为一阶形式过于简化。相关系数值在正文中未给出。

实验设置

• 平台与数据： 主平台为 AgentCF。MovieLens-100K 子采样 100 用户，物品目录 n_I∈{200,100,50}，对应 ρ∈{0.5,1,2}。任务是序列电影评分预测，每轮对 k∈{1,2,3} 个物品做 rate/choose/rank。MACF（k=0）在代码中，未进入 §4 图。
• 模型： 默认智能体 LLM 为 Qwen3-235B-A22B，默认评审为 Claude Sonnet 4.5。Fig 10 另把 Claude Haiku 4.5、Claude Sonnet 4.5、Mixtral 8×7B、Llama 4 Maverick 17B 用作骨干。推理经 Amazon Bedrock。
• 攻防： 传播为 CORBA、NetSafe；抽取为 MAMA、MASLeak；双向为 TOMA、MASTER。防御为 G-Safeguard、BlindGuard（对 NetSafe）、T-Guard（对 TOMA）、M-Guard（对 MASTER）。主实验 (α_U, α_I)=(0.25, 0.25)。
• 指标： ASR 是受污染非攻击者占全部非攻击者的比例，分用户、物品逐轮报告，不含攻击者。另有 DoS rate、分类 PII 泄漏率、Topology Similarity F1 与 Edge FPR。防御看 ΔASR，即无防御减有防御。瞬态斜率与稳态均值分开。
• 评审： 每轮 judge 对照原状态和已知 canary 给二值标签。确定性匹配只作抽查。论文未报告人工一致性、重复次数或数值阈值。
• 环境： AWS EC2 g6.12xlarge，4 块 NVIDIA L4（各 23 GB），Ubuntu 24.04.4，CUDA 12.9，PyTorch 2.11。

主结果

正文几乎不给可回查的 ASR 百分数。Table 1 用符号概括提高 k 或 ρ 之后，稳态均值是升高（↗）、无稳定次序（↕）还是无实质差别（—）。下表只列稳态；瞬态列见 Table 1。Fig 3–6 的曲线终点百分数在正文中未写出。

| 方法 | 类别 | ↑k 用户 | ↑k 物品 | ↑ρ 用户 | ↑ρ 物品 | | CORBA | 传播 | ↗ | ↗ | ↕ | ↕ | | NetSafe | 传播 | ↕ | ↗ | ↕ | ↗ | | TOMA | 传播 | ↗ | ↗ | — | ↗ | | MASTER | 传播 | ↕ | ↕ | ↕ | ↕ | | G-Safeguard | 防御Δ | ↕ | ↗ | ↕ | ↗ | | BlindGuard | 防御Δ | ↕ | ↕ | ↗ | ↗ | | T-Guard | 防御Δ | ↗ | ↗ | ↕ | ↕ | | M-Guard | 防御Δ | ↕ | ↕ | ↗ | ↕ |

• 传播： 作者称提高 k 时，CORBA 与 TOMA 的传播分量在用户和物品稳态都更高；NetSafe 只有物品稳态随 k、ρ 升高，用户侧无稳定次序。§4.3.2 称 MASTER 一般随 k 有更高稳态 ASR，但 Table 1 把其传播稳态标为 ↕；按表，两侧都无稳定次序。
• 抽取： Table 1 把仅抽取攻击的用户/物品列合并。MAMA 与 MASLeak 在提高 k 时瞬态为 ↗、稳态为 ↕，提高 ρ 为 —。作者称 ρ 对仅抽取攻击无实质影响。TOMA、MASTER 的抽取分量则随 ρ 为 ↗；对 k，TOMA 抽取瞬态 ↗、稳态 ↕，MASTER 抽取两侧为 —。
• 防御： 安全收益同样随轴、分区和时段改变。T-Guard 的 ΔASR 随 k 升高，随 ρ 无稳定次序；BlindGuard 随 ρ 两侧都升高，随 k 无稳定次序。

传播、抽取与双向攻击

• 共同形态： 作者归纳三点：曲线多先快后缓再饱和；用户与物品对两轴的响应一般不同；更快的早期斜率不一定对应更高稳态。CORBA 上，k=2 与 k=3 的稳态曲线收敛，且都高于 k=1；ρ 使用户侧全程无单调次序，物品侧早期斜率随 ρ 升高，稳态则不再单调（Fig 3）。作者预期 CORBA 的绝对率低于原文，因为反向反思可能洗掉载荷；正文未给该比较的数字。
• 抽取： MAMA 上，提高 k 加快早期泄漏，但 k=2 与 k=3 的稳态近乎相同，作者称都领先 k=1；ρ 各变体差别可忽略（Fig 4）。MASLeak 的 IP 抽取瞬态随 k 升高（k=1 < k=2 < k=3），稳态却是 k=2 高于 k=1 和 k=3；ρ 在两个时段都可忽略。
• 双向： TOMA 的拓扑相似度早期随 k 升高，稳态反转成 k=2 领先 k=3；作者称 k=3 召回更高，但精确率更差（见 FPR）。k=3 相对 k=2 的 ASR 优势可忽略。更高 ρ 提高逆向指标和物品稳态 ASR，用户稳态 ASR 基本不受 ρ 影响（Fig 5）。MASTER 的 ASR 一般随 k 升得更快、稳态更高，但差距在稳态缩小；逆向对 k 相对不敏感，更高 ρ 则全程提高逆向表现（Fig 6）。

防御效果

• G-Safeguard： 作者称所有情况下都降低了用户侧污染。物品侧在最稀疏变体（ρ=0.5 与 k=1）安全收益接近于无。用户侧收益全程无单调次序；物品侧稳态则是更高连通性带来更大收益（Fig 7）。Fig 7 各子图标注了有防御与无防御 ASR，正文未按 k、ρ 和分区逐项列出这些百分数。
• BlindGuard： 作者称多数设置下中等程度降低用户侧污染；物品除最密的 ρ=2 外获益很少。作者认为这可能来自物品接触度可变、用户接触度固定，对比检测不可靠。两侧 ASR 降幅随 ρ 增大。
• T-Guard 与 M-Guard： T-Guard 在全部 k 变体上推迟污染增长并压低平台；k=1 与 k=2 的 ASR 降幅相当，k=3 大得多；对 ρ 无单调次序。M-Guard 上，更密目录在瞬态两侧以及用户稳态带来更大抑制，物品稳态抑制不再单调；更高 k 使安全收益斜率更陡，但稳态降幅没有一致次序。

攻击者比例、入口与骨干

• 比例： NetSafe 上 (α_U, α_I) 取 {0.10, 0.25, 0.50, 0.75} 的两两组合。作者称更高 α 使初始斜率更陡、平台更早到来；两侧 ASR 都升高，但用户侧对 α 更敏感（0.10 与 0.75 的差距更大），物品侧跨 α 变化更小。无论 α 如何，用户的方差和经良性交互的恢复扰动都大于物品（Fig 8）。正文无这些曲线的 ASR 百分数。
• 风格与入口： 在 NetSafe 口径下比较 CheatAgent（只攻用户画像）、DrunkAgent（物品记忆中的语义 canary）和 RecTextAttack（物品文本的词法扰动）。作者称同一物品侧入口下语义注入领先词法扰动，并认为记忆更新会把画像重写成连贯摘要，从而改掉词法扰动、留下语义内容。物品侧入口能直接污染用户再回流物品；用户侧入口能到达物品，但经物品的两跳难在用户间扩散（Fig 9）。论文未给领先幅度。
• 骨干： Fig 10 在 25% 攻击者的 NetSafe 上比较 Claude Haiku 4.5、Claude Sonnet 4.5、Mixtral 8×7B、Llama 4 Maverick 17B。作者称较新模型上的系统更难被攻击，并认为可能来自更好的对齐、更多世界知识，以及画像更新时的反思式自我纠正。正文未给各模型 ASR。

其他消融与分析

• 预测器（§7）：按攻击和分区拟合 γ、r 以最大化平均 Spearman 相关；作者称相关不均匀，正文未给相关系数。
• 横轴标注：Fig 3 至 200 轮，Fig 4–6 至 50 轮，Fig 7–10 多至 40 轮。论文未写明这些轮次是否都算进稳态均值。
• NetSafe 物品侧瞬态斜率次序为 k=3 > k=1 > k=2，随后 k=1 与 k=2 的反转消失，更高 k 对应更高物品平台（§4.1.2）。
• Fig 9 同时扫 k 与 ρ，比较四种入口/风格，正文只有定性比较。
• 论文未报告每次配置的重复次数、查询预算，以及评审与人工的一致率。
• 可选的用户—用户意见交换是否打开，论文未说明。

作者指出的局限与后续方向

• 规模与领域： 全部实验在 100 用户的 MovieLens 队列上；向更大、更稀疏或幂律目录分布的推广仍开放（§8）。§3.4 称单数据集、单领域是刻意的复现选择，并指向这一局限。
• 混杂： 调节 k 会与提示和排序任务结构共变，为 ρ 重采样会改变物品度分布；观察到的效应是在这些耦合变化下报告的（§8）。
• 效用： 焦点在 ASR、泄漏等安全指标；在防御开启时测量推荐质量（如 HR@k、NDCG）可以补充这一视角（§8）。
• 评审、统计与自适应对手： 更系统的 LLM judge 校准、对评审底层模型的敏感性、重复种子上的统计显著性，以及自适应威胁模型，被列为后续扩展（§8）。§3.6 另把评审的完整人工标注校准（假阳性/假阴性、提示敏感性）标为局限和扩展目标。
• 任务与领域轴： 作者在 §5.4 写明只研究 MovieLens 变体上的经典 CF；任务与系统提示设计、以及模型未见过的私有或小众领域，标为本研究范围之外。

实验覆盖范围

• 主图基于 AgentCF 与 MovieLens-100K 的 100 用户、三种目录大小和 k∈{1,2,3}；MACF 被纳入代码，作者写明未进入 §4 图。
• 默认骨干为 Qwen3-235B-A22B，默认评审为 Claude Sonnet 4.5；Fig 10 的骨干为 Claude Haiku 4.5、Claude Sonnet 4.5、Mixtral 8×7B、Llama 4 Maverick 17B，设定为 25% 攻击者。
• 复现的攻击为 CORBA、NetSafe、MAMA、MASLeak、TOMA、MASTER；防御为 G-Safeguard、BlindGuard、T-Guard、M-Guard，分别对着文中写明的攻击评测。
• 主实验攻陷比例为 (0.25, 0.25)；§6.1 在 NetSafe 上扫描 α 的 4×4 组合，§6.2 比较四种入口与载荷风格。
• 论文未报告重复次数、查询次数、评审与人工的一致性，以及 HR@k、NDCG；§3.6 写明确定性匹配只用于抽查 LLM judge。

作者在 AgentCF 上研究连通性如何改变多智能体协同过滤的攻防，复现已有方法而不是提出新载荷。

• 问题： 用户与物品智能体经自然语言交互细化偏好，同一通道也可把污染向外传，或把受害者记忆里的信息抽出来。既有智能体推荐攻击多在固定配置上测试；一般 MAS 的拓扑结论能否迁到双部、角色不对称的 CF，引言称当时尚未建立。
• 做法： 候选数 k∈{1,2,3} 和目录集中度 ρ∈{0.5,1,2} 作为自变量。后者来自 100 用户对 200/100/50 个物品的重采样。应用层对手按比例攻陷用户和/或物品智能体，主实验两侧都是 0.25。成功看非攻击者的分区污染率或泄漏率。默认骨干是 Qwen3-235B-A22B，评审是 Claude Sonnet 4.5。
• 攻击结果： 作者称曲线多先增长后饱和，但用户与物品、早期斜率与稳态常常不同向。提高 k 往往加快传播和早期抽取，却不保证更高平台：MASLeak 的稳态是 k=2 高于 k=1 和 k=3。仅抽取攻击对 ρ 无实质差别；双向攻击的逆向分量则随 ρ 升高。Table 1 对 MASTER 传播稳态标为无稳定次序，与 §4.3.2 的概括不完全一致。
• 防御与消融： 作者称防御收益同样依赖轴、分区和时段。G-Safeguard 降低用户侧污染，但 ρ=0.5 与 k=1 的物品侧收益接近于无；BlindGuard 的物品侧除 ρ=2 外获益很少。更高攻击者比例抬高 ASR，用户侧更敏感。作者称语义植入比词法扰动更耐久，并认为较新骨干更难被攻击。正文未给这些比较的百分数。
• 作者结论： 更同质的用户群（ρ 升高）和更高的用户扇出（k 升高）可能放大单个智能体的影响。作者称对齐会驱动从污染中恢复，但面向连通性的防护仍然必要。