每个 Agent 都安全，为什么系统还是会被攻破？跨 Agent 信任洗白与双通道防御

牛津大学等机构研究者 2026 年 10 月的论文（arXiv:2610.05640）发现，即使多 Agent 系统中每个 Agent 都部署了 CaMeL 防护，系统仍可能被间接提示注入攻破。攻击者利用“边界洗白”（Boundary Laundering），让被识别为不可信的数据在跨 Agent 传递后被下游当作可信指令执行，文中以编排、SQL、通知三个 Agent 的协作场景演示了这一过程。作者提出 multi-CaMeL，将可信指令与数据经 message、variables 双通道分开传输，并施加指令通道完整性与跨 Agent 来源保持约束。作者同时指出，分支引导攻击不违反其控制流完整性定义，隐式数据依赖追踪仍存在局限。