【论文阅读】--SAIGuard：用于主动防御的通信状态仿真LLM多智能体系统- 惊觉

论文链接：SAIGuard: Communication-State Simulation for Proactive Defense of LLM Multi-Agent Systems - ACL Anthology

会议：EMNLP 2026 Findings （CCFB 主会附属的同行评审出版物分册）

标题：SAIGuard: Communication‑State Simulation for Proactive Defense of LLM Multi‑Agent Systems

作者：Ruxue Shi、Yili Wang、Rui Miao（吉林大学等）

开源：GitHub - ruxueshi/SAIGuard_parallelized · GitHub

📌定位：主动式防御框架，区别 G‑Safeguard、BlindGuard 这类反应式（事后）防御。现有反应式防御是攻击发生、产生恶意输出之后，隔离 / 剪枝智能体；SAIGuard 在消息真正执行传播之前，仿真消息的全局影响，提前拦截风险消息，不隔离智能体，保留系统协作能力。

摘要✨

LLM 多智能体依靠消息交互完成复杂任务，但风险会沿着通信链路级联扩散。现有多智能体防御大多属于反应式防御：观察到恶意输出之后再检测、隔离可疑智能体。存在两大痛点：

检测存在延迟，危害已经发生，造成不可逆损害（例如敏感信息已经泄露）；
隔离智能体 / 裁剪通信链路，破坏多智能体协作，任务性能大幅下降。

本文提出 SAIGuard（Simulation‑Aware Interception Guard），一套主动防御框架。

将多智能体建模为交互图，对传入消息做通信状态仿真，预估这条消息对局部智能体、整个全局系统的多跳传播影响；
通过和良性通信模式做重构偏差对比识别风险消息；
不对智能体做隔离，而是净化 / 重新生成可疑消息，在风险传播前完成干预。

在多种拓扑、多种攻击场景实验：SAIGuard 显著降低攻击成功率 ASR，同时维持多智能体任务效用，整体效果优于各类反应式防御基线。

1 引言 📖

MAS 三层安全风险（图 1）

智能体层风险：提示注入、工具滥用、记忆投毒，单智能体被攻陷；

通信层风险：通信劫持（AiTM 中间人攻击），篡改智能体之间传递的消息；

系统级级联风险：单点风险通过通信扩散，造成整套系统失效。

现有反应式防御的范式（G‑Safeguard / BlindGuard / XG‑Guard）

流程：运行 MAS → 观察智能体输出 → GNN / 编码器检测异常智能体 → 隔离 Agent / 剪边。 ❌缺陷： ①延迟伤害：必须等恶意行为执行完毕产生输出之后才能检测，部分损失不可回滚（如信息泄露）。 ②效用下降：隔离核心智能体，切断链路，破坏正常协作流程。

核心研究问题：能不能在风险传播出去之前就拦截，同时保留多智能体协作性能？

SAIGuard 整体思想（图 2 对比）

反应式防御：等消息执行产生危害之后，再隔离节点；
SAIGuard【主动防御】：消息送入真实 MAS 之前，先在仿真图中模拟该消息多跳传播的全局后果；对比正常模式，如果偏差过大判定为风险消息，做拦截 / 消息重生成，而不是隔离智能体。

论文贡献

2 预备知识 📐

1. MAS 交互图 $G=(V,E)$ ，节点 $v_i$ 代表智能体，有向边代表通信通道；

每个智能体拥有角色 Role、状态 State、记忆 Mem、工具 Tool。邻接矩阵 $A_{ij}=1$ 代表 $v_i$ 接收来自 $v_j$ 的消息。

三类攻击定义

智能体层攻击：提示注入、工具攻击、记忆投毒，智能体输出对抗回复；
通信层攻击（AiTM 劫持）：篡改链路之间传输的消息；
系统级级联风险：单点风险经多轮交互不断放大。

反应式防御数学描述：采集智能体输出，检测器标记恶意节点，移除节点以及相连的边完成修复。

关键现象【系统风险放大，图 4】：局部微小扰动，单个 Agent 偏差很小（最大仅 3.00%），但是经过多轮通信传播之后，整个系统状态偏差达到 51.78%，放大 17 倍以上。 👉说明：仅仅看单个智能体是否异常是不够的，必须评估消息对全局系统传播后的潜在危害，这是 SAIGuard 设计动机。

3 方法 SAIGuard 🧩

两大核心模块：①通信状态仿真；②系统偏差干预

GNN = Graph Neural Network，图神经网络。它是一类专门在图结构数据（节点 + 边）上做计算的神经网络，核心范式就是消息传递（Message Passing）「多跳传播、智能体互相发消息」。

3.1 通信状态仿真

直接跑自然语言的真实交互仿真：成本爆炸、不可微、速度极慢、难以做风险量化 / 梯度优化；

向量隐空间仿真（GNN+embedding）是在保留语义信号的前提下，换一个适合模型学习、快速推演的可计算空间做传播模拟。

1. 智能体编码：使用 LLM 编码器，把每个智能体角色、记忆、历史交互编码为节点向量 $h_i=f_{LLM}(v_i)$

2. 注入待检测消息，初始化仿真状态：将待检测消息 $M_r$ 注入接收方智能体 $v_r$ ；其余智能体维持原始状态。

$x_{i}^{(0)}=h_{i}\| m_{i}, m_{i}= \begin{cases} f_{LLM}(M_r),&i=r\\ 0,&i\neq r \end{cases}$

||代表向量拼接。

3. L 层 GNN 模拟多跳传播：每一层 GNN 对应一轮多智能体通信；聚合邻居状态更新节点隐状态，模拟消息会如何在整个图里面扩散

$x_{i}^{(l)}=\sigma \big(AGG\{x_{j}^{(l-1)} | v_j \in \mathcal N(v_i)\}\big)$

4. 图 READOUT 池化得到全局系统表征g，同时保留每个 Agent 仿真之后的局部状态 $x_i^{(L)}$

⚠️注意：这全部是仿真计算，没有在真实多智能体中执行这条消息。

3.2 系统偏差干预

分为三步：学习正常模式、计算鲁棒阈值、局部‑全局偏差干预。

学习良性 MAS 通信模式

使用干净无攻击的多智能体运行轨迹训练解码器 $D_\theta$ ，对仿真出来的智能体状态、全局系统状态做重构。联合损失，同时优化智能体级别、系统级别重构损失： $\mathcal{L}_{rec }=\alpha \mathcal{L}_{sys }+(1-\alpha) \mathcal{L}_{agent }$

MAD 中位数绝对偏差，计算异常阈值

收集良性样本下重构误差分布，用 MAD 鲁棒统计计算阈值（不受少数离群点干扰）

$\tau(S)=median(S)+k \cdot 1.4826 \cdot MAD(S)$

推理阶段风险判定与干预策略 对输入消息仿真，计算重构误差 $e_i^n$ (agent 级）， $e_i^n$ system 级)；只要任意一项超过阈值，则判定该消息是风险消息：

$\mathcal{A}\left(M_{r}\right)=\mathbb{I}\left[e^{g}>\tau_{sys } \vee max _{v_{i} \in \mathcal{V}} e_{i}^{n}>\tau_{agent }\right]$

两种攻击的不同干预策略（图 5）

面向 Agent 目标攻击（外部恶意消息流入系统）：直接在系统边界阻断该消息，不让它进入多智能体。
面向通信劫持攻击 (AiTM，发送方本身是干净 Agent，只是传输途中消息被篡改)：不隔离发送方智能体，丢弃被篡改消息，请求原始发送智能体重新生成干净消息。

核心优势：只处理消息，不删除、隔离智能体，最大程度保留原有协作能力。

4 实验 🧪

4.1 实验设置

✅四类攻击

Agent 层：提示注入 (GSM8K)、工具攻击 (InjecAgent)、记忆投毒 (PoisonRAG)
通信层：通信劫持 AiTM 攻击 (MMLU)

✅拓扑：Chain 链式、Tree 树型、Star 星型、Random 随机拓扑

✅基线：No‑Defense、Dominant、PREM、TAM、G‑Safeguard、BlindGuard、XG‑Guard（全部是反应式防御）

✅基座模型：GPT‑4o‑mini、DeepSeek‑V3/V3.2、Qwen‑30B‑A3B

✅评价指标

ACC：任务准确率（越高越好，代表系统保留协作效用）
ASR：攻击成功率（越低越好，防御效果）
Precision / Recall / F1：风险消息检测指标

4.2 主要实验结果

SAIGuard 平均 ACC 比最强基线提升+11.96%；平均 ASR 降低‑67.47%。

在通信劫持 AiTM 攻击场景 ASR 直接降到 0.00，可以完全抵御中间人通信劫持。

多轮对话实验（图 7）：随着对话轮次增加，传统反应式防御 ASR 持续走高，攻击不断扩散；SAIGuard 维持高 ACC，ASR 保持低位。

跨拓扑、跨大模型泛化：在 Chain/Tree/Star/Random 全部拓扑、多款开源 LLM 上都稳定优于基线。