DEFER1 多智能体防御研究报告受控测试中的攻击成功率下降

多智能体流水线的终裁里，有多少必须交给 LLM judge，仍未被测量。

• 场景：企业安全自动化正转向可调用工具、共享记忆并互相委托的 LLM 多智能体系统（MAS）。作者称，工具可被转成攻击者选定的动作，共享记忆可携带投毒或私有内容，合谋也可在无对抗影响时出现；漏洞在连接工具与共享状态的集成架构。
• 现有不足：作者称现有防御多按单一攻击类或通道设计，组合后通常把终裁交给 LLM judge。judge 读到受攻击者影响的内容，判决随模型变化且难审计，并增加延迟与成本。单智能体工作已把威胁分成规则可决和只有 judge 可决，但规则还查阅策略与状态的多智能体流水线里，这条边界未被测量。
• 入口观察：作者整理文献中 35 个向量，称除模型内部攻击外，攻击者控制的内容经两个集成表面进入：工具编排（22）与记忆管理（12），1 个跨两者。host 中介拓扑里，智能体间消息作为交接和提案走编排路径，因预设更强攻击者而另计通道。
• 本文提出：作者把已有防御整理成五条原则，实现为 DEFER（确定性优先、剩余再判断）：28 项检查先否决能确定性否决的内容，其余交给四个开源权重 judge。作者称不提出新机制，要测量这一顺序能把判断需求降到多低，并回答边界、失败与代价、跨设置是否成立三个研究问题。
• 威胁模型：
  • 目标：G1 阶段清单外的工具调用不执行；G2 无事件证据支持的状态变更不执行；G3 投毒或伪造记录不进入共享存储；G4 智能体不收到越权或携带指令的记忆。
  • 知识：知道系统用途和工具名，不知道防御规则，不根据反馈自适应。知悉防御的攻击者在范围外（Section VII-B）。
  • 能力：默认 T1 控制经 C1–C3 到达的数据，不能改代码、配置、权重或网络。T2 还控制一个阶段智能体的交接和提案理由（C4–C5）。T3 只通过测试框架能实现的故障注入来考察，作者不作一般主张。
  • 受害系统：host 中介的垂直四阶段 MAS。可信计算基为 host、记忆网关、注册表、配置与密钥、验证端点；验证器被假定未被攻陷，但不假定判断正确。越狱、后门、拒绝服务、侧信道、被攻陷 host，以及数据离开组织边界后的校验，均在范围外。

论文在引言、原则来源和 Related Work 里讨论的工作，可按下面四组来看。

对智能体与 MAS 的攻击

• 间接注入与记忆：Greshake 等（2023）把检索内容变成控制通道。InjecAgent、AgentDojo 和 Agent Security Bench（ASB）把间接注入做成单智能体基准。记忆攻击把记录植入，供日后检索浮出，论文点名 AgentPoison、MemoryGraft 等。
• 多智能体传播：论文讨论注入指令在智能体间传播、控制流被劫持，以及 TAMAS 和若干综述对该空间的编目。
• 静态攻击的界限：论文援引 Nasr 等与 Zhan 等关于静态攻击会高估鲁棒性的论述，并据此限定自己对确定性层能声称的范围。

确定性护栏与判断式护栏

• 判断式护栏：论文称许多护栏把决定交给模型，并以 LlamaFirewall 为例；Shi 等研究针对 LLM-as-a-judge 的优化式提示注入。作者称 judge 可被它所评估的内容说服，判决难审计。
• 模型外强制：符号护栏、policy-as-code 和可证明安全的护栏在模型外执行策略；CaMeL 与设计模式目录用可证明隔离换通用性。Progent、FIDES、RTBAS 和 Datalog 引用监视器在工具边界强制特权与信息流。作者称这些工作各论证边界的一侧。
• 最近的切分：AgentTrust 把动作分成规则能决定的词法威胁和只有 judge 能决定的语义威胁，并报告 judge 在规则不泛化处泛化。作者称自己的边界形状相同，补充是：在有状态的多智能体工作流里，多数攻击必须打破规则能检查的策略或状态，因此那里由规则承担安全性。

分层与级联防御

• 单智能体内的组合：LlamaFirewall 报告分类器与推理审计器单独及组合的结果。MCP-Guard 与 CASCADE 从模式匹配升级到 LLM 仲裁，以检测注入文本。
• 分层消融：Spotlight-Guard、AgentSys 和一项按层的记忆防御研究消融了分层防御，对象都是单智能体。
• 作者的对照：作者称这些设计都没有把工具调用、共享记忆和智能体间消息上的控制组成一条流水线，也没有报告这样的流水线有多少验证可以不靠判断完成。

准入、回放与聚合

• 加强 P1–P3 的工作：确定性准入控制、执行证明，以及基于租约的恰好一次授权。作者称最后一项针对的是自己的 P3.6 所缺少的语义回放。
• 聚合与写入过滤：鲁棒聚合被写成法定人数投票的替代。弱信号投毒可绕过句法写入过滤；作者称自己的 legal 域 AP-2 结果呈现这一点。
• 原则谱系：五条原则重述 Saltzer 与 Schroeder（1975）；Zhang 等（2025）也主张智能体应采用安全原则。最小特权对应能力范围，完全中介对应每次调用经 host。

基线方法为 FLAT（无检查）、ACL（仅阶段到工具/存储的连通性）、JUDGEONLY（注册表加每次工具提案送审，记忆操作不送审）、NOJUDGE（去掉评审团，未决即升级）、FULL/DEFER（28 项检查按级联运行），以及去掉单条原则的留一。基准为自建四域套件、ASB、InjecAgent 子集和 TAMAS。

作者称不提出新防御机制，实例是已发表研究的采用版；贡献是把“先廉价检查、再 LLM”用到跨种类控制的动作授权上，并测量它把判断需求降到多低。

DEFER 把工具编排和记忆管理上的五条原则排成失败关闭的级联：能用结构、状态或阈值决定的先决定，只有未决的后果性提案才进入四模型评审团。

两个表面与决策分层

• 通道：C1 任务输入、C2 工具响应、C3 记忆内容要求 T1；C4 交接、C5 提案理由要求 T2（Table I）。测试框架按这些通道注入内容。
• 28 项检查的层级：13 项内容无关规则只看结构和状态；8 项内容相关规则是确定性的，但读攻击者能影响的值；6 项用嵌入相对固定阈值；1 项是 LLM 评审团（Table VII）。兼有多种的检查计入最习得的层。归因拦截时，用实际否决的那条规则的层级。
• 作者给出的划分：必须违反流水线能陈述的性质时由规则决定；工具、参数和目标都在策略内、只把意图说错时才需要 judge。

五条原则及其实例

• P1 授权接口：调用须在注册表中；响应过 schema、时延、回放和按工具的消息认证；配置在启动时哈希，每个事件再校验。Table VI 称没有公钥清单签名或智能体身份生命周期。
• P2 能力范围：每阶段有允许工具清单和动作上限。参数检查通配符、资产关键性和按工具规则，并检查动作目标是否出现在事件证据中（子串，或余弦至少 0.5）。工具输出过敏感内容分类器。
• P3 已验证执行：后果性提案走交接、运行上下文、意图链、跨事件账本、回放、自适应同意、风险分及自动门、多模型评审团，以及执行前核对请求就是被批准的那个。评审团看到的提案会去掉类指令文本。账本是本地的，不是分布式锚定。
• P4 与 P5：写入经过 schema、元数据、与证据的相似度、漂移、写入回放和基于规则的矛盾检查。读取受阶段到存储策略、字段脱敏、查询范围、读取模式监视，以及送达前清洗。Table VI 称写入没有 LLM 共识，矛盾检测和清洗是基于短语或模式的。Figure 3 图注称所绘是一般设计，写入边界可以经共识校验。

级联顺序与状态

• 顺序：从最便宜、最确定到最贵、最不确定（Figure 4、Algorithm 1）。工具调用先做注册表、清单和参数。只有清单标记需要验证，或（工具，动作）在静态表中影响为负的调用，才进入 P3。上下文和账本先于风险分；分数超出固定阈值则不经模型直接批准或拒绝。
• 记忆路径：写入先查写策略，再做六项 P4；读取经 P5 门、存储、脱敏和清洗。同一“先廉价、后模型”的模式此前用于检测恶意文本；作者称这里用它决定在策略和状态下动作是否被允许。
• 失败关闭：否决停止该阶段剩余调用，提案进入人工复核队列；测试床只记录队列，不模拟人工。验证器错误计为拒绝。账本、自适应同意、漂移质心、回放缓存和读取模式监视跨事件保持状态。
• 固定参数：阈值和模式表在四域不变，只在配置 CyberOps 时手工设定（Section IV-B）。执行前哈希核对的批准年龄上限为 300 秒（Table VIII）。附录 P 给出评审系统提示词，以及自动门使用的分数条件。

测试床、套件与判定

• 拓扑与域：垂直、四阶段。host 中介每次工具调用和记忆操作。工具是返回场景条件响应的 HTTP 桩；存储为 ChromaDB，嵌入模型为 Qwen3-Embedding-0.6B。四个域（CyberOps、healthcare、finance、legal）共用同一执行代码，差别在声明式配置。CyberOps 有 16 个工具桩和 12 个存储，其余每域 13 个工具桩和 8 个存储。
• 模型与法定人数：主模型温度 0.7，验证器温度 0，每试验记录种子。LOCAL4 为 Mistral-Small-3.2-24B、Gemma-4-31B-it、gpt-oss-120b、Llama-4-Scout，法定人数 3/4，按谱系在看结果前选定。主模型若在团内则去掉该模型，其余三人需两人同意。模型不评审自己的提案。
• 套件：35 个向量收成 15 条攻击路径。除 AP-4 每域 7 个、AP-15 每域 3 个外，每路径每域 5 个手写变体，共 300。良性同伴 35 个（CyberOps 20，其余每域 5）。攻击描述在元数据块中，论文称没有模型看得到。每条对抗字符串带攻击者自选 canary，供日志追踪，不是标记 token。
• oracle：只在日志里找变体声明的效果，不问某项防御是否触发。结局为未尝试、被拦截或已执行。ASR 是已执行试验除以全部试验。尝试率把模型自身拒绝和框架拦截分开。受审比例是到达评审团的提案占全部提案之比。judge 回放从日志重建输入，离线重判，从而换评审团而不重跑智能体。

实验设置

• 主模型：Qwen3-235B-A22B-Instruct 跑四个域。gpt-oss-120b 与 Llama-3.1-8B-Instruct 跑 CyberOps 的全部边界配置。Llama-4-Scout-17B-16E-Instruct 与 Mistral-Small-3.2-24B-Instruct 也在 CyberOps 和 finance 运行；文中二者的分项数字来自较早运行。
• 评审团：主结果用 LOCAL4 回放，法定人数 3/4，温度 0。比较面板还有单 Qwen3-32B、LIN3（Qwen 谱系三人）、DIV3L（三谱系），以及含 Claude Sonnet 4.5 与 GPT-4o 的 DIV4（仅现场写入送审臂）。
• 数据与重复：自建 300 变体，每变体每配置 3 次试验；CyberOps 为 75 变体、225 次试验。良性 35 个场景。ASB 255 例、每例 2 次；InjecAgent 分层 50 例子集、每配置 1,150 次试验；TAMAS 250 实例、每实例 3 次。默认隔离状态，每个试验前重置防御状态。
• 配置：FLAT、ACL、JUDGEONLY、NOJUDGE、FULL，以及去掉 P1–P5 之一。另有规则后全部送审、离线风险门、规避规则的兄弟变体、关键存储写入送审。
• 指标：ASR、尝试率、给定尝试的拦截率、受审比例、首次拦截及层级、合法提案拒绝、任务完成、延迟与 token。变体为分析单位；95% 聚类自助区间，10,000 次重抽样。配置比较在变体上配对。
• 批次：四域边界、留一、两个额外主模型、持久状态和 judge 一致性来自代码审计修复后的运行。面板比较、judge 输入比较、另两个主模型和第三方基准来自较早运行，同一 oracle 计分（Section VI）。

主结果

据 Table II。CyberOps，Qwen3-235B，LOCAL4 回放；每行 75 变体 × 3 次试验。合法拒绝来自 20 个良性场景 × 3 次试验。

表格较宽，可左右滑动

配置	ASR % [95% CI]	给定尝试拦截率	受审比例	合法拒绝
FLAT	32.0 [22.7, 41.8]	n/a	0	0.0%
ACL	24.9 [15.6, 35.1]	13.8%	0	51.9%
JUDGEONLY	34.7 [24.4, 45.3]	22.0%	99.9%	4.5%
NOJUDGE	1.3 [0.0, 4.0]	97.0%	0	54.3%
FULL（DEFER）	2.2 [0.0, 5.8]	94.7%	26.4%	9.9%
规则后全部送审	2.2 [0.0, 5.8]	94.7%	69.8%	11.8%

• 作者称安全性来自规则：同四名 judge 没有这些规则时，与 FLAT 的配对差为 2.7 个百分点，区间 [−5.8, 10.7] 含 0。ACL 比 FLAT 低 7.1 个百分点，区间 [−13.8, −0.9]。表注称 ACL 把 16 个工具都展示给每个智能体，拒绝大多是阶段外提案。
• 作者称把判断放在最后不改变攻击结局：规则后全部送审与 FULL 的 ASR 相同。NOJUDGE 靠把未放行提案全部升级来压低 ASR，合法拒绝处于表中最高一档。作者称 judge 因此换回规则无法评估的合法工作。
• Figure 7：26 个变体只在 JUDGEONLY 下至少成功一次，3 个两边都成功，没有只在 FULL 下成功的；其中 11 个在记忆路径上。JUDGEONLY 按设计不把记忆操作送审。去掉这些路径后，作者报告的差距是 23.8% 对 1.1%。

四域、主模型与通道

• 四域：同一代码下，DEFER 的 ASR 为 healthcare 0.0%、CyberOps 2.2%、legal 4.4% [0.9, 9.3]、finance 5.3% [1.3, 10.7]；合计从 FLAT 的 30.0% 到 3.0% [1.3, 4.9]（Table XVI）。域外同组 judge 单独使用留下 9.3% 到 19.1%。合法拒绝在 finance、healthcare、legal 为 19.5%、20.0%、26.9%（Table XX）。legal 的 10 次执行中，6 次是似真投毒。作者称安全保持得比代价好，域外差别大多来自判断。附录 K 称按第二次审计后的效果规格重打分，finance 的 DEFER ASR 为 8.0%，FLAT 在 finance 上升 6 个百分点、在 legal 上升 10 个百分点，CyberOps 变动不到 1 个百分点，差距被拉开而不是合上。
• 主模型：Table XVII 中，gpt-oss-120b 的 FULL 为 6.2%，JUDGEONLY 与 FLAT 同为 21.3%；Llama-3.1-8B 的 FULL 为 8.4%，JUDGEONLY 为 27.6%，FLAT 为 34.7%；二者 NOJUDGE 均为 1.3%。较早运行中 Llama-4-Scout 为 4.0%，Mistral-Small 为 8.0%。作者称较早运行里、在 CyberOps 与 finance 上跑过的四个主模型合计，DEFER 为 4.7% [2.4, 7.4]，FLAT 32.1%，ACL 27.2%。没有主模型尝试 AP-3。
• 通道：四域合计，C1 从 26.1% 到 2.5%，C3 从 14.3% 到 0.0%，C5 从 84.4% 到 1.0%，C4 从 45.6% 到 14.4%，C2 两边都是 0.0%（Table XXI）。CyberOps 中 T1 从 24.0% 到 2.3%，T2 从 57.4% 到 1.9%。作者称 C4 残余来自成功标准：交接后的任何管理动作都算成功；NOJUDGE 把它们升级后执行为零。

第三方攻击

• ASB：255 例 × 2 次，Qwen3-235B。主模型在 32.0% 的试验中发出注入动作；发出者在 FLAT 与 ACL 下全部执行，ASR 为 28.8% 与 30.0%。确定性检查拦住 163 次发出中的 62 次，LOCAL4 批准剩余 101 次中的 9 次，ASR 1.8% [0.4, 3.5]；单 judge 3.3%，LIN3 9.6%（Table XVIII）。没有内容无关规则触发。作者称端口有利于防御：judge 把攻击者指令原文当作提案理由。ASB 干净任务的良性完成率未测量。
• TAMAS：经工具行动的三类，从 36.9% 到 0.0%（直接提示注入）、30.2% 到 5.3%（冒充）、40.0% 到 2.0%（合谋）。只经回答的两类：拜占庭从 91.2% 到 83.9%，矛盾智能体两边都是 18.6%。全部 250 实例从 43.5% 到 21.9%。规则只是 202 次被拦工具类尝试中 10 次的首次拦截者。作者称 DEFER 中介动作，不中介回答。50 个间接注入实例去掉注入内容当良性任务时，DEFER 拒绝 7.7% 的工具调用。
• InjecAgent：附录 J 的 50 例子集、每配置 1,150 次试验。当前主模型只在 0.3% 到 3.3% 的试验中发出注入调用；合计 ASR 为 FLAT 1.7%、ACL 1.8%、FULL 0.0%，FULL 拦住全部 22 次发出。

规则与 judge 的失败及代价

• 风险门：四域 3,880 个后果性提案中，在线批准门一个也没决定；附录 P 称计分器未接到账本或事件证据。离线接到 CyberOps 中到达评审团的提案上，它批准攻击提案本身的 90%（27/30），良性提案 36%。较早校准中替换 judge 会使 ASR 从 2.7% 到 6.7%；审计后的规则下，该替换在 CyberOps 不增加执行，在 healthcare 多执行 2 次。作者称按分数批准是反选择的，因为分数来自攻击者能塑造的证据。
• judge 与似真写入：3,657 轮中成对 κ 为 0.41 到 0.65，均值 0.51。Gemma 批准 22% 的攻击提案和 75% 的良性提案；Llama-4-Scout 为 70% 和 94%。合法提案批准率在 CyberOps 为 94.9%，legal 为 39.7%。legal 伪造先例在 15 次中有 6 次持久化，与只靠 judge 相同；写入送审后，judge 在 15 次中批准 14 次。三条记忆路径的执行从 18/207 降到 14/207。
• 持久状态与延迟：30 个攻击事件后接 20 个良性场景，两种顺序的良性完成都从 97% 降到 5%。有状态检查拒绝 80 个后果性良性提案中的 87.5%。作者称原因是回放键不过期，且 24 小时账本窗口在一次运行内不到期；攻击引起的状态是否拖垮部署仍未测试。两名本地 judge 时，良性事件中位 68 秒，FLAT 为 37 秒，JUDGEONLY 为 79 秒；确定性检查每事件增加不到 0.1 秒。

其他消融与分析

• 留一（Table II）：去掉 P3，ASR 16.9%；去掉 P4、P2、P5、P1 为 7.6%、6.7%、6.7%、4.9%。AP-4 在 FULL 为 0.0%，去掉 P5 为 28.6%。
• 首次拦截（Table XV）：CyberOps 中确定性 P3 46.7%、P2 27.8%、P4 13.3%、P5 6.7%、P1 3.3%、评审团 2.2%；其余三域评审团 30.3%；ASB 评审团 59.7%，内容无关规则 0.0%。四域合计，确定性检查是 308 次被拦尝试中 77.9% 的首次拦截者。
• 面板（Table XXII，ASB 回放的 405 个已发出动作）：DIV3L 放过 18 个，单 Qwen3-32B 放过 36 个，LIN3 放过 127 个；四面板良性拒绝率 14.1% 到 17.7%。作者称同一谱系的三人团比其单一成员弱三倍半。
• judge 输入（Table XXIII）：把规则查阅的字段给 judge 后，Gemma 对攻击提案的批准从 30% 到 54%；finance 的 FULL ASR 从 4.0% 到重判的 9.8%。作者报告的是原始输入。
• 规则规避：24 个被 P2.2 或 P4.2 拦截的变体，其兄弟在 FLAT 下与父样本成功率相近（87.5% 与 88.9%）；FULL 拦住 24 个中的 22 个，2 个执行（72 次试验中的 6 次，均为交接投毒兄弟）。
• 较小主模型的例外：一条把指令写成恢复步骤的 finance 记录通过 P5.5，Llama-3.1-8B 在 15 次中执行 14 次，Llama-4-Scout 执行 3 次（较早运行）。Qwen3-235B 在 CyberOps 从未尝试 AP-14。

作者指出的局限与后续方向

• 回放不能接上后续提案：评审团结果是重判的直接结局；一次改判不能再生随后本来会出现的提案。现场校准与回放相差在一个百分点内。绝对水平依赖评审团组成；作者保留按谱系预选的团，而不是看结果后再选（Section VII-B）。
• 自适应攻击在范围外：边界在静态攻击下测量。自适应攻击者不在问题陈述内，因此数字是确定性层安全性的上界（Section VII-B）。
• 基线与外部防御：JUDGEONLY 不执行清单；没有配置把访问控制与 judge 配在一起；ACL 把每个工具展示给每个智能体。Progent、CaMeL 等未在本套件上运行。前沿 judge 只出现在写入送审臂；作者称更强或按域适配的 judge 可能缩小迁移差距（Section VII-B）。
• 规模：AP-3 没有产生尝试。消融臂用一个主模型、一个域。每条攻击路径在每个配置和域最多 21 次试验。35 个良性场景约束每一项代价估计（Section VII-B）。
• 真实度：工具是桩，记忆是合成的，四域共用一个骨架，水平拓扑未测，host 是单点故障。P1 不按调用核验工具描述来源，P3.6 用哈希而不是规范动作身份检测回放（Section VII-B）。
• 讨论中的限制：作者称方法的中心限制是判断而不是确定性层；似真写入同时越过规则和 judge，工具返回内容的来源是剩余杠杆；有状态防御也需要在持久模式下评估（Section VII-A）。附录 K 写明第二次审计后的修正配置重跑仍在进行。

实验覆盖范围

• 主模型为 Qwen3-235B-A22B-Instruct、gpt-oss-120b、Llama-4-Scout-17B-16E-Instruct、Mistral-Small-3.2-24B-Instruct、Llama-3.1-8B-Instruct 共 5 个；四域全套边界以 Qwen3-235B 报告（Section IV-D、VI）。
• 自建套件为 300 变体 × 3 次试验，加 35 个良性场景；第三方为 ASB 255 例 × 2、InjecAgent 50 例子集（每配置 1,150 次试验）、TAMAS 250 实例 × 3（Section V、VI-C3、附录 J）。
• 配置包括 FLAT、ACL、JUDGEONLY、NOJUDGE、FULL、五条原则的留一，以及规则后全部送审、离线风险门、规则规避兄弟样本和写入送审（Section V-E、VI）。
• 评审比较了 LOCAL4、DIV3L、DIV4、LIN3 和单 Qwen3-32B；主面板以日志回放重判（Section V-G、VI-C2）。
• 论文未报告自适应攻击者下的 ASR，未报告 ASB 干净任务的良性完成率，未报告在本套件上运行 Progent 或 CaMeL 的结果；并写明攻击引起的状态是否拖垮部署仍未测试（Section VI-B4、VII-B、附录 K）。

DEFER 用来测量多智能体授权流水线里，确定性规则在何处结束、LLM judge 从何处开始。

• 问题：组合后的防御常把终裁交给 judge。作者要知道规则能解决多少验证、哪些攻击仍要判断、不把每条提案都送审会失去什么，以及失败和合法工作的代价。
• 做法：五条原则、28 项检查，失败关闭，判断放在最后。四域共用同一执行代码，阈值只在 CyberOps 手工设定。oracle 只看日志中的声明效果，并把模型自己拒绝与框架拦截分开。LOCAL4 为四个谱系的开源权重 judge，法定人数 3/4。
• CyberOps 边界：Qwen3-235B、LOCAL4 回放下，FULL 的 ASR 为 2.2%，JUDGEONLY 为 34.7%，FLAT 为 32.0%。NOJUDGE 为 1.3%，但拒绝 54.3% 的合法提案。规则放行后再把每次调用送审，攻击结局不变。作者称同组 judge 单独使用并不低于无防御。
• 跨设置：四域合计 ASR 从 30.0% 到 3.0%，各域在 0.0% 与 5.3% 之间。308 次被拦尝试中，77.9% 由确定性检查首先拦截。ASB 上 ACL 为 30.0%，DEFER 为 1.8%。TAMAS 上经工具的攻击下降，只经回答的攻击基本不变，全部实例从 43.5% 到 21.9%。
• 失败：离线风险门批准它所看到的攻击提案的 90%（27/30），良性提案只有 36%。不过期的回放状态拒绝 80 个后果性良性提案中的 87.5%。同一谱系的评审团比多样团放过更多 ASB 动作。legal 中似真伪造记录同时通过写入检查和多数 judged write。
• 作者的结论：攻击必须打破可陈述的策略或状态时，安全性在规则里，judge 放行规则无法评估的合法工作；攻击留在策略内时，由 judge 承担防御。似真写入两边都过。批准应按动作分类，而不是给攻击者能塑造的上下文打分；回放状态必须过期；judge 要多样，且不跨域迁移。流水线挡住经工具采取的攻击，挡不住只经智能体言辞采取的攻击。