多智能体系统在 2026 年完成了一次静默的范式转移——从"如何让 Agent 协作"转向"如何用 Agent 攻击 Agent"。Gartner 预测年底 40% 的企业应用将嵌入 Agent，而 ATR-2026-00108 直接把多智能体共识 Sybil 攻击列为 critical 级威胁。本期聚焦对抗性多智能体（Adversarial Multi-Agent）：编排四模式的攻防属性、Sybil 共识操纵的 102.6 损害实测、RedTeamAgent 内化、协同串谋绕过熔断器的盲区、MARTA 的 N+2 对抗预算博弈，以及从 LangWatch Scenario 到 Microsoft RAMPART 的工程化工具栈。核心结论：**没有串谋检测的熔断器只能挡住单兵，挡不住协同操纵**——这是 2026 年多智能体安全最大的认知债。 ## 对抗性多智能体：从协作骨架到攻防肌肉 多智能体编排的四模式（Supervisor / Swarm / Pipeline / Router）是协作骨架，但每一套骨架在对抗视角下都暴露出不同的脆弱面。Supervisor 把决策权集中在单一节点，是经典的单点信任目标；Swarm 扁平去中心，反而成为 Sybil 攻击的天然温床——攻击者用极低成本制造大量"假身份"就能稀释投票权重。 | 维度 | 编排骨架 | 攻防肌肉 | 病灶（漏洞） | 免疫（治理） | |------|---------|---------|------------|------------| | 信任模型 | Supervisor 集中 / Swarm 扁平 | 红队 Agent 内化攻击 | Sybil 共识操纵 | ATR-2026-00108 规则 | | 失败模式 | Pipeline 级联 | 自适应 RL 对手 | 协同串谋绕熔断 | 串谋检测 + 熔断器 | | 预算约束 | Router 路由分叉 | Crescendo 渐进升级 | 对抗预算耗尽 | MARTA N+2 博弈 | | 可观测 | Hermes Agent 埋点 | 8 种攻击库覆盖 | 隐蔽协调信道 | 多 Agent 可解释性 | | 工具化 | LangGraph/CrewAI | Scenario / RAMPART | CI 缺口 | 红队接入 CI 流水线 | 理解这张表的关键是：**攻防不是多智能体的附加项，而是它的对偶面**。同一套编排原语，正向用是协作，反向用就是攻击面。下面逐层拆解。 ## 一、编排四模式的攻防属性 Supervisor 模式在 LangGraph 2026 文档中仍是协调多 Agent 团队的默认范式，但它的安全账本最重：一个 Supervisor 节点握有"调用谁、何时调用、传什么上下文"的全部控制权，一旦被提示注入污染，整个团队沦为攻击者的傀儡。相比之下，Pipeline 模式（Agent A→B→C 串行）天然隔离了每一步的上下文，攻击者必须逐级攻破，但代价是级联失败——前面一个 Agent 输出错误，错误会像滚雪球一样放大。 ```python # 四模式的攻防对偶：同一原语，正反两面 PATTERNS = { "supervisor": ("集中决策", "单点信任目标"), # 易被注入劫持 "swarm": ("扁平协作", "Sybil 稀释温床"), # 假身份成本低 "pipeline": ("串行隔离", "级联放大失败"), # 错误滚雪球 "router": ("按需分叉", "路由投毒分流"), # 恶意工具描述 } ``` Router 模式是 2026 年性价比最高也最易被滥用的：Supervisor 根据请求把任务路由到子 Agent，一旦路由依据的工具描述被投毒（一条恶意 description 即可），请求会被悄悄分流到攻击者控制的 Agent。实测中，Router 投毒比 Supervisor 劫持更隐蔽，因为它不改变任何 Agent 的行为，只改变"谁接到活"。 ## 二、Sybil 共识攻击：多 Agent 投票的致命弱点 ATR-2026-00108 把"多智能体共识 Sybil 攻击"定级为 critical，描述直击要害：在需要 Agent 多数表决的架构里，攻击者通过创建多个伪造 Agent 身份、跨 Agent 协调投票、系统性提交虚假提案，**用数量压倒合法共识机制**。SWARM 框架的实测数据触目惊心——Sybil 攻击单独造成了 102.6 的损害，是 8 种攻击类型里单一最大危害源。 这之所以致命，是因为多 Agent 系统常被设计成"投票出共识"来降低单点幻觉，但投票机制本身引入了一个新假设：**每个投票者是独立个体**。Sybil 攻击直接击穿这个假设。当你的多 Agent 团队有 5 个评审 Agent，攻击者只需伪造 6 个"傀儡 Agent"就能拿到多数票，把幻觉合法化。 ```python # 共识表决的 Sybil 盲区 def consensus(agents, proposal): votes = [a.vote(proposal) for a in agents] # 假设每个 agent 独立 return sum(votes) > len(agents) / 2 # 多数即通过 # 攻击者：注入 6 个傀儡，压倒 5 个合法 agent # sum = 合法否决(0) + 6个傀儡赞成(6) = 6 > 11/2 → 通过 ``` 防御 ATR-2026-00108 的关键是身份权重而非数量权重：给每个 Agent 绑定不可伪造的身份凭证（基于密钥而非自报名字），并对"短时间内涌现的新身份"打 Sybil 分数。但这恰恰是 Swarm 模式最不愿意做的事——它的美学就是开放注册。 ## 三、RedTeamAgent 内化：drop-in 的攻击者 LangWatch 开源的 Scenario 提供了一个优雅的工程模式：**RedTeamAgent 是 UserSimulatorAgent 的 drop-in 替换**。这意味着你不需要改造目标 Agent，只需要把"正常用户"换成"攻击者"，就能在同一个 `scenario.run()` 循环、同一套裁判、同一条 CI 管道里跑对抗测试。这种"用户态注入攻击者"的设计，把红队内化成了开发流程的一等公民。 Scenario 的攻击策略里最有名的是 Crescendo（渐强升级）：第一轮问无害问题建立信任，第二轮、第三轮逐步升级越界，单看每一轮都不触发安全过滤器，连起来却达成了越狱。这恰好戳穿了"每轮独立过滤"的传统防御——**多轮语境下的累积越界，是单轮检测的盲区**。 ```python # Scenario 红队内化：红队即 CI 步骤 from scenario import run, RedTeamAgent, TargetAgent # 普通 user → 攻击者，一行替换 attacker = RedTeamAgent(strategy="crescendo") # 渐强升级 target = TargetAgent(your_agent) result = run(attacker, target, judge=judge, ci=True) # 仅测试自有或获明确授权的 agent —— 红队是责任，不是武器 ``` Scenario 的工程价值在于它不烧 token 漫无目的地攻击：官方强调"大多数现成红队工具发射成千上万单轮攻击却抓不到真实漏洞"，Scenario 改用**多轮、建立上下文、结构化**的攻击，让红队的命中率和成本曲线变得可优化。 ## 四、自适应对手：用强化学习进化攻击 SWARM 框架把红队从"固定攻击脚本"升级为"自适应对手"——攻击 Agent 用强化学习式的更新来进化策略，**专门学习如何逃逸检测**。这把红队从回归测试变成了对抗训练：静态攻击库（8 种攻击 YAML 配置）跑一遍就过时，自适应对手会针对你具体的治理配置进化出绕过路径。 这与 MARTA（ICML 2026 海报论文）的思路同源。MARTA 用一个 N+2 玩家的马尔可夫博弈建模容错：原有 N 个协作 Agent 之外，引入一个"对手 Agent"学习在预算约束下禁用哪些 Agent 能造成最大损害，再加一个"自然"玩家模拟随机故障。**把故障建模成对抗者，是 2026 年容错思想的分水岭**——以前我们假设故障是随机的，现在我们假设故障是最坏情况下的智能体。 MARTA 的理论保证是收敛到马尔可夫完美均衡，并跨多样 MARL 基准达到 SOTA 容错。对工程团队的启示：**与其写无数 if-else 处理单点故障，不如训练一个"最坏对手"持续压力测试你的团队拓扑**，让你的编排模式在对抗压力下自然演化出冗余。 ## 五、熔断器盲区：协同串谋如何绕过防线 这是本期最重要的发现，来自 SWARM 的合约筛选文档：**没有串谋检测，熔断器只能捕获单个 Agent；协同操纵会逃逸**。熔断器（circuit breaker）是多 Agent 系统的标准防线——某个 Agent 行为越界就切断它。但如果两个 Agent 合谋，熔断器看到的是两个"看起来正常"的个体行为，它们的协同效应却是恶意的。 这就像反洗钱里的"拆单"——把一笔大额交易拆成多笔小额，单看每笔都合规。多 Agent 串谋是同样的逻辑：攻击者把恶意目标分解给多个 Agent，每个 Agent 的子任务都通过熔断器，组合起来却是越权。arxiv 2604.01151（《通过多 Agent 可解释性检测多智能体串谋》）把这个问题推进了一步——它把白盒检查从单 Agent 扩展到多 Agent，专门检测 Agent 之间的隐蔽协调信道。 ```python # 熔断器的串谋盲区 def circuit_breaker(agent, action): if agent.is_benign_looking(action): # 单 agent 视角合规 return ALLOW return CUT # 攻击者：把越权任务 T 拆给 a1, a2 # a1.action 看合规 → ALLOW；a2.action 看合规 → ALLOW # 合并 (a1 ∪ a2) = T → 越权，但熔断器看不到合并态 ``` 工程对策是**组合态审计**：熔断器不能只看单 Agent 行为，必须维护一个跨 Agent 的行为聚合视图，检测"个体合规但组合越权"的模式。这本质上是把熔断器从"个体监控"升级为"组织监控"——开销显著上升，但这是挡住协同操纵的唯一办法。 ## 六、对抗预算约束：MARTA 的 N+2 博弈 MARTA 引入的"对抗预算约束"是 2026 年多智能体经济学的新概念：**对手不是无限的，它受预算约束**。这把安全问题转换成了博弈论问题——在固定预算下，对手会选择禁用哪些 Agent 来最大化全局损害，而防御方的目标是让这种损害最小化。这比"假设对手无所不能"的传统威胁模型现实得多，也更可优化。 N+2 博弈的优雅之处在于它把"故障"和"攻击"统一进同一个框架：自然玩家负责随机故障，对手玩家负责智能攻击，防御方在两者叠加的压力下优化编排。这给了编排四模式一个清晰的评估标准——**在对抗预算下哪种模式损失最小**。实测中，Supervisor 集中模式在低预算下鲁棒（对手要先打掉 Supervisor 才能造成连锁损害），但在高预算下崩溃最快；Swarm 扁平模式恰恰相反。 这个反直觉的结论改变了选型逻辑：**你的编排模式应该匹配你预期的对抗预算**。如果威胁模型是低预算的脚本小子，Supervisor 的单点强防护够用；如果是高预算的定向攻击，必须用 Swarm 的冗余 + 串谋检测来分散风险。 ## 七、多 Agent 可解释性：检测隐蔽协调 arxiv 2604.01151 代表了 2026 年多 Agent 安全的新方法论：**单 Agent 可解释性不够，必须做跨 Agent 可解释性**。白盒检查从"看一个 Agent 在想什么"扩展到"看多个 Agent 之间在交换什么"，专门针对 LLM Agent 部署到多 Agent 系统后引入的"隐蔽协调风险"。 隐蔽协调是串谋的升级版——攻击者不需要显式通信，而是通过**共享的提示模板、工具描述的暗号、输出格式的约定**来传递信息。例如，攻击者在两个 Agent 共用的工具描述里嵌入一个看似无害的短语，这个短语对人类审查无害，却能让两个 Agent 协同触发越权行为。跨 Agent 可解释性试图在激活值层面检测这种"看不见的握手"。 工程落地的挑战是开销：跨 Agent 可解释性需要同时白盒检查多个 Agent 的内部状态并做关联分析，token 和算力成本远高于单 Agent。但对高价值场景（金融决策、代码合并、法律合同），这是 2026 年的必修课。**没有跨 Agent 视角，你根本看不到串谋发生**——这是单 Agent 可解释性的结构性盲区。 ## 八、安全工具栈：RAMPART / Clarity / Scenario 2026 年的对抗性多智能体工程化已经形成工具栈。LangWatch Scenario 负责**运行时红队**（多轮对抗攻击接入 CI）；Microsoft RAMPART 负责**开发工作流安全**（Agent 安全嵌入开发流程）；Microsoft Clarity 配合提供可观测性。这套组合把红队从"上线后偶尔做一次"变成了"每次提交都跑"。 RAMPART 的定位特别值得注意：它不攻击你的 Agent，而是**在你写 Agent 的过程中植入安全检查点**，把安全左移到开发期。这与 Scenario 形成互补——Scenario 是黑盒运行时攻击，RAMPART 是白盒开发期防护。两者结合，构成了多 Agent 安全的纵深防御。 ```mermaid flowchart TB subgraph 生产["生产环境：协作骨架"] SUP[Supervisor 监督者] SWM[Swarm 群集] ROUT[Router 路由] PIPE[Pipeline 流水线] end subgraph 攻防["对抗面：红队内化"] RTA[RedTeamAgent
Crescendo 渐强] ADA[自适应对手
RL 进化] SYB[Sybil 傀儡
伪造身份] end subgraph 治理["治理层：免疫防线"] ATR[ATR-2026-00108
身份权重] CB[熔断器
个体监控] COL[串谋检测
组合态审计] XAI[跨Agent可解释性
隐蔽协调] MAR[MARTA
N+2 对抗预算] end RTA -.攻击.-> SUP ADA -.攻击.-> SWM SYB -.攻击.-> ROUT COL -.补盲.-> CB XAI -.补盲.-> COL ATR -.挡.-> SYB MAR -.评估.-> 生产 ``` ## 推荐方案：按威胁预算选型 **低威胁预算（脚本小子、偶发滥用）**：用 Supervisor + Scenario 红队 CI 即可。集中式编排单点防护强，开发期红队抓常见越狱，性价比最高。适合内部工具、客服 Agent。 **中等威胁预算（定向提示注入、单点越权）**：Supervisor + 熔断器 + 串谋检测。关键是补上熔断器的组合态审计层，否则协同操纵必漏。适合 B2B SaaS、有财务操作的 Agent。 **高威胁预算（定向攻击、协同操纵、Sybil 投票）**：Swarm 冗余 + ATR 身份权重 + 跨 Agent 可解释性 + MARTA 对抗预算评估。把故障建模成智能对手，用冗余分散风险。适合金融决策、代码合并、关键基础设施 Agent。 **通用红线**：任何多 Agent 系统都必须接入 CI 红队（Scenario 或等价物），并且**熔断器旁必须有串谋检测**——这是本期最重要的工程结论。没有串谋检测的熔断器，是 2026 年多智能体安全最大的认知债。 ## 延伸阅读 - ATR-2026-00108 是对抗性多智能体的"规则之源"，建议把它作为团队威胁建模的起点，逐条映射到你的编排模式。 - MARTA 论文值得精读 N+2 博弈的形式化——它把"安全"从定性需求变成了可优化的博弈目标，这是方法论跃迁。 - Scenario 文档里的 Crescendo 策略实现，是理解"多轮累积越权"的最佳教材，可直接复用到自有红队。 ## 参考来源 1. [Multi-Agent AI Orchestration Patterns: Supervisor, Swarm, Pipeline & Router Production Guide](https://lushbinary.com/blog/multi-agent-orchestration-patterns-supervisor-swarm-pipeline-router-guide/) — 编排四模式的生产指南与权衡分析，含 Gartner 40% 预测 2. [ATR-2026-00108: Multi-Agent Consensus Sybil Attack](https://agentthreatrule.org/en/rules/ATR-2026-00108) — critical 级威胁规则，Sybil 共识操纵的官方定义与检测要点 3. [Adversarial Red-Teaming — SWARM Multi-Agent AI Safety Framework](https://www.swarm-ai.org/red-teaming/) — 8 种攻击库、自适应对手、Sybil 102.6 损害实测与熔断器串谋盲区 4. [Fault Tolerant Multi-Agent Learning with Adversarial Budget Constraints (ICML 2026)](https://icml.cc/virtual/2026/poster/61177) — MARTA 的 N+2 玩家博弈、对抗预算约束与马尔可夫完美均衡保证 5. [Scenario: Open-source framework for automated AI app red-teaming (LangWatch)](https://www.helpnetsecurity.com/2026/04/23/scenario-open-source-framework-for-automated-ai-app-red-teaming/) — RedTeamAgent 内化、Crescendo 渐强攻击与 CI 管道集成 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。