跳转至

基于联邦图学习的LLM多智能体系统隐私保护拓扑引导安全性

文章背景与核心概要

随着大语言模型（LLM）在多智能体系统（MAS）中的广泛应用，如何确保多智能体间通信与协作的安全性成为了一个关键挑战。现有的拓扑引导安全机制通常依赖于在智能体间的通信图上训练图神经网络（GNN），以定位高风险智能体并干预系统拓扑。然而，在跨组织、多机构的现实应用场景中，由于涉及机密提示词、工具输出和专有工作流等隐私问题，所有权分散的各方无法汇聚全部带标签的执行轨迹，导致传统集中式方案失效。

为了解决这一痛点，本文作者将隐私保护的多智能体系统安全防护建模为一个图联邦学习（Federated Graph Learning）问题，并重磅推出了 FGLGuard 框架。该框架通过去中心化训练，使各参与方仅共享模型更新而非原始数据，同时结合了面向非独立同分布（non-IID）客户端的近端本地目标、领域平衡聚合、抗过度拒绝的阈值校准等核心技术。实验表明，FGLGuard 在无需汇聚任何原始数据的情况下，不仅超越了单域集中式性能上限，还大幅降低了多智能体系统在基准测试中的攻击成功率，为构建安全、私密的协作式大模型多智能体生态开辟了新途径。

摘要总结 (Abstract Summary)

Topology-guided safeguards for Large Language Model (LLM)-based multi-agent systems (MAS) rely on training Graph Neural Networks (GNNs) over inter-agent communication graphs to localize risky agents and intervene on the topology. However, traditional implementations assume a single operator can pool all labeled execution traces. In real-world multi-organization settings, this assumption breaks down due to privacy concerns involving private prompts, tool outputs, and proprietary workflows, leaving no individual silo with a complete view of the attack distribution.

基于大语言模型（LLM）的多智能体系统（MAS）的拓扑引导安全防护，依赖于在智能体间通信图上训练图神经网络（GNN），从而定位高风险智能体并对拓扑结构进行干预。然而，传统的实现方式假设单一操作员能够汇聚所有带标签的执行轨迹。在现实世界的跨组织环境中，由于涉及私密提示词、工具输出和专有工作流等隐私顾虑，这一假设不再成立，导致没有任何单一的数据孤岛能够掌握攻击分布的完整视图。

To solve this, the authors frame privacy-preserving MAS safeguarding as a graph federated learning problem and introduce FGLGuard: * Decentralized Training: Each operator fits an edge-featured graph attention detector on its own judge-labeled episode graphs, sharing only model updates rather than raw data. * Core Technical Components: Incorporates a proximal local objective for non-IID clients, domain-balanced aggregation, over-refusal-constrained threshold calibration, corroborated upstream scoring, and guarded rewrites for blocked answers. * Performance: On benchmarks including Agent-SafetyBench, R-Judge, and AgentDojo, federated FGLGuard surpasses the in-domain centralized performance ceiling without pooling any data—outperforming unsupervised anomaly guards and local-only training. * Key Results: A single guard federated across four different-domain operators comes within 0.03 AUROC of multi-domain centralization, whereas single-domain guards collapse when transferred. Furthermore, live FGLGuard reduces AgentDojo's ground-truth attack-success rate by 43% with near-unguarded utility, zero API cost, and negligible capability loss.

为了解决这一问题，作者将隐私保护的多智能体系统防护建模为一个图联邦学习问题，并推出了 FGLGuard： * 去中心化训练： 每个操作员在其自带的、经评判打标的剧集图（episode graphs）上拟合一个带边特征的图注意力检测器，且仅共享模型更新而非原始数据。 * 核心技术组件： 包含针对非独立同分布（non-IID）客户端的近端本地目标、领域平衡聚合、抗过度拒绝（over-refusal-constrained）的阈值校准、协同上游评分，以及针对被拦截回答的安全重写机制。 * 性能表现： 在 Agent-SafetyBench、R-Judge 和 AgentDojo 等基准测试中，联邦式 FGLGuard 在不汇聚任何数据的前提下，超越了域内集中式的性能上限——其表现优于无监督异常防护器和纯本地训练方案。 * 关键结果： 跨四个不同领域操作员进行联邦训练的单一防护器，其性能与多领域集中式方案的差距在 0.03 AUROC 以内，而单领域防护器在迁移时则会出现性能崩溃。此外，实际运行的 FGLGuard 将 AgentDojo 的真实攻击成功率降低了 43%，同时保持了接近未防护状态的效用、零 API 成本以及可忽略的能力损失。

文章详情 (Article Details)

提交历史 (Submission History)

  • [v1] Wed, 2 Sep 2026 07:57:12 UTC (1,079 KB)
  • [v1] 2026年9月2日 星期三 07:57:12 UTC (1,079 KB)