一分钟读论文：《安全的模型为何组合后不再安全？》

独立研究团队 Elias Hossain 等人发表的论文《ChannelGuard: Safe Models Do Not Compose into Safe Multi-Agent Systems》揭示了一个被忽视的多 Agent 安全问题：即使每个单独的 Agent 模型都是安全的，组合成多 Agent 流水线后安全性会显著下降。作者通过 2,100 条 trace 评估发现，一个在标准报告下看似完全安全的多 Agent 管道（工具投毒和记忆投毒攻击成功率均为 0.000），其安全性几乎完全依赖云提供商的服务端过滤器——在 Azure GPT-5 上 60 次攻击中有 54 次被拦截。切换到无服务端过滤器的后端时，系统完全依赖 Agent 模型自身的对齐能力，安全性能大幅下降。

安全模型的组合失效问题

论文的核心发现是反直觉的：单个模型的安全性与多 Agent 系统的整体安全性之间不存在线性关系。研究者构建的多 Agent 管道中每个 Agent 都使用了经过对齐的安全模型，在标准评估下工具投毒和记忆投毒攻击成功率均为 0.000。

进一步分析揭示了问题的根源：这 0.000 的攻击成功率并非来自 Agent 模型本身的安全能力，而是来自云提供商的服务端过滤器。在 Azure GPT-5 后端上，60 次攻击中有 54 次被服务端拦截，Agent 模型几乎没有参与安全决策。切换到无服务端过滤器的后端后，系统完全依赖 Agent 自身的对齐能力，安全性能出现断崖式下降。

这一发现表明当前多 Agent 系统中”安全模型即安全”的假设存在根本性缺陷。

ChannelGuard 纵深防御框架

针对上述问题，作者提出了 ChannelGuard——一种无需训练的纵深防御框架。其核心思想是在每个 Agent 间的通道上放置信息瓶颈门控，对通道文本进行实时安全评估。

ChannelGuard 通过嵌入相似度计算将通道文本与预定义的对抗性短语库进行比较，然后根据得分确定性地将输出分类为三种操作：Pass（放行）、Compress（压缩）或 Intercept（拦截）。整个过程不增加任何 LLM 调用成本。

在评估中，ChannelGuard 的工具输出门控成功拦截了全部 30 次工具投毒攻击，跨 Azure GPT-5、Anthropic Sonnet 4.5 和 Anthropic Haiku 4.5 三个后端表现一致。提示注入攻击成功率从 0.333 降至 0.167，且完全保留了 GSM8K 准确率（0.867）。

实验评估与消融分析

论文在 2,100 条 trace 上进行了大规模评估，覆盖 8 种攻击家族、5 种防御方案和 3 个模型后端，总成本仅 47.36 美元。

白盒自适应变体攻击验证了 ChannelGuard 在面对已知防御策略时仍有效。扰动投票基线对比表明其确定性门控优于随机化方法。良性保留分析显示误拦截率极低。法官审计（Cohen’s kappa = 0.900）确认了安全决策的一致性，消融实验证明嵌入相似度评分是核心组件。

References

• ChannelGuard: Safe Models Do Not Compose into Safe Multi-Agent Systems
• arXiv:2607.19430