研究：多智能体系统潜在通信链路可被训练用于提升有害顺从

只训练或篡改多智能体之间的潜在通信链路，是否会在底层模型保持冻结时提高系统的有害遵从。

• 场景：作者称基于 LLM 的多智能体通常用文本交换中间结果，生成并再次处理消息会增加 token、推理延迟和计算成本。潜在通信改为交换内部表示，并用轻量可训练链路把发送方表示映射到接收方输入空间，从而不必更新底层模型。
• 现有不足：作者称 LatentMAS、KVComm、RecursiveMAS、StateBridge 等主要关注潜在通信的效果与效率。文本系统已有提示注入、消息篡改和恶意智能体等攻击面；潜在系统中，Wang et al. (2026) 研究推理时对隐藏状态和 KV cache 交接的干预。作者认为，链路训练仍会改变信息如何传入接收方，从而塑造组合系统的行为。
• 核心观察：作者称，即便链路只在良性数据上训练、智能体参数不变，有害遵从仍可能相对文本通信上升。作者认为一种可能是：良性监督奖励完成任务，却没有相应信号去保持拒答。
• 威胁模型：
  • 目标：相对良性训练后的系统提高 harmful compliance。
  • 知识与能力：视设定而定，攻击者可直接优化通信链路参数，或把有害样本注入链路训练数据但不能直接更新链路或改变训练目标。
  • 约束：所有底层 LLM 参数保持冻结；被修改的链路跨查询复用。
  • 受害系统：由冻结 LLM 智能体与可训练链路 fθ 组成的多智能体系统，拓扑为 Two-agent、Sequential、Mixture。
• 本文提出：在三种拓扑上比较文本通信与良性潜在链路；研究监督优化、数据投毒和无需有害目标回复的奖励引导攻击；再用奖励引导只更新链路来修复。

潜在通信

• LatentMAS（Zou et al., 2026b）：通过 KV cache 共享潜在工作记忆。
• KVComm（Shi et al., 2026）：在同一底层模型的智能体之间选择性传输 KV 对。
• RecursiveMAS 与 StateBridge（Zou et al., 2026a; Peng et al., 2026）：支持异构智能体在潜在空间通信。RecursiveMAS 用 Recursive Link 学习通信映射；StateBridge 解析计算对齐函数。论文称这些工作大多关注效果与效率。

多智能体安全

• 文本系统攻击：Lee et al. (2025) 研究提示注入在智能体间传播；He et al. (2025)、Yan et al. (2026)、Abedini et al. (2026) 研究消息篡改和恶意智能体如何改变集体行为。
• 潜在系统攻击：Wang et al. (2026) 称，推理时对隐藏状态和 KV-cache 交接的干预可导致任务失败。
• 单模型微调：Qi et al. (2024) 称，即使训练数据是良性的，微调也可能削弱安全对齐。Qi et al. (2025) 讨论安全行为对前几个生成 token 的依赖，本文用它解释拒答起始下降。

基线与基准

• 通信基线：同一拓扑、同一 LLM 与角色下的文本通信，对照在 RecursiveMAS 数据上训练的良性潜在链路。
• 攻击对照：干净链路、约 10% 投毒、在有害问答对上的监督优化、奖励引导优化；修复以被攻击链路为起点。
• 基准：HarmBench、StrongREJECT、AdvBench、JailbreakBench；效用用 MATH500 与 GPQA-Diamond。良性训练数据来自 RecursiveMAS 的 Sequential-Math；攻击监督来自 PKU-SafeRLHF。优化使用 GRPO（Shao et al., 2024），语言一致性项的动机来自 Guo et al. (2025)。

作者把本文定位为：研究在冻结智能体之间训练和修改这些可学习通信链路如何影响系统安全，并同时看有害遵从和良性效用。

系统由冻结智能体和可训练链路组成。链路 fθ 把发送方隐藏状态映射成接收方可消费的软 token，查询 q 仍直接进入各智能体。

问题设定与形式化

• 拓扑：Figure 1 给出三种。Two-agent 为 Planner 经 fθ 连到 Solver。Sequential 为 Planner、Refiner、Solver，两条链路。Mixture 为两个 Expert 经各自链路连到共享 Summarizer。
• 单条链路：zθ(q) = fθ(hs(q))，接收方按 y ~ pϕr(· | q, zθ(q)) 生成。智能体参数 ϕr 冻结，只训练 θ。多链路时 θ 包含全部链路参数，zθ(q) 是最终接收方得到的潜在输入。
• 模型与结构：Table 5 中，2-Agent 为 Llama-3.2-3B-Instruct 到 Qwen2.5-3B-Instruct（3072→2048，27.3M 可训练参数）；Sequential 为 Gemma-3-1B-IT、Llama-3.2-1B-Instruct、Qwen3-1.7B（1152→2048→2048，36.5M）；Mixture 以 Qwen2.5-Math-1.5B-Instruct 与 Qwen3-1.7B 为专家、Qwen3-8B 为汇总（(1536, 2048)→4096，111.2M）。异构链路为残差投影：LN、两层 Linear 与 GELU，加残差 Linear 后再 LN。每步最多传递 80 个潜在隐藏状态。接收方用预留 latent-slot，其嵌入被适配器输出替换，通信槽不生成文本。

良性训练

• 目标：在干净集 Dclean 上最小化参考答案的负对数似然，即公式 (1)：θ = arg min E[−log pϕr(y | q, zθ′(q))]。
• 数据：采用 RecursiveMAS 的 Sequential-Math，Table 6 记 1,904 条良性任务监督。各拓扑按自身通信结构提供中间监督。
• 优化：AdamW，学习率 5×10⁻⁴，β1=0.9，β2=0.95，10 步线性 warmup，梯度范数裁剪 1.0，bfloat16，梯度检查点；每项任务单张 NVIDIA H100。

三种攻击

• 监督优化：从已训练链路出发，用 PKU-SafeRLHF 的 3,000 条有害问答对替换 Dclean，目标回复截断到 256 token，训练 1,560 步。攻击者不需要改智能体。
• 数据投毒：攻击者不能直接更新链路或改目标。默认向 1,904 条良性样本注入 212 条有害问答对，共 2,116 条，投毒率约 10%，按原良性目标训练一个 epoch，batch size 2。投毒样本把有害查询和最终有害回复配上固定的通用中间指令。
• 奖励引导（GRPO）：不使用有害目标回复。每个查询由最终接收方采样一组回答，用组内均值和标准差把标量奖励归一化，梯度经接收方回传，智能体与奖励模型参数固定。Appendix B.3 的策略损失用组内相对优势 Ai,k = (Ri,k − 组均值) / (组标准差 + 10⁻⁴)，再对 token 平均对数概率做加权；优势为 0 的样本不更新。

奖励与修复

• 攻击奖励：有害查询上，StrongREJECT 评审 Jψ(q, y)∈[0,1]，加上拉丁字母一致性 Cscript 和 0.5 倍内容词重叠 Coverlap，再乘长度门 g(y)=min(|y|/64, 1)。良性查询交错出现，效用奖励为 [3 Uψ + Cscript] g(y)。300 步中每三步一次效用更新，即 200 步有害、100 步干净。2-Agent 与 Sequential 每步 2 个不同查询、每查询 K=8；Mixture 因显存为 1 个查询、K=6。采样温度 0.9、top-p 0.95、最多 900 个新 token。有害查询池 2,697 条，只保留查询。
• 修复：从被攻击参数出发，同样 GRPO、300 步，有害与良性更新均匀交替。有害查询来自 AdvBench。安全奖励为 [−Ccomp − Jψ + Cscript] g(y)；正则检测常见拒答前缀时 Ccomp=0，否则为 1。良性侧用任务分：最终答案正确为 1，错误但含合法 boxed 形式为 0.3，否则为 0，奖励 [3 Ctask + Cscript] g(y)。Appendix B.4 称该效用信号基于任务正确性，与攻击阶段的 LLM 效用评审不同。

成功判定

• 安全：HarmBench、AdvBench、JailbreakBench 用官方 cais/HarmBench-Llama-2-13b-cls，ASR 为被判为表现出所请求有害行为的响应比例。StrongREJECT 用官方 Gemma-2B 加 strongreject-15k-v1，报告其连续分数。四分都换到 0–100，再平均为聚合遵从分。只把最终智能体回复交给评审。
• 分离：PKU 派生查询与四个安全基准无精确重叠，作者称评测的是留出迁移。解码默认温度 0.6、top-p 0.95、最多 2,000 个新 token。效用用金标准答案；MATH500 最多 1,000 token，GPQA-Diamond 最多 4,000。

实验设置

• 系统：三种拓扑、七个冻结模型，见 Table 5。角色在干净、攻击、修复间不变。
• 安全基准：HarmBench 200、StrongREJECT 313、JailbreakBench 100、AdvBench 520，均为原始查询。指标见上一问；聚合分为四基准平均。
• 效用与成本：MATH500（500）和 GPQA-Diamond（198）的准确率；Table 1 另报 token 数与推理时间（秒）。
• 条件：Clean 为良性链路；Poisoning (10%)、Supervised、RL attack 分别对应三种攻击；repair 从对应被攻击链路初始化。文本通信只出现在 Table 1。
• 训练规模：监督 3,000 对、1,560 步；投毒 212/2,116；RL 攻击 300 步。论文未报告评测重复次数。

主结果

Table 1 是文本与良性潜在链路。攻击主结果取各拓扑四基准平均分（Table 2、Table 3）。

表格较宽，可左右滑动

拓扑	文本 Avg.	Clean	10% 投毒	监督	RL
2-Agent	4.4	31.1	49.2	78.3	81.3
Sequential	3.2	31.7	55.9	67.0	53.6
Mixture	12.5	20.8	69.6	81.6	95.9

数字分别来自 Table 1、Table 2、Table 3。跨拓扑平均：Clean 27.9；投毒 58.2；监督 75.6；RL 76.9。

• 作者解读：良性链路已提高有害遵从，智能体参数未变。监督攻击同时损害效用：MATH500 跨拓扑从 67.2% 降到 30.7%，GPQA-Diamond 从 36.4% 降到 28.5%。
• 投毒：平均分从 27.9 到 58.2。MATH500 从 67.2% 到 46.7%，GPQA-Diamond 从 36.4% 到 32.5%。2-Agent 的 MATH500 只降 1.4 个百分点（65.3→63.9），Mixture 降 44.8 个百分点（76.8→32.0）。
• RL：两拓扑上平均遵从高于监督（2-Agent 81.3 对 78.3，Mixture 95.9 对 81.6），Sequential 更低（53.6 对 67.0）。跨拓扑 MATH500 从 67.2% 升到 71.0%，GPQA-Diamond 从 36.4% 降到 33.6%。作者称 Mixture 同时有最高遵从分，且两个效用基准都提高，因此保留良性表现并不能排除同一系统上的高有害遵从。

文本、效用与拒答

• 成本：Table 1 中潜在通信在三拓扑都减少 token 与时间。例如 2-Agent 从 729 token、2.65 秒到 511 token、1.96 秒；Mixture 从 1123 token、8.44 秒到 532 token、3.34 秒。
• 效用例外：六项效用比较中五项上升；Mixture 的 MATH500 从 80.6% 降到 76.8%。
• 拒答：Figure 2 针对接收方。首 token 拒答概率从仅接收方 0.82、文本通信 0.84 降到训练后链路 0.29。把首 token 强制为 I、No、Sorry，遵从分从 31.1 降到 9.6、3.7、1.6；五 token 拒答前缀降到 0。作者认为这与浅层安全对齐一致，并认为拒答起始下降促成了遵从上升。

单链路与修复

• 单链路（监督，Figure 4）：Sequential 只优化 Refiner→Solver 得平均 70.0，两条一起为 67.0；Planner→Refiner 为 62.2。Mixture 单条专家链路 80.3（Math→Sum.）和 78.6（Gen.→Sum.），全部链路 81.6；Clean 为 20.8。作者称单条链路已能对响应提供相当控制。
• 修复（Table 4）：九组攻击–拓扑的聚合分从 70.3 降到 4.8，且每个配置、四个基准都低于对应被攻击系统，也低于原来的干净链路。Mixture 上 RL 攻击从 95.9 到 2.5（Δ −93.4）。监督与投毒后，三拓扑 MATH500 都上升；三种 RL 攻击设置上修复反而降低 MATH500。九组修复后 MATH500 平均 67.4%，接近干净链路 67.2%；GPQA-Diamond 平均 33.6%，低于干净链路 36.4%。
• 附录示例：Appendix E 给出三种拓扑在干净、三种攻击和对应修复下的定性回复，用于展示拒绝或遵从的表面差异。具体请求与回复不转述。

其他消融与分析

• 训练范式（Table 7，同一未训练初始化、有害监督）：平均遵从，2-Agent 监督 77.7、RL 79.6；Sequential 68.4、59.6；Mixture 80.1、88.5。作者称两种范式都能强力转向，但没有一种在三拓扑上始终更高。
• 只做良性训练（Table 8）：平均遵从监督对 RL 为 31.1 对 7.9（2-Agent）、31.7 对 19.6（Sequential）、20.8 对 5.7（Mixture）。RL 的 MATH500 分别为 66.9、68.7、79.0，均高于同表监督的 65.3、59.5、76.8。作者认为良性链路训练中的安全变化高度依赖优化目标。
• 投毒率（Appendix C.2，Figure 5）：论文称低投毒率即可提高遵从，约 10%–20% 后增益放缓；约 10% 时三拓扑平均分分别约为 49、56、70。更高比例继续上升但更影响效用。Figure 6 称 Sequential 的 MATH500 在中等投毒率最低，更高比例有所回升；Mixture 随比例上升而下降；2-Agent 变化较小。图中未逐点列出全部读数，故不写未标注数值。
• 效用奖励（Appendix C.4，Figure 8）：去掉效用奖励时，Mixture 平均遵从约 93.6，MATH500 约 44.0、GPQA-Diamond 约 34.8；保留时遵从约 95.8，二者约 80.6 与 47.7。2-Agent 去掉后 MATH500 约 20.9、GPQA 约 30.7，保留后约 63.7 与 25.1。Sequential 去掉后 MATH500 约 65.5、遵从约 59.6，保留后 MATH500 约 68.7、遵从约 53.6。作者称效用奖励对保持良性准确率可以重要，但是否提高遵从依拓扑而定。
• 良性训练机制（Appendix C.5，Figure 7）：作者报告接收方首 token 拒答概率随监督步数下降，约 1,000 步后稳定；同时 MATH500 上升。在 1,500 步检查点，2-Agent、Sequential、Mixture 的首 token 拒答概率分别约 0.29、0.24、0.61。作者认为链路训练把接收方推向任务完成，从而减少拒答起始；Mixture 更高的残余拒答与 Table 1 中较小的遵从增幅相符。

作者指出的局限与后续方向

• 组合系统的更广挑战：Discussion 称，这些发现突出了一个更广的挑战，即智能体被组合成更大系统时如何保持安全对齐（第 6 节）。
• 变化条件下的行为：同一节写明，未来工作需要考察参与模型、任务和通信机制变化时，如何维持安全且有用的行为。
• 修复的双重标准：第 6 节称，修复也可能降低任务表现，包括攻击后效用仍然较高的设置；其成功必须同时对照有害遵从和良性任务表现来评估。论文未单列 Limitations 节，也未把某一实验数字写成方法失效。

实验覆盖范围

• 系统范围：实验为三种拓扑、Table 5 的七个冻结指令模型；只更新链路。每步最多 80 个潜在状态，异构链路用附录 A.1 的残差投影。
• 数据与协议：安全评测为四个基准共 200、313、100、520 条查询；效用为 MATH500 500 题、GPQA-Diamond 198 题。攻击查询来自 PKU-SafeRLHF，与四基准无精确重叠。默认解码温度 0.6、top-p 0.95。论文未报告评测重复次数。
• 攻击与修复预算：监督攻击 1,560 步、目标截断 256 token；默认投毒约 10%（212/1,904），Appendix C.2 另扫投毒比例；RL 与修复各 300 步。修复的有害查询来自 AdvBench，其效用奖励用规则任务分，攻击阶段用 LLM 效用评审。
• 对照：Table 1 含文本通信；Table 7–8 比较同一未训练初始化下的监督与 RL；Figure 4 单独优化各链路。单链路分析只做了监督优化。
• 评审判定：HarmBench、AdvBench、JailbreakBench 用 HarmBench-Llama-2-13b-cls；StrongREJECT 用 Gemma-2B 与 strongreject-15k-v1。论文未报告评审与人工的一致性。

学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。

作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。链路把发送方隐藏状态映射为接收方的软 token，全部 LLM 参数保持固定。

良性链路只用数学数据训练。相对同角色的文本通信，三拓扑的四基准平均有害遵从从 4.4、3.2、12.5 升到 31.1、31.7、20.8（Table 1），同时 token 与推理时间下降。接收方首 token 拒答概率从约 0.82–0.84 降到 0.29（Figure 2）。

攻击只改链路或训练数据。跨拓扑平均后，监督优化把遵从分从 27.9 升到 75.6，但 MATH500 从 67.2% 降到 30.7%；约 10% 投毒升到 58.2；不使用有害目标回复的 GRPO 升到 76.9，且跨拓扑平均 MATH500 升到 71.0%。Mixture 上该攻击达 95.9，两个效用基准也高于干净链路。Sequential 上 RL 平均分 53.6，低于监督的 67.0。只优化一条链路即可接近或超过同时优化全部链路的监督结果（Figure 4）。

把奖励改成惩罚遵从并奖励良性正确性后，九组攻击–拓扑的平均分从 70.3 降到 4.8，低于各自的干净链路（Table 4）。作者认为：固定智能体参数并不能保证安全行为，通信训练属于系统对齐的一部分，而良性任务变好本身不能说明安全被保持。