多智能体系统在 2026 年完成了一次静默的范式转移——从"如何让 Agent 协作"转向"如何用 Agent 攻击 Agent"。Gartner 预测年底 40% 的企业应用将嵌入 Agent，而 ATR-2026-00108 直接把多智能体共识 Sybil 攻击列为 critical 级威胁。本期聚焦对抗性多智能体（Adversarial Multi-Agent）：编排四模式的攻防属性、Sybil 共识操纵的 102.6 损害实测、RedTeamAgent 内化、协同串谋绕过熔断器的盲区、MARTA 的 N+2 对抗预算博弈，以及从 LangWatch Scenario 到 Microsoft RAMPART 的工程化工具栈。核心结论：没有串谋检测的熔断器只能挡住单兵，挡不住协同操纵——这是 2026 年多智能体安全最大的认知债。
多智能体编排的四模式（Supervisor / Swarm / Pipeline / Router）是协作骨架，但每一套骨架在对抗视角下都暴露出不同的脆弱面。Supervisor 把决策权集中在单一节点，是经典的单点信任目标；Swarm 扁平去中心，反而成为 Sybil 攻击的天然温床——攻击者用极低成本制造大量"假身份"就能稀释投票权重。
| 维度 | 编排骨架 | 攻防肌肉 | 病灶（漏洞） | 免疫（治理） |
|---|---|---|---|---|
| 信任模型 | Supervisor 集中 / Swarm 扁平 | 红队 Agent 内化攻击 | Sybil 共识操纵 | ATR-2026-00108 规则 |
| 失败模式 | Pipeline 级联 | 自适应 RL 对手 | 协同串谋绕熔断 | 串谋检测 + 熔断器 |
| 预算约束 | Router 路由分叉 | Crescendo 渐进升级 | 对抗预算耗尽 | MARTA N+2 博弈 |
| 可观测 | Hermes Agent 埋点 | 8 种攻击库覆盖 | 隐蔽协调信道 | 多 Agent 可解释性 |
| 工具化 | LangGraph/CrewAI | Scenario / RAMPART | CI 缺口 | 红队接入 CI 流水线 |
理解这张表的关键是：攻防不是多智能体的附加项，而是它的对偶面。同一套编排原语，正向用是协作，反向用就是攻击面。下面逐层拆解。
Supervisor 模式在 LangGraph 2026 文档中仍是协调多 Agent 团队的默认范式，但它的安全账本最重：一个 Supervisor 节点握有"调用谁、何时调用、传什么上下文"的全部控制权，一旦被提示注入污染，整个团队沦为攻击者的傀儡。相比之下，Pipeline 模式（Agent A→B→C 串行）天然隔离了每一步的上下文，攻击者必须逐级攻破，但代价是级联失败——前面一个 Agent 输出错误，错误会像滚雪球一样放大。
# 四模式的攻防对偶：同一原语，正反两面
PATTERNS = {
"supervisor": ("集中决策", "单点信任目标"), # 易被注入劫持
"swarm": ("扁平协作", "Sybil 稀释温床"), # 假身份成本低
"pipeline": ("串行隔离", "级联放大失败"), # 错误滚雪球
"router": ("按需分叉", "路由投毒分流"), # 恶意工具描述
}
Router 模式是 2026 年性价比最高也最易被滥用的：Supervisor 根据请求把任务路由到子 Agent，一旦路由依据的工具描述被投毒（一条恶意 description 即可），请求会被悄悄分流到攻击者控制的 Agent。实测中，Router 投毒比 Supervisor 劫持更隐蔽，因为它不改变任何 Agent 的行为，只改变"谁接到活"。
ATR-2026-00108 把"多智能体共识 Sybil 攻击"定级为 critical，描述直击要害：在需要 Agent 多数表决的架构里，攻击者通过创建多个伪造 Agent 身份、跨 Agent 协调投票、系统性提交虚假提案，用数量压倒合法共识机制。SWARM 框架的实测数据触目惊心——Sybil 攻击单独造成了 102.6 的损害，是 8 种攻击类型里单一最大危害源。
这之所以致命，是因为多 Agent 系统常被设计成"投票出共识"来降低单点幻觉，但投票机制本身引入了一个新假设：每个投票者是独立个体。Sybil 攻击直接击穿这个假设。当你的多 Agent 团队有 5 个评审 Agent，攻击者只需伪造 6 个"傀儡 Agent"就能拿到多数票，把幻觉合法化。
# 共识表决的 Sybil 盲区
def consensus(agents, proposal):
votes = [a.vote(proposal) for a in agents] # 假设每个 agent 独立
return sum(votes) > len(agents) / 2 # 多数即通过
# 攻击者：注入 6 个傀儡，压倒 5 个合法 agent
# sum = 合法否决(0) + 6个傀儡赞成(6) = 6 > 11/2 → 通过
防御 ATR-2026-00108 的关键是身份权重而非数量权重：给每个 Agent 绑定不可伪造的身份凭证（基于密钥而非自报名字），并对"短时间内涌现的新身份"打 Sybil 分数。但这恰恰是 Swarm 模式最不愿意做的事——它的美学就是开放注册。
LangWatch 开源的 Scenario 提供了一个优雅的工程模式：RedTeamAgent 是 UserSimulatorAgent 的 drop-in 替换。这意味着你不需要改造目标 Agent，只需要把"正常用户"换成"攻击者"，就能在同一个 scenario.run() 循环、同一套裁判、同一条 CI 管道里跑对抗测试。这种"用户态注入攻击者"的设计，把红队内化成了开发流程的一等公民。
Scenario 的攻击策略里最有名的是 Crescendo（渐强升级）：第一轮问无害问题建立信任，第二轮、第三轮逐步升级越界，单看每一轮都不触发安全过滤器，连起来却达成了越狱。这恰好戳穿了"每轮独立过滤"的传统防御——多轮语境下的累积越界，是单轮检测的盲区。
# Scenario 红队内化：红队即 CI 步骤
from scenario import run, RedTeamAgent, TargetAgent
# 普通 user → 攻击者，一行替换
attacker = RedTeamAgent(strategy="crescendo") # 渐强升级
target = TargetAgent(your_agent)
result = run(attacker, target, judge=judge, ci=True)
# 仅测试自有或获明确授权的 agent —— 红队是责任，不是武器
Scenario 的工程价值在于它不烧 token 漫无目的地攻击：官方强调"大多数现成红队工具发射成千上万单轮攻击却抓不到真实漏洞"，Scenario 改用多轮、建立上下文、结构化的攻击，让红队的命中率和成本曲线变得可优化。
SWARM 框架把红队从"固定攻击脚本"升级为"自适应对手"——攻击 Agent 用强化学习式的更新来进化策略，专门学习如何逃逸检测。这把红队从回归测试变成了对抗训练：静态攻击库（8 种攻击 YAML 配置）跑一遍就过时，自适应对手会针对你具体的治理配置进化出绕过路径。
这与 MARTA（ICML 2026 海报论文）的思路同源。MARTA 用一个 N+2 玩家的马尔可夫博弈建模容错：原有 N 个协作 Agent 之外，引入一个"对手 Agent"学习在预算约束下禁用哪些 Agent 能造成最大损害，再加一个"自然"玩家模拟随机故障。把故障建模成对抗者，是 2026 年容错思想的分水岭——以前我们假设故障是随机的，现在我们假设故障是最坏情况下的智能体。
MARTA 的理论保证是收敛到马尔可夫完美均衡，并跨多样 MARL 基准达到 SOTA 容错。对工程团队的启示：与其写无数 if-else 处理单点故障，不如训练一个"最坏对手"持续压力测试你的团队拓扑，让你的编排模式在对抗压力下自然演化出冗余。
这是本期最重要的发现，来自 SWARM 的合约筛选文档：没有串谋检测，熔断器只能捕获单个 Agent；协同操纵会逃逸。熔断器（circuit breaker）是多 Agent 系统的标准防线——某个 Agent 行为越界就切断它。但如果两个 Agent 合谋，熔断器看到的是两个"看起来正常"的个体行为，它们的协同效应却是恶意的。
这就像反洗钱里的"拆单"——把一笔大额交易拆成多笔小额，单看每笔都合规。多 Agent 串谋是同样的逻辑：攻击者把恶意目标分解给多个 Agent，每个 Agent 的子任务都通过熔断器，组合起来却是越权。arxiv 2604.01151（《通过多 Agent 可解释性检测多智能体串谋》）把这个问题推进了一步——它把白盒检查从单 Agent 扩展到多 Agent，专门检测 Agent 之间的隐蔽协调信道。
# 熔断器的串谋盲区
def circuit_breaker(agent, action):
if agent.is_benign_looking(action): # 单 agent 视角合规
return ALLOW
return CUT
# 攻击者：把越权任务 T 拆给 a1, a2
# a1.action 看合规 → ALLOW；a2.action 看合规 → ALLOW
# 合并 (a1 ∪ a2) = T → 越权，但熔断器看不到合并态
工程对策是组合态审计：熔断器不能只看单 Agent 行为，必须维护一个跨 Agent 的行为聚合视图，检测"个体合规但组合越权"的模式。这本质上是把熔断器从"个体监控"升级为"组织监控"——开销显著上升，但这是挡住协同操纵的唯一办法。
MARTA 引入的"对抗预算约束"是 2026 年多智能体经济学的新概念：对手不是无限的，它受预算约束。这把安全问题转换成了博弈论问题——在固定预算下，对手会选择禁用哪些 Agent 来最大化全局损害，而防御方的目标是让这种损害最小化。这比"假设对手无所不能"的传统威胁模型现实得多，也更可优化。
N+2 博弈的优雅之处在于它把"故障"和"攻击"统一进同一个框架：自然玩家负责随机故障，对手玩家负责智能攻击，防御方在两者叠加的压力下优化编排。这给了编排四模式一个清晰的评估标准——在对抗预算下哪种模式损失最小。实测中，Supervisor 集中模式在低预算下鲁棒（对手要先打掉 Supervisor 才能造成连锁损害），但在高预算下崩溃最快；Swarm 扁平模式恰恰相反。
这个反直觉的结论改变了选型逻辑：你的编排模式应该匹配你预期的对抗预算。如果威胁模型是低预算的脚本小子，Supervisor 的单点强防护够用；如果是高预算的定向攻击，必须用 Swarm 的冗余 + 串谋检测来分散风险。
arxiv 2604.01151 代表了 2026 年多 Agent 安全的新方法论：单 Agent 可解释性不够，必须做跨 Agent 可解释性。白盒检查从"看一个 Agent 在想什么"扩展到"看多个 Agent 之间在交换什么"，专门针对 LLM Agent 部署到多 Agent 系统后引入的"隐蔽协调风险"。
隐蔽协调是串谋的升级版——攻击者不需要显式通信，而是通过共享的提示模板、工具描述的暗号、输出格式的约定来传递信息。例如，攻击者在两个 Agent 共用的工具描述里嵌入一个看似无害的短语，这个短语对人类审查无害，却能让两个 Agent 协同触发越权行为。跨 Agent 可解释性试图在激活值层面检测这种"看不见的握手"。
工程落地的挑战是开销：跨 Agent 可解释性需要同时白盒检查多个 Agent 的内部状态并做关联分析，token 和算力成本远高于单 Agent。但对高价值场景（金融决策、代码合并、法律合同），这是 2026 年的必修课。没有跨 Agent 视角，你根本看不到串谋发生——这是单 Agent 可解释性的结构性盲区。
2026 年的对抗性多智能体工程化已经形成工具栈。LangWatch Scenario 负责运行时红队（多轮对抗攻击接入 CI）；Microsoft RAMPART 负责开发工作流安全（Agent 安全嵌入开发流程）；Microsoft Clarity 配合提供可观测性。这套组合把红队从"上线后偶尔做一次"变成了"每次提交都跑"。
RAMPART 的定位特别值得注意：它不攻击你的 Agent，而是在你写 Agent 的过程中植入安全检查点，把安全左移到开发期。这与 Scenario 形成互补——Scenario 是黑盒运行时攻击，RAMPART 是白盒开发期防护。两者结合，构成了多 Agent 安全的纵深防御。
flowchart TB
subgraph 生产["生产环境：协作骨架"]
SUP[Supervisor 监督者]
SWM[Swarm 群集]
ROUT[Router 路由]
PIPE[Pipeline 流水线]
end
subgraph 攻防["对抗面：红队内化"]
RTA[RedTeamAgent<br/>Crescendo 渐强]
ADA[自适应对手<br/>RL 进化]
SYB[Sybil 傀儡<br/>伪造身份]
end
subgraph 治理["治理层：免疫防线"]
ATR[ATR-2026-00108<br/>身份权重]
CB[熔断器<br/>个体监控]
COL[串谋检测<br/>组合态审计]
XAI[跨Agent可解释性<br/>隐蔽协调]
MAR[MARTA<br/>N+2 对抗预算]
end
RTA -.攻击.-> SUP
ADA -.攻击.-> SWM
SYB -.攻击.-> ROUT
COL -.补盲.-> CB
XAI -.补盲.-> COL
ATR -.挡.-> SYB
MAR -.评估.-> 生产
低威胁预算（脚本小子、偶发滥用）：用 Supervisor + Scenario 红队 CI 即可。集中式编排单点防护强，开发期红队抓常见越狱，性价比最高。适合内部工具、客服 Agent。
中等威胁预算（定向提示注入、单点越权）：Supervisor + 熔断器 + 串谋检测。关键是补上熔断器的组合态审计层，否则协同操纵必漏。适合 B2B SaaS、有财务操作的 Agent。
高威胁预算（定向攻击、协同操纵、Sybil 投票）：Swarm 冗余 + ATR 身份权重 + 跨 Agent 可解释性 + MARTA 对抗预算评估。把故障建模成智能对手，用冗余分散风险。适合金融决策、代码合并、关键基础设施 Agent。
通用红线：任何多 Agent 系统都必须接入 CI 红队（Scenario 或等价物），并且熔断器旁必须有串谋检测——这是本期最重要的工程结论。没有串谋检测的熔断器，是 2026 年多智能体安全最大的认知债。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。