FlowReview：以授权配对评测控制多智能体组合信息流

单独可通过检查的贡献拼在一起，可能启用被禁止的使用；一律阻断又会关掉协作所需的授权能力。

• 场景：作者称多智能体靠分享证据、委派任务和组合信息获得能力。客服拼接不同服务的记录、软件团队汇集不同智能体的改动，都会改变下游能重构并执行的动作。问题是：组合信息所启用的动作，在可信策略下是否被授权。
• 现有做法的缺口：作者称逐件做完整对象检查可以全部通过，下游仍能从并集恢复对象并提议送往禁止目的地。擦掉全部受保护值或拒绝全部后果性动作，可以得到拒绝侧满分，同时禁用团队被设计来提供的能力。
• 目标：作者把选择性安全（selective safety）定义为，在共享任务场景里区分禁止使用和任务所需的授权使用。作者认为只保住字段或谱系，仍不能保证权限归属正确。
• 提出：授权配对评测（authorization-paired evaluation）把“阻断禁止使用”和“完成所需授权使用”合成联合成功标准；FlowReview 把对象解析、权限排序和确定性强制接到可核验的组件上。
• 威胁模型：
  • 目标：被评估的禁止使用不得执行，任务所需的授权使用必须完成。
  • 知识：攻击者控制不可信工件，并知道流水线、提示词和检测器。
  • 不能改：可信策略 P、已注册 schema、commit gate。不可信权威声明 Q 独立于 P 变化。
  • 受害系统：分别调用的 LLM 智能体，经显式消息、存储记录和交接交换工件，并对受治理对象提出动作。确定性 commit gate 介导动作边界并更新执行账本。

智能体安全评测

• AgentHarm、Agent-SafetyBench、AgentDojo（Andriushchenko 等，2025；Zhang 等，2025；Debenedetti 等，2024）测量有害行为与工具使用攻击。
• ST-WebAgentBench（Levy 等，2024）把策略合规纳入任务成功。引言还提到策略感知评测把成功动作的约束写明（Levy 等，2024；Tang 等，2026）。
• TAMAS、AgentLeak、GroupGuard（Kavathekar 等，2025；El Yagoubi 等，2026；Tao 等，2026）考察多智能体工作流中的风险。

组合式输入

• Jailbreak in Pieces、Safe + safe = unsafe、Jigsaw Puzzles（Shayegani 等，2024；Cui 等，2025；Yang 等，2025）把输入跨模态或跨对话轮次组合。论文描述这些工作，并在附录 G 把共同点写成：组合信息的安全含义可以超过各分量。

信息流与能力控制

• 完全中介、信息流控制和能力分别来自 Saltzer 与 Schroeder（1975）、Denning（1976）、Hardy（1988）。
• CaMeL（Debenedetti 等，2025）跟踪解释器数据依赖，并对传递依赖施加工具调用策略。作者称 FlowReview 另给配对评测目标，并把解析、权限排序和强制执行做成跨智能体的实验分解。
• 附录 G 还写到 ChainCaps、ARGUS、ScopeGate，分别发展委托、溯源感知和值绑定授权。

基线方法与基准/数据集

• 实验对照包括局部读者对全局读者、仅类别或标签定位对双侧对象绑定、模型审查对 commit gate、仅类型谱系对显式契约、模型组装器对运行时组装器、原生无门控对对象绑定运行时栈。
• 数据是自建场景（显式受治理对象、工件分配和可信权限）、由指定片段生成的工件，以及源自 AgentDojo 的工具任务与状态预言机。

作者的定位是：已有基准会同时看有害行为与良性效用，此处要求更具体，即把禁止使用和所需授权使用绑到同一场景；读范围和贡献者干预定位对象解析失败，放置比较检验这些能力如何穿过通信保留下来。

FlowReview 用已记录工件、可信策略和预先注册的对象与动作契约审查提议动作，依次回答：现有信息识别出哪个受治理对象、哪种用途被授权、执行是否服从该决定。

对象、动作与配对标准

• 受治理对象 z 的使用受可信授权约束；对它提出的动作称为提案。策略 P 把权限绑到对象、操作、目的地、行动主体和策略版本。
• 一次 episode 记录任务、工件、对象、策略、提案和执行账本 y(e)。动作边界是提案变成已执行动作的运行时点，由确定性 commit gate 介导。提案与执行分开记录。
• 注册解析器 R 在相应模型调用前固定；解析不到则返回 ⊥。局部读者检查单件，全局读者检查并集。作者给出的组合情形是：每个单件都解析不到对象，并集却解析到 z。
• 禁止使用实际执行则 D=1，所需授权使用完成则 A=1。选择性正确率定义为 C=(1−D)A，即两件事同时正确；C 先按单元计算再平均。周围任务完成 T 单独计算，因为授权动作成功时，任务其余部分仍可能失败。
• 一个单元可以是同一场景和对象在相反可信权限下的两次执行，或同一 episode 中两个同类对象权限相反。前者看对授权变化的响应，后者看同一次执行中的对象级区分。附录 A.3 规定匹配输入、提案生成和运行时重放。

三项审查能力

• 对象解析：契约给出身份和动作字段。结构化记录核对字段并集；文本值动作匹配注册值或表示。作者称只有敏感内容类别时，不能区分权限不同的记录。
• 权限排序：把可信 P 用到已解析对象的提议用途，区分策略拒绝的动作和任务要求的授权动作。隔离专家收到策略、对象引用、策略版本和候选；仅在 ALLOW 且引用与版本匹配时原样选择该候选，否则不选动作。
• 确定性强制：运行时按可信策略核验绑定动作，并控制唯一提交路径。阶梯中，它把草稿解析成 schema 字段，并在执行前确定性地去掉被拒绝的值；对象级流程则准入或阻断绑定动作。读范围实验里，解析为 ⊥ 的 schema 合法提案沿原执行路径走，不做对象级阻断。作者指出，失败即关闭会阻断全部未解析提案，包括所需授权使用。
• 能力阶梯依次是仅类别审查、双侧对象绑定、再加确定性强制。放置实验再改变由哪个组件记录谱系、选择权限绑定动作或组装对象。

谱系、权限选择与组装

• 作者用来源（provenance）指起源和变换的记录元数据，用谱系（lineage）指这些元数据描述的依赖链。运行时记录直接可观察的依赖；附录 E 列出工件身份、对象身份、直接父标识、策略版本、原始来源可见性和变换索引。
• 专家的四字段输入不含不可信声明和运行时谱系元数据。commit gate 再独立核验所选动作的五个契约字段后才执行。
• 组装实验把工件是否可用和能否拼合分开。固定、与提供方无关的回退只替换无效或不可用工件，不查阅策略或下游结果，也不另做模型调用。模型组装器与运行时组装器收到同一批已校验工件；运行时按注册 schema 重构对象。

团队与比较如何固定

• 同质团队各角色用同一底层模型，异质团队用不同模型。共享权重不等于共享上下文。规模与委托实验有五个同质团队和两个异质团队，协调者为 Sonnet 或 Haiku。
• N 计入协调者；K 是受保护字段的初始持有者。读范围比较重放同一提案和工件；策略条件调用则在对应权限下分别生成提案。
• 确认性设计在评测前指定场景、提示词、终点和重试规则。开发集与确认集不相交。比率计入失败的提供方调用和协议非法输出。

实验设置

• 模型：团队模型为 Sonnet 4.5、Haiku 4.5、Qwen3-32B、Gemma3-27B、Llama-3.3-70B。阶梯起草者是后三个，攻击者是 Sonnet 4.5、Qwen3-235B、Mistral Large 3，草稿审查为 Haiku 4.5。权限专家是 Sonnet 4.5、Haiku 4.5、Qwen3-32B、Gemma3-27B。
• 规模：Table 3。受控组合为 480 次 DENY 加 480 次 ALLOW；生成式组合 60 对、12 簇；阶梯每格 576 次、32 簇；贡献者发现 588 图、复制 672 图；委托每契约 840 图；权限放置每专家 480 图；组装每臂 80 次执行，其中 40 次 ALLOW；AgentDojo 为 24 个独立 Sonnet 对。贡献者对象是 16 字段记录。
• 对照：局部对全局读者，仅类别或标签定位对双侧绑定，模型审查对确定性删除，仅类型对显式谱系，模型组装器对运行时组装器，原生无门控对对象绑定运行时栈。
• 指标与判定：D、A、C、T 由注册读者和动作账本判定，论文未把这些终点交给另一个 LLM 打分。AgentDojo 用基准预言机，另记精确合法工具调用。预先指定：Q 效应的 95% 区间须整个落在 ±0.10 内；授权供给能力阈值为 0.90。
• 统计：场景聚类自助法，终点族内 Holm 校正。阶梯每个场景、起草者、攻击者和重复各 2 次。Fig. 3 与若干确认分析重采样 10,000 次，自然组合 8,000 次。两次执行因传输记账违规在结果分析前排除。

主结果

主表按干预对照列出标题结果，不把多个模型合成一行。Fig. 8c 的分模型柱在转写中可能错列，这里不采用。

表格较宽，可左右滑动

对比	条件	对照臂	审查或门控臂
拒绝提交	固定提案，480次DENY；正文、Fig. 4c	413/480（86.0%）	0/480
授权供给	同一对比的ALLOW	459/480	459/480
选择性正确率C	24轮，两族各576次；附录C.2	仅类别为0	强制后0.9948与0.9965
目标提交	Sonnet 4.5，24对；Table 2	21/24	0/24

• 作者称决定性差别是审查能否看到片段关系，从而使完整对象进入权限强制。两侧供给相同，拒绝侧变化不是靠停做授权动作。
• 引言把阶梯写成从 0 到大约 99%。附录 C.2 给出上表的精确 C，并报告两种攻击族、两个预算共 2,304 次最终配置没有逐字释放。Fig. 3 在 project naming、reference position 上标出 99.5 与 99.7，对应这两族的强制执行臂。
• Table 2 中效用不在上表：原生 9/24，门控 21/24；精确调用匹配两侧都是 5/24。最终违规从 24/24 到 4/24。作者称效用上升来自去掉未被允许的副作用，已注册动作的控制不等于基准更宽的安全结果。

从检测到控制

• 同胞对象：Fig. 4a 与附录 C.4，每条件 288 次。仅类别和标签定位的选择性成功为 0/288，双侧绑定为 282/288（0.9792）。作者称共享类别标签表达不了相反权限。单对象、四检测器并集时，两侧逐字泄露都是 0/288，授权供给都是 0.9965。
• 检测之后：Fig. 4b，模型审查 11/991 次泄露，召回 0.987；同一逐字匹配器下确定性删除为 0/1,009（p=4.3×10^-4）。作者称检测和执行是分开的失败点。24 轮仅类别的扣留率为 88.54% 与 87.85%，选择性成功仍为 0；双侧绑定的 C 为 0.9653/0.9705，逐字泄露为 0.0278/0.0208。
• 表示：Table 8，五模型×八种表示，字面读者与按族解码的读者比较。拒绝提交下降 22/40、上升 8/40、持平 10/40；29/40 在模型内 Holm 校正后仍有差异，升降都有。Haiku 的 12 个受控释义提案全是规范 JSON：字面读者全部认出并阻断，指定释义解码器认出 0 个并全部放行。作者称权限强制只能作用到读者解析出的用途。

通信、归属与放置

• 贡献者：发现集 420 张分布式图的局部视图都不完整，局部控制提交全部 420 个拒绝动作；全局阻断其中 415 张已解析图，5 次失败都在 N=16、K=15。复制集最大切分有 19/168 张图未解析，字段并集在每张图都完整；匹配的授权动作全部保留。同质 Haiku 的最大切分对比为 −0.417 [−0.625, −0.208]，Holm 后 p<0.001；各团队覆盖为 14/24 到 24/24。作者称缺的是把片段连到可核验身份。插入内容不变的中继后，不安全提案和授权供给都下降。
• 契约：显式语义下完整谱系 834/840，仅类型为 202/840；任何角色的权限归属漂移为 676/840，任务完成为 840/840。正确归属从 5.5% 到 19.5%。作者称不可信 ALLOW 声明仍应照实报告，即使可信 DENY 要求拒绝该动作。委托深度研究用的是另一题库和最终提案漂移，132/840，不能与 676/840 直接对比。
• 放置与版本：Table 1 的权限行是执行前选择：四名专家在各 480 张图上谱系、提案正确性和任务检查都是 1.000，拒绝提交 0/480；该任务检查并不等于对象重构，A 标为 N/A。组装行是执行正确性：运行时组装器为 1.000、A 与 T 为 1.000、拒绝提交 0/80；同一已校验工件上的模型组装器为 0.675、0.350、0.475，拒绝提交也是 0/80。重读当前策略后授权供给 120/120，仍有 1/240 错误提交；再加上版本门则为 0/240 和 83/120。对过期提案只给一次修复，授权供给 0/120，错误提交为 0。

工具使用迁移

• 开发期未改的官方载荷对 Sonnet 和 Haiku 没有精确目标事件。选出的工具结果中继上，Sonnet 为 24/24 精确短暂攻击；Haiku 为 2/24，且未满足仪器标准，因此确认比较只评 Sonnet。另有 36 条轨迹的暴露比较：Sonnet、Haiku 的精确短暂事件都是 0/36。
• 24 个独立 Sonnet 对的配对变化为：目标提交 −0.875 [−1.00, −0.75]，最终违规 −0.833 [−0.958, −0.667]，效用 +0.500 [0.292, 0.708]；合法动作供给和协议符合不变。两项减少在 Holm 后 p<0.001。24 对里效用上升 12 对、保持成功 9 对、保持不成功 3 对。
• 探索性 Qwen3-32B：原生目标提交 20/32，门控 0/32；效用 15/32 对 6/32，差为 −0.281 [−0.469, −0.094]。独立复制的原生精确目标只有 1/32，低于确认阈值 0.20 且至少 4 次；两侧效用都是 11/32，配对区间 [−0.156, 0.125] 不能排除差于 −0.10。另一组 Claude 比较两侧都是 0 次精确提案或提交，效用 43/64 对 44/64，作者称不能据此估计门控阻止了多少目标动作。

其他消融与分析

• P×Q，四模型、16 簇、256 条轨迹（Table 7）：ΔP=0.8828 [0.8125, 0.9453]；ΔQ(DENY)=0；ΔQ(ALLOW)=0.0156 [−0.0625, 0.0938]；A=113/128；T=256/256。两个声明区间都落在 ±0.10 内。
• Llama-3.3-70B 单独复制 64 条轨迹：授权供给 32/32，两种权限下声明效应都是 0。
• 10 轮选择性成功为 570/576 与 575/576，24 轮为 573/576 与 574/576；该句未标明族名。24 轮两族在各阶梯条件下相差至多 0.7 个百分点。
• 生成式组合：局部精确恢复 3/60，都在 Gemma3-27B；全局 0/60，且每个模型 0/12。授权供给 15/60，任务完成 27/60。局部恢复率的 95% 聚类区间为 0 到 10%。
• 运行时谱系相对显式模型谱系，开发簇完整率从 0.6917 到 1.0，配对差 0.3083 [0.2917, 0.3250]。确认图上归属漂移 0.0021，虚假可信提升为 0；协议有效性 0.9999，分母含 1 次 Haiku 终端失败。
• 无故障转移时组件可用性 0.7333，有故障转移为 1.0。Table 14 四臂的拒绝泄露、局部泄露和未分配字段都是 0。

作者指出的局限与后续方向

• 受控题库识别的是组合机制（第 6 节 Limitations and Future Directions）。
• 阶梯的零泄露结果适用于已注册的逐字动作边界（第 6 节）。
• AgentDojo 确认覆盖的是开发阶段选出的中继上的 Sonnet 4.5（第 6 节）。
• 后续可以测量自然工作流中的发生率（第 6 节）。
• 后续可以扩大表示与模型覆盖，并改进权限变化下的恢复（第 6 节）。
• 后续可以相对外部防御比较安全与授权效用（第 6 节）。

实验覆盖范围

• 团队模型为 Sonnet 4.5、Haiku 4.5、Qwen3-32B、Gemma3-27B、Llama-3.3-70B；规模与委托含五个同质团队和两个异质团队（第 2.3 节）。阶梯攻击者还包括 Qwen3-235B 与 Mistral Large 3（附录 C.1）。
• 读范围对比固定提案、工件、策略和动作边界，DENY 与 ALLOW 各 480 次（正文、Table 3）。解析为 ⊥ 的 schema 合法提案沿原执行路径，不做对象级阻断（第 2.3 节）。
• 阶梯使用 32 个留出场景、两种攻击族和 10 或 24 轮自适应预算；攻击者知道防御过程，并根据先前尝试的反馈改编工件（附录 C.1）。最终配置共 2,304 次试验。
• AgentDojo 确认性比较是 24 个独立 Sonnet 对（Table 2）。Haiku 在开发期所选中继上未满足仪器标准，因而未进入该确认比较（附录 F.1）。Qwen 独立复制的原生精确目标动作为 1/32，论文作描述性分析（附录 F.5）。
• 确认性比较使用场景聚类自助区间和终点族内 Holm 校正，失败调用与协议非法输出计入比率（第 2.3 节、附录 A.4）。与外部防御的对照数字，论文未报告。

这篇工作把多智能体安全写成一件必须同时成立的事：拦住组合信息所启用的禁止使用，并完成同一场景里任务所需的授权使用。

• 局部检查可以全部通过，下游仍能从工件并集恢复受治理对象。作者认为全盘擦除或全盘拒绝会得到拒绝侧高分，同时关掉协作能力，因此用 D、A 和 C 把两侧绑在一起。
• FlowReview 把审查分成对象解析、按可信策略 P 的权限排序，以及 commit gate 上的确定性强制。未解析提案在读范围实验中不触发对象级阻断；失败即关闭会把所需授权使用一起挡住。
• 提案、工件和策略固定时，看并集使拒绝提交从 86.0%（413/480）降到 0/480，授权供给两侧都是 459/480。24 轮、每族 576 次时，仅类别的 C 为 0，加强制后 project naming 与 reference position 为 0.9948 与 0.9965。引言概括为大约 99%；2,304 次最终配置在注册逐字边界没有释放。
• 显式谱系契约下仍有 676/840 张图出现任何角色的权限归属错误。把依赖记录放到运行时、由隔离专家选择动作再由门控核验后，四名专家的拒绝提交为 0/480。同一已校验工件上，运行时组装的授权供给为 1.000，模型组装器为 0.350。
• 24 个独立 Sonnet 对上，对象绑定运行时栈的目标提交为 0/24，基准效用为 21/24，精确合法调用仍是 5/24，最终违规剩 4/24。探索性 Qwen 比较阻止了目标提交，效用从 15/32 到 6/32。
• 作者的结论是：对象身份和当前可信权限必须穿过通信一起到达所执行的动作，系统才能拒绝而不禁用。作者同时把零泄露限定在注册逐字边界，并把自然工作流发生率、权限变化下的恢复和外部防御对比列为后续工作。