跳到正文
原文

Agent 对话时秘密在传播：多 Agent LLM 系统中的拓扑驱动泄漏与接收方条件式清洗

When Agents Talk, Secrets Travel: Topology-Driven Leakage and Recipient-Conditioned Sanitization in Multi-Agent LLM Systems

arXiv· arXiv:2610.16039· Sunday Oyinlola Ogundoyin, Muhammad IkramMacquarie University本站收录· 25 天前· 原文发表入选 防御精选关注度38
#Agent 安全

论文速读

防御

据论文 PDF 整理（Gemini 生成），以原文为准

作者针对多智能体拓扑泄露提出RECONS，在AgentLeak衍生集上将残留泄露从96.7%降至29.25%并保留94.1%授权披露。

威胁模型被动未授权接收方观察C1–C7通道获取未授权属性；主要包括拓扑引入的pos_j智能体及C6日志/C7工件观察者；涵盖A0良性执行、A1外部观察C1、A2内部观察C2–C5三级对抗；排除推断、合谋与跨会话分析。

问题
多智能体系统中合法披露给某个智能体的信息，常在日常协同中传播给未授权智能体。现有防御基于敏感度进行一刀切脱敏，无法按接收者区分授权边界，造成过度抑制合法披露或放行违规泄露。
方法
论文提出RECONS在线脱敏器，构建“检测-判定-转换”流水线，在通信边界根据运行时解析的接收者身份与上下文策略评估授权，仅对未授权传播按数据类型执行格式保留加密、差分隐私、伪名化或语义重写。
实验与结果
评测显示拓扑变化使新智能体泄露率从0%升至52.2%；RECONS在405个留出场景上将残留泄露率从96.7%降至29.25%，并保留94.1%的授权披露（一刀切掩码仅保留20.5%）；框架选择会产生约150倍的泄露率跨度。
局限与可以继续做的
作者指出检测遗漏占残留泄露的95.5%，工具通道缺乏接收者标识，且过度依赖图可达性会导致82%的过度脱敏；实验基于英语四领域单一基准衍生场景，未覆盖隐状态泄露、合谋及跨会话推断等攻击。
实验设置Qwen3-32B、GPT-5-mini 等 · AgentLeak · Surface leakage、New-agent disclosure (L(T)) 等
被测模型
Qwen3-32BGPT-5-miniGemini-3.7-FlashLlama-3.3-70B
基准
AgentLeak
指标
Surface leakageNew-agent disclosure (L(T))Unauthorized propagationResidual leakageCorrect-allowValue fidelity
AI 导读和推荐理由Macquarie University 的研究者测量多 Agent LLM 系统的隐私泄漏，发现通信拓扑改变受保护信息流向哪些接收方。论文在 485 个场景、协同者与工作者、点对点和层级三种拓扑、七个通信通道上评估，流向拓扑新引入的接收方的比例从 0% 升到 52.2%，而表层泄漏率几乎持平，维持在 60.6% 至 62.8%；仅更换编排框架就能带来约两个数量级的泄漏差距，AutoGen 与 Google ADK 之间相差约 150 倍。作者提出按接收方与执行上下文决策的清洗机制 RECONS，分为检测、决策、转换三步，将残余披露从 96.7% 降到 29.25%，并保留 94.1% 的授权披露，全面脱敏只保留 20.5%。残余披露中 95.5% 来自检测漏报。该效应在 GPT-5-mini、Gemini-3.7-Flash、Llama-3.3-70B 等模型上仍出现，但幅度与路径不同。

Macquarie University 的研究者测量多 Agent LLM 系统的隐私泄漏，发现通信拓扑改变受保护信息流向哪些接收方。论文在 485 个场景、协同者与工作者、点对点和层级三种拓扑、七个通信通道上评估，流向拓扑新引入的接收方的比例从 0% 升到 52.2%，而表层泄漏率几乎持平，维持在 60.6% 至 62.8%；仅更换编排框架就能带来约两个数量级的泄漏差距，AutoGen 与 Google ADK 之间相差约 150 倍。作者提出按接收方与执行上下文决策的清洗机制 RECONS，分为检测、决策、转换三步，将残余披露从 96.7% 降到 29.25%，并保留 94.1% 的授权披露，全面脱敏只保留 20.5%。残余披露中 95.5% 来自检测漏报。该效应在 GPT-5-mini、Gemini-3.7-Flash、Llama-3.3-70B 等模型上仍出现，但幅度与路径不同。

推荐理由论文在 485 个场景上比较三种拓扑的越权传播率，并把残余披露拆解为检测漏报与接收方解析失败，可用于设计多 Agent 系统的信息流管控。

相关热点

1 个事件 · 1 条新闻提到

提到这篇论文的新闻

RL/RLHF 训练条件可诱发模型智能体提权逃逸

深度解读

6个问题，点开问题读完整回答

  1. 这篇论文试图解决什么问题？

    作者称多智能体系统中合法披露的信息会经协作传播至未授权智能体，现有防御缺乏接收者感知而无法兼顾隐私与效用。

    多智能体LLM系统（MALS）中合法披露给授权智能体的信息，会在日常协同中沿通信拓扑传播至未授权智能体，造成拓扑驱动的隐私泄露。

    • 问题场景与重要性：在多智能体系统中，复杂任务被分解到多个智能体之间协同执行，各智能体通过工具调用、共享内存和直接消息相互协作。作者认为，信息流转不再局限于用户与单一模型之间，导致敏感数据泄露不再单纯取决于“某个值是否被披露”，而是取决于“它是否传递给了错误的接收者”。
    • 现有方法的不足：作者称，现有防御大多基于敏感度进行一刀切处理。若将每个检测到的敏感值同等对待，系统必须在“破坏合法披露的全面脱敏”与“放任未授权传播的完全放行”之间做出非此即彼的抉择；现有提示脱敏与基于推理的缓解方案仅针对单消息或单用户边界，未根据转发的接收者判定授权。
    • 核心观察与假设：作者提出拓扑条件化接收者暴露（topology-conditioned recipient exposure）概念，认为改变通信拓扑会改变信息可达的接收者集合，使原本合法的披露在传播越过授权边界后转变为违规泄露。
    • 威胁模型：
      • 攻击者目标：作为被动未授权接收方，通过观察系统内部或外部暴露的通信通道获取其未被授权访问的受保护属性。
      • 攻击者知识：在黑盒追踪下观察通道内容；论文主威胁模型假定其无修改执行或注入提示词的能力，不具备跨会话关联或合谋能力。
      • 攻击者能力：涵盖三级对抗强度：A0（良性执行，无主动攻击）、A1（观察用户最终输出C1的外部对抗方）、A2（观察智能体间消息C2、工具参数与结果C3/C4、共享内存C5的内部对抗方）。
      • 受害系统：基于LangGraph等编排框架运行、包含多个具有异构角色与字段级访问控制策略的多智能体协同系统。
    • 论文提出方案：提出了用于测量拓扑驱动泄露的评测框架，以及RECONS在线脱敏器，通过“检测-判定-转换”流水线将隐私执行建立在运行时解析的接收者与执行上下文之上。

  2. 有哪些相关研究？

    作者梳理了多智能体隐私泄露、内部通道测量及脱敏转换三类研究，指出既有工作均未将防御干预条件化在接收者边界上。

    论文从三个维度梳理了相关研究，并指出了既有方法与本文的差异：

    • 多智能体系统隐私泄露与推理

      • CONFAIDE（2024）：直接评估情境完整性（contextual-integrity）推理，发现模型与人类在信息流合规性上的协议度在复杂场景下从0.8降至0.1；作者指出其将披露视为单一决策，未考虑消息后续传播。
      • PrivacyChecker（2025）与1-2-3-Check（2025）：PrivacyChecker报告了模型能识别敏感内容却仍在交互中泄露的“判断-行动差距”，1-2-3-Check通过分解推理缓解泄露；作者指出二者均依赖执行模型自身判定单条消息，未将其条件化在后续转发路径上。
      • 组合泄露研究（Patil等，2025；Asif和Amiri，2026；Biswas等，2025）：形式化了多智能体良性输出拼接导致的信息重构，推导了信息论界限并指出泄露随拓扑深度与合谋增加；MAGPIE（2025）在显式禁令下测得协商场景最高56%的泄露；GAMA（2025）与SRPG（2025）从架构隔离入手，但未将泄露与通信图结构或显式接收者授权关联。

    • 多智能体内部泄露测量

      • AgentLeak（2026）：测量发现内部消息与共享内存泄露率是外部输出的2.1倍，仅审计输出会遗漏41.7%的违规，且一刀切掩码导致任务成功率下降30–65个点；作者指出其局限在于仅评估固定双智能体拓扑，未研究结构如何改变可达接收者。
      • MAMA（Liu等，2026）：在6个图结构上表明更密集、中心化的拓扑及更短的攻击者距离会增加记忆泄露；作者指出MAMA基于主动探测记忆的主动威胁模型，而本文研究良性执行下的拓扑传播并以授权关系为基准。
      • 其他基准（AgentBench，2025；AgentDojo，2024；OpenAgentSafety，2025）：主要评估任务能力、提示注入鲁棒性或静态隐私评测，未将拓扑作为独立自变量隔离评测。

    • 数据防泄漏（DLP）与隐私保护转换

      • Pr∈∈mpt（2025）：针对单提示词提供基于格式保留加密（FPE）和度量局部差分隐私（mLDP）的正式不可区分性保证；作者指出其局限在单智能体、单用户交互，无需区分接收者。
      • 边界防火墙与访问控制（Multi-Agent Firewall，2026；AgentGuard，2026）：在调用第三方前拦截或在工具调用上强制属性访问控制；作者指出它们仅防范跨边界流量，无法控制系统内部已存在的数值在异构智能体间的流转。
      • 动态标签传播（FIDES，2025）与监控隔离（Sentinel，2025）：FIDES基于信息流控制防范提示注入；Sentinel隔离违规交互但缺乏授权分类与效用权衡。

    • 基线方法与基准数据集

      • 对比基线包括无脱敏（None）、AgentLeak一刀切掩码（Blanket Redaction）以及微软开源数据防护工具Presidio（DLP）；评测基于从AgentLeak基准衍生的485个多智能体场景。

    • 本文工作定位：作者称，本文工作通过隔离拓扑自变量扩展了多智能体传播测量，并通过在通信边界引入接收者感知的决策层，填补了单智能体脱敏与边界防火墙无法控制内部未授权传播的空白。

  3. 论文如何解决这个问题？

    论文提出RECONS在线脱敏器，以“检测-判定-转换”三阶段流水线，在通信边界依据接收者授权与数据类型执行自适应保护。

    针对多智能体系统中的拓扑驱动泄露，论文提出了 RECONS（Recipient-Conditioned Sanitization）在线拦截脱敏框架。该框架将敏感性与授权性解耦，通过 Detect → Decide → Transform（检测-判定-转换）三阶段流水线，在智能体生成内容跨越边界前拦截事件，依据接收者身份与上下文策略实施针对性保护。

    问题形式化与可观测通道

    • 可观测事件表示：将可观测事件表示为元组 \vartheta_t = (\check{a}, \varsigma, c, r, \text{pos}, t)，其中 \check{a} 为受保护属性，\varsigma 为其值类型，c ∈ {C1, …, C7} 为通道，r 为可解析接收者，pos ∈ {posi, posj} 区分接收者是原始授权智能体还是拓扑引入的智能体，t 为时间索引。
    • 授权关系与边界跨越：形式化授权关系 \mathcal{A}(\check{a}, \varsigma, c, r, \text{pos}) \in \{\text{allow}, \text{sanitize}\}，作为判定基准；当 𝒜(·) = sanitize 且受保护值被未授权接收者获取时构成泄露。
    • 七大可观测通道：涵盖用户最终输出（C1）、智能体间消息（C2）、工具参数与结果（C3/C4）、共享内存读写（C5）、推理与执行日志（C6）、生成工件（C7）。仅C2和C5读操作显式包含接收者标识，其余通道不包含可解析接收者。

    检测层设计

    • 三层递进检测架构：Tier 1采用规则与NER模式匹配（针对SSN、卡号、电话、日期等结构化字段及校验和验证）；Tier 2采用GLiNER进行零样本实体识别，仅在置信度高于Tier 1时替换；Tier 3采用校准后的Mistral-Small-24B作为LLM裁判，在自由文本通道（C1、C2、C6）及C5、C7的语义内容上检测语义等价表达。
    • 阈值校准与分层：将实例划分为确定阳性（Tier 1/2匹配）、确定阴性及语义中间层；在CW-2下生成的独立校准集上进行阈值扫描，选定阈值 ζ = 0.50（在此工作点精确率为0.9091，召回率为0.9375，FPR为0.0112）。
    • 三类受保护值分类：根据所需转换将受保护值划分为三类：格式依赖型（format-dependent，如账号、生日）、值依赖型（value-dependent，如姓名、数值金额）和语境依赖型（context-sensitive，如诊断、诉讼策略、内部备忘）。

    决策层设计

    • 动态接收者授权规则：若解析出的接收者 r 具有访问授权，则执行放行（allow）；若未获授权，则触发转换。由于仅C2与C5读具有显式接收者，其余通道回退至基于字段的静态策略。
    • 置信度保护规则：对于存在可解析接收者的通道，当检测置信度不确定时默认偏向保护。
    • 拓扑位置扩展探讨：评估了基于图可达性（即若接收者可连通到未授权智能体则脱敏）的扩展规则，但由于其导致高达82%的过度脱敏率，未纳入核心策略。

    转换层与验证机制

    • 类型适配转换操作：对格式依赖型值采用FF3-1格式保留加密（FPE），保留数据格式并支持下游解密还原（对短域数值取消截断以保证可逆性）；对非数值型值依赖属性采用确定性带密钥伪名化，对数值型采用Laplace机制（ε = 1.0）的mLDP扰动；对语境敏感文本采用冻结提示词进行语义重写；所有转换失败时回退至掩码删除（redaction）。
    • 重写验证与回退机制：重写结果最多重试3次并经检测器验证，若仍判定为敏感则回退至掩码；全量评测中引入了精确匹配保底（exact-match backstop），要求重写既通过语义检查又不包含原始字面值。

  4. 论文做了哪些实验？

    论文在485个场景下评测了拓扑、对抗强度、框架及模型对泄露的影响，并检验了RECONS在残留泄露与授权保留上的表现。

    实验设置

    • 被测模型：主实验生成模型为Qwen3-32B（通过vLLM本地部署，温度0，固定种子）；模型泛化实验额外评测了GPT-5-mini、Gemini-3.7-Flash、Llama-3.3-70B；评审模型为Mistral-Small-24B（温度0，阈值 ζ = 0.50），交叉检验采用Gemma-3-27B。
    • 数据集与场景规模：源自AgentLeak基准的1,000个场景，筛选保留485个多智能体场景（138个企业、100个金融、100个医疗、147个法律）。测试集划分为80个开发场景与405个留出测试场景。
    • 拓扑结构与时间步：评测6种拓扑单元，包括星型（CW-2为2智能体基线参考单元、CW-7为1协调者6工作者）、对等网状（P2P-4、P2P-7、P2P-10分别包含4、7、10个全连接智能体）及层次型（Hier-7为两级层次）。执行时间步 T ∈ {1, 3, 5, 10, 20}。
    • 编排框架：主实验采用LangGraph；跨框架实验评测了AutoGen、CrewAI、Google ADK、LangChain、LangGraph、LlamaIndex、OpenAI Agents SDK、Semantic Kernel共8个框架。
    • 对抗级别与实例规模：涵盖A0（良性）、A1（外部C1）、A2（内部C2–C5）三级。485个场景在6种拓扑与3个对抗级别下生成8,730条执行记录，通道级检测实例共计122,220个。
    • 主要指标定义：Surface leakage（至少存在一次未授权披露的场景比例）；New-agent disclosure（信息到达拓扑引入的新智能体的比例）；Unauthorized propagation（信息到达未授权接收者的比例）；Residual leakage（脱敏后未授权接收者仍能访问的比例）；Correct-allow（授权接收者仍能访问的比例）；Value fidelity（生成值与真实值的一致性）。

    主结果

    条件Residual leakage ↓Correct-allow ↑
    None（无脱敏）96.7%0.0%
    Presidio（DLP）35.5%34.7%
    AgentLeak blanket redaction（一刀切掩码）28.3%20.5%
    RECONS（本文方法）29.25%94.1%

    (据 Table 20)

    • 残余泄露大幅下降：作者称，RECONS将残留泄露率从无脱敏的96.7%降低至29.25%，接近一刀切掩码的28.3%，优于Presidio的35.5%。
    • 高比例保留授权披露：作者称，RECONS保留了94.1%的授权披露，约为一刀切掩码（20.5%）的4.6倍，表明其能在压制未授权传播的同时维持正常业务数据流。
    • 差异集中于授权场景：在395个无合法可披露字段的留出场景中，RECONS与一刀切掩码的残留泄露相近（28.0%对比28.4%）；二者差距主要集中在10个包含合法披露字段的场景中。

    拓扑与编排框架对泄露的影响

    • 测了什么：在485个场景下评测6种拓扑在A0/A1/A2下的泄露表现，并在8个编排框架间进行横向对比与路径分解。
    • 结果：Surface leakage在不同拓扑间仅在60.6%至62.8%窄幅波动（Figure 2）；而New-agent disclosure在CW-2为0%，在CW-7为34.4%–38.6%，P2P单元为43.1%–47.8%，Hier-7达到49.9%–52.2%（Figure 3）。跨框架评测中（Table 12），AutoGen（43.38%）、LangChain（25.50%）、LangGraph（23.71%）、CrewAI（21.01%）构成高泄露组，而Semantic Kernel（0.67%）、LlamaIndex（0.50%）、OpenAI Agents SDK（0.48%）、Google ADK（0.29%）构成低泄露组，极值相差约150倍。在Hier-7路径分解中（Table 14），AutoGen在需中继时泄露率降至2.8%（直接访问为34.0%），而LangGraph中继时仍达60.3%（直接访问为55.9%）。
    • 作者的解读：作者称，拓扑的核心安全后果是改变了可达接收者集合，而非改变表层披露率；名义拓扑并不唯一决定泄露，不同编排框架的中继语义与状态共享机制独立驱动泄露程度。

    模型泛化与泄露途径分解

    • 测了什么：使用Qwen3-32B、GPT-5-mini、Gemini-3.7-Flash、Llama-3.3-70B评测拓扑梯度的泛化性，并检验信息重构、行为侧信道及时间累积泄露。
    • 结果：拓扑诱导的新智能体暴露在所有生成模型上均存在（Figure 5），但在非参考单元上GPT-5-mini达57.1%–65.8%，Qwen3-32B为35.3%–49.9%，Llama-3.3-70B为21.4%–23.5%，Gemini-3.7-Flash为9.3%–11.5%。在179,098个推断、跨通道和跨智能体聚合实例中，人工审计确认的重构泄露为0起（Table 9）；行为侧信道区分度在T5的微弱优势被证实由语料生成顺序等混淆因素导致（Table 10/11）；时间累积分析显示60.5%–64.0%的首次披露集中在T1→T3（Table 7），且确认探测类轮次（G类）泄露率达25.9%（Table 8）。
    • 作者的解读：作者称，泄露主要体现为直接披露及其传播，而非隐式重构或行为侧信道；不同模型在相同拓扑下的泄露率差异可达7倍，表明拓扑与模型选择存在强交织效应。

    残留泄露来源分解与通道分布

    • 测了什么：对RECONS在留出集上的10,116起残留泄露案例进行成因分解，并按通道与受保护值类型统计。
    • 结果：在10,116起残留泄露中，检测遗漏（未被检出）占9,657起（95.5%），无接收者通道的字段级回退占452起（4.5%），脱敏后检测器仍报阳性占7起（0.07%）（Table 21）。按值类型划分，语境敏感型残留泄露率最高，达55.7%，格式依赖型为23.3%，值依赖型为17.6%（Table 22）。按通道划分（Figure 8），工具参数C3残留泄露最高（RECONS为43.9%，一刀切为41.4%），RECONS仅在C1与C2上优于或持平一刀切掩码（C1为32.5% vs 32.6%，C2为25.2% vs 25.7%）。
    • 作者的解读：作者称，检测覆盖率是限制脱敏效果的主导瓶颈，任何相同检测能力的下游脱敏器均受此上限约束；工具参数由于缺乏接收者标识，成为策略保护的结构性难点。

    其他消融与分析

    • 动态策略相对静态策略：在开发集上将残留泄露率从29.81%降至29.25%（降低0.56个百分点），消除了50起拓扑诱导的未授权放行（Table 18）。
    • 转换菜单相对统一掩码：在相同决策下残留泄露率仅从29.25%微升至29.59%，授权放行率保持94.1%不变。
    • 重写精确匹配保底：引入精确匹配检查后，脱敏后检测器报阳案例从67起减少至7起（降幅89.6%）。
    • 语境保留代理评估：一刀切掩码得分99.3%，RECONS整体为83.5%（格式依赖型91.6%、值依赖型89.6%、语境型69.1%）（Table 24）。
    • 温度鲁棒性检验：在0.0至0.7温度范围内，框架策略过滤泄露率最大漂移不超过0.41个百分点，高低泄露分组保持稳定（Table 13）。
    • AutoGen中继失败分析：多跳拓扑CW-7和Hier-7的中继失败率分别为12.2%和8.5%，P2P单元为0%（Table 15）。

  5. 有什么可以进一步探索的点？

    作者指出了检测能力瓶颈、工具通道缺乏接收者溯源及语料覆盖有限等局限，未来可针对运行时中继与推断攻击开展探索。

    作者指出的局限与后续方向

    • 检测覆盖率是主导瓶颈：作者在7.1节指出，95.5%的残留泄露源于检测遗漏（尤其集中在语境属性），脱敏器无法对未检出的内容采取措施，仅靠决策或转换优化无法克服该限制，需提升检测能力。
    • 工具通道接收者解析存在边界：作者在7.1节指出，C3工具参数面向工具而非智能体，95.8%为自循环事件；要将其扩展为接收者感知保护，需要超越请求-响应模式的数据溯源机制（追踪哪个智能体消费了工具输出）。
    • 图可达性扩展导致过度脱敏：作者在6.4.4节指出，简单依据静态图可达性脱敏会导致82%的过度脱敏率，未来需要结合观察到的转发行为或实际传播证据设计更精准的拓扑分析机制。
    • 评估语料与泛化范围限制：作者在7.2节指出，实验基于单一公开基准的英语四领域子集，主要配置仅覆盖单个生成器与框架；跨模型和跨框架测试仅覆盖少数系统，不能推定可泛化至未经测试的系统。
    • 未覆盖隐状态泄露与高级攻击：作者在7.2节指出，未能检测或建模模型内部推理隐状态的泄露；威胁模型未覆盖更强的不正当合谋、跨会话推断、7个通道外的侧信道以及针对性重构或自适应攻击。
    • 时间步分布的不均质性：作者在7.1节指出，105个场景缺乏通用时间步，金融和医疗大多在T1，法律多在T3或更长，跨领域比较受时间步长度混淆，不能视为控制时间步后的领域估计。

    实验覆盖范围

    • 被测系统覆盖：主生成模型为Qwen3-32B，模型泛化测试覆盖GPT-5-mini、Gemini-3.7-Flash、Llama-3.3-70B共4个模型；跨框架测试覆盖AutoGen、CrewAI、Google ADK、LangChain、LangGraph、LlamaIndex、OpenAI Agents SDK、Semantic Kernel共8个框架。
    • 拓扑与场景覆盖：覆盖CW-2、CW-7、P2P-4、P2P-7、P2P-10、Hier-7共6种拓扑结构，基于从AgentLeak筛选出的485个多智能体场景（企业138、金融100、医疗100、法律147），测试时间步覆盖T1至T20。
    • 通道与对抗级别：通道插桩覆盖C1至C7共7个执行通道；对抗强度测试覆盖A0、A1、A2共3个级别。
    • 防御基线与消融设置：端到端防御对比包含无脱敏、AgentLeak一刀切掩码、Presidio三种基线；消融测试涵盖静态授权策略、纯掩码回退、精确匹配保底。
    • 未报告信息：论文未报告其他语言（非英语）环境下的实验，未报告实际交互场景下真实终端用户的任务完成率，且重构分析基于预定义启发式规则而非端到端自适应红队对抗。

  6. 总结一下论文的主要内容

    作者称多智能体协同拓扑会改变信息可达边界，提出的RECONS脱敏器能在抑制未授权泄露的同时高比例保留授权披露。
    1. 论文定位：针对多智能体系统协同引发的隐私泄露，研究拓扑如何改变信息传播路径，并提出基于接收者授权的自适应脱敏机制。
    2. 核心问题：多智能体系统中合法披露给某智能体的信息，常通过日常协作传播至拓扑引入的未授权智能体；传统基于敏感度的一刀切防御无法按接收者区分授权边界，导致隐私违规或过度破坏效用。
    3. 方法要点：提出了RECONS在线脱敏器，采用“检测-判定-转换”三阶段流水线，在C1–C7通道上结合规则、NER与LLM裁判进行分层检测，在通信边界依据接收者与上下文访问控制策略评估授权，对未授权传播按数据类型分别采用FPE加密、mLDP扰动、伪名化或语义重写。
    4. 关键实验结果：
      • 在485个场景的拓扑评测中，表层泄露率在不同拓扑间仅在60.6%–62.8%微幅波动，而拓扑引入的新智能体泄露率从CW-2的0%上升至Hier-7在A2下的52.2%（Figure 2与3）。
      • 编排框架对泄露具有独立影响，固定Qwen3-32B时，8个框架的策略过滤泄露率呈现两极分化，从Google ADK的0.29%到AutoGen的43.38%，极值相差约150倍（Table 12）。
      • 在405个留出场景的防御评测中，RECONS将残留泄露率从无脱敏的96.7%降低至29.25%，同时保留了94.1%的授权披露，而一刀切掩码仅保留20.5%（Table 20）。
      • 残留泄露来源分解显示，95.5%的残留泄露归因于检测遗漏，缺乏接收者标识的字段级回退占4.5%（Table 21）。
      • 在179,098个推断与跨通道/智能体聚合实例中，人工审计确认的隐式重构泄露为0起（Table 9）。
    5. 作者的结论与启示：作者认为，多智能体系统的隐私保护不能依赖静态的拓扑、模型或框架假设，而必须在运行时针对实际发生的接收者与通信路径进行动态强制；拓扑决定了信息的可达范围，而检测覆盖率是制约防御效果的核心瓶颈。

相关论文

共同使用 AgentLeak
阅读原文arxiv.org