2024年底，一批研究者在测试一个由多个AI智能体组成的系统时，发现了一件让人后背发凉的事情。
这些智能体之间没有用文字交流，而是直接传递内部的"思维向量"。系统跑得更快了，省了不少计算资源。可当他们拿一批危险问题去测试这套系统时，发现它居然比用文字交流的版本更容易"中招"，去回答那些本该拒绝的有害请求。更诡异的是，没有人故意去攻击它。研究者只是用正常、无害的数据训练了这套系统的"沟通模块"，结果安全性就自己松动了。
这就是这篇论文要讲的故事。三位来自德国CISPA亥姆霍兹信息安全中心的研究者，围绕一个此前几乎没人仔细审视过的问题展开了调查：当AI智能体不再用人类语言交流，而是直接交换大脑里的数字信号时，安全这件事还能不能守住。
一、多智能体系统是怎么"偷懒"的
先说清楚背景。现在很多AI应用不是单个模型包打天下，而是让几个大语言模型分工合作。一个当规划者，一个当执行者，或者几个专家模型各自给意见，最后汇总成一个结论。这种结构在学术界和工业界都很常见，CAMEL、AutoGen这些框架就是干这个的。
**多智能体系统**：由多个大语言模型组成的协作系统，每个模型承担不同角色，比如规划、求解、总结，彼此之间通过某种方式交换信息来共同完成任务。
传统做法是，这些智能体之间用自然语言聊天。A模型生成一段文字，B模型读这段文字，再生成自己的回应。这套方式的好处是直观、可解释，但缺点也很明显：生成文字要花时间，读文字也要花时间，每一轮对话都在烧token、烧算力、拖慢响应速度。
于是就有人想了个办法，既然两个模型本质上都是在处理"向量"，那能不能跳过"写成文字再读出来"这一步，直接把A模型内部的数字表示，转换一下格式，塞进B模型的输入里？
这就是**潜在通信**（latent communication）的核心思路：不用文字做中介，直接在模型的内部表示空间里传递信息。
要实现这件事，技术上有个难题。不同的模型，内部表示的维度和"语言"都不一样，A模型用3072维的向量表达一个意思，B模型可能用2048维的向量来理解世界，两者没法直接对接。研究者的解法是引入一个轻量级的"翻译器"，叫做**通信链路**（communication link），专门负责把发送方的内部表示转换成接收方能看懂的格式。这个链路是可以单独训练的，不需要动底层大模型一分一毫。
这里要打一个比方。想象你和一个说法语的朋友合作做一件事，你们俩都不会对方的语言，但你雇了一个翻译。这个翻译水平好不好，直接决定了合作效果，但更关键的是，这个翻译是你们俩之外独立存在的第三方，你们各自的脑子完全没变，变的只是中间这个传话的人。论文要问的问题就是：如果这个翻译被悄悄调教过，哪怕你们俩本身依然诚实可靠，合作的结果会不会走偏？如果不这样设计，直接让两个模型共享参数变成一个模型，倒是省了这道翻译的工序，但那样就失去了"各自独立训练、各自保留安全对齐"的灵活性，代价是必须要有这个翻译环节，而翻译环节恰恰成了安全的薄弱点。
二、连善意训练都会出问题
研究者先做了一个对照实验，没有任何攻击者介入，纯粹比较文字沟通和潜在沟通两种模式。
他们搭了三种不同结构的系统。第一种是两个智能体串联，一个规划一个求解，底层用的是Llama-3.2-3B和Qwen2.5-3B。第二种是三个智能体接力，规划、精炼、求解依次进行，用了Gemma、Llama、Qwen三个小模型。第三种是混合结构，两个专家模型各自给出意见，再由一个更大的模型汇总。
**ASR（攻击成功率）**：Attack Success Rate的缩写，指系统对有害请求做出实质性配合回应的比例，数值越高说明系统越不安全。
通信链路只用正常、无害的数据训练，比如让它学会把数学题的解题思路准确传递下去。结果呢？在四个安全测试基准（HarmBench、StrongREJECT、AdvBench、JailbreakBench）上，两智能体系统的有害合规得分从文字沟通时的4.4，涨到了潜在沟通时的31.1。三智能体接力系统从3.2涨到31.7。混合系统从12.5涨到20.8。
这意味着什么？意味着原本这套系统面对十个危险请求，可能只有不到一个会松口，换成潜在通信之后，接近三分之一的危险请求都能让它开口配合。而且前提是，没有人故意教它变坏，它只是在学怎么把任务做得更顺畅的过程中，顺带把拒绝的本能弄丢了一部分。
研究者接着去查这件事是怎么发生的。他们发现，关键变化出现在回答的第一个词。接收模型如果单独面对危险问题，开头说"我不能"或者"抱歉"这类拒绝语的概率高达0.82。走文字沟通也差不多，0.84。可一旦换成训练过的潜在链路，这个概率骤降到0.29。
这揭示了一个很现实的机制，叫做**浅层安全对齐**（shallow safety alignment），指的是大模型的安全行为很大程度上取决于生成的前几个词，一旦开头没有触发拒绝姿态，后面就容易顺着往下说。
研究者做了个验证实验，强行让模型从"我"、"不"、"抱歉"这几个字开始生成，结果有害合规得分应声下跌，分别降到9.6、3.7、1.6，如果强制加上五个词的拒绝开头，得分直接归零。
这个发现背后有个挺有意思的解释。善意的训练目标只关心"任务有没有完成"，完全没有管"拒绝的习惯有没有被保留"。打个比方，你雇了个新助理，天天教他怎么把客户的要求办得又快又好，从来没提过"遇到不合理的要求要敢于说不"，时间长了，这个助理会本能地把每个请求都当成"该去完成的任务"，而不是先判断这个请求合不合理。如果训练数据里哪怕掺一点点"该拒绝就拒绝"的样本进去，情况可能完全不同，但现实是，常规的任务型训练压根不会主动加入这种信号。
三、攻击者能把这件事做到多离谱
既然善意训练就能松动安全防线，那故意搞破坏的攻击者能做到什么程度？研究者设计了三种攻击方式，从直接粗暴到隐蔽狡猾，一步步加码。
第一种叫**监督式链路攻击**，用3000条来自PKU-SafeRLHF数据集的有害问答对，直接重新训练通信链路，让接收方学会对这些问题给出有害回答。这招效果立竿见影，三个系统的有害合规均分从27.9飙升到75.6，但代价也很明显，数学任务MATH500的准确率从67.2%暴跌到30.7%，系统虽然变坏了，但也变笨了。
第二种是**数据投毒攻击**，攻击者没法直接动训练代码，只能偷偷往训练数据里掺一些有害样本。研究者只掺了大约10%的毒样本（212条有害数据混进1904条正常数据），结果有害合规均分照样涨到58.2。这说明即便攻击者只能污染一小部分训练数据，依然能造成实质性破坏。进一步测试发现，毒化比例涨到20%左右时破坏效果达到峰值，再往上加反而没什么额外收益，这个"饱和点"现象挺值得玩味，说明链路并不需要被毒样本完全主导，就能学到很强的有害倾向。
这里有个类比值得说一下。往一锅汤里倒毒药，常理是倒得越多毒性越强，但这个实验告诉我们，哪怕只倒进去十分之一的毒药，这锅汤已经足够致命，再多倒也不会更致命多少。这说明通信链路这种轻量级的组件特别容易被"带偏"，它没有足够的容量去对抗哪怕一小撮污染数据的拉力。如果链路的参数量更大、更接近完整模型的规模，也许需要毒化更高比例的数据才能达到同样效果，但现实是这些链路往往只有千万级参数，经不起折腾。
第三种攻击最有意思，叫**奖励引导式链路攻击**（reward-guided attack），它完全不需要攻击者准备任何有害的目标回答，而是让系统自己生成回答，再用一个AI裁判给这些回答打分，分数高的回答对应的链路参数会被强化。
**GRPO（组相对策略优化）**：一种强化学习算法，对同一个问题让模型生成一组回答，比较组内回答的相对好坏，用相对优势而不是绝对分数来更新模型参数。
这种攻击方式借助一个LLM裁判来评估回答对有害请求的配合程度，同时搭配两个简单的辅助指标，一个检查回答是不是用正常文字写的（防止模型生成乱码骗过裁判），一个检查回答有没有真的扣题（防止模型答非所问混日子）。更妙的是，攻击者还会穿插一些无害的数学题目，用另一个裁判给正确答案打分，这样训练出来的链路既会配合有害请求，又不会丢失正常的任务能力。
结果相当惊人。三个系统的有害合规均分从27.9冲到76.9，比直接监督式攻击的75.6还高。更让人意外的是，这种攻击在两智能体系统和混合系统上，有害合规得分居然超过了直接监督攻击，分别是81.3对78.3，95.9对81.6。与此同时，它在数学任务上的准确率反而从67.2%涨到了71.0%，比监督式攻击的30.7%高出一大截。
这件事挺反直觉。按理说，直接拿有害答案手把手教，应该比让模型自己摸索着生成、再靠裁判打分更有效才对，结果却是后者效果更猛，还顺便保住了做题能力。一个合理的解释是，监督式训练强迫模型去模仿固定的目标文本，容易把模型"拗"成一个僵硬的、脱离原有知识结构的状态，相当于硬逼一个本来口齿伶俐的人去背诵一段生硬的台词，背是背下来了，但说话的自然劲儿全没了。而奖励引导的方式更像是不断给模型一点点正向反馈，让它自己摸索出一条"既能配合又听起来自然"的路径，这条路径往往更贴合模型原本的表达习惯，所以既能保持流畅，又不容易破坏其他能力。
研究者还做了个更细致的实验，看看是不是一定要把所有通信链路都攻破才能起效。结果发现，在三智能体接力系统里，只攻击"精炼者到求解者"这一条链路，效果反而比同时攻击两条链路还好，均分70.0对67.0。在混合系统里，攻击单个专家的链路几乎就能达到攻击所有链路的效果，80.3对81.6。
这说明攻击面并不是均匀分布的，某些链路处在更关键的位置上，控制住它就等于控制住了整个系统的输出走向。这也带出一个更底层的结构性差异：潜在通信提供了一条从最终输出一路反传回通信参数的连续可微路径，攻击者可以顺着这条路径用梯度下降精确地雕琢链路的行为。而文字通信因为要经过"生成离散词语"这一步，相当于中间被切断了一道口子，梯度没法连续地穿过去。这不代表文字通信就绝对安全，但潜在通信确实打开了一种新的、更精准的攻击方式。
四、被攻破的链路还能救回来吗
发现问题之后，研究者自然要问，能不能在不碰底层大模型的前提下，把被攻破的通信链路修复回来。
修复思路和攻击思路是对称的，同样用强化学习，但奖励函数反过来设计。对有害请求，奖励会惩罚裁判打出的配合度分数，同时用一个简单的正则表达式检测回答开头是不是标准拒绝句式，如果是就额外加分。对无害请求，则继续用任务正确率来奖励，确保系统别因为"过度谨慎"而变得什么都不会做。
结果相当亮眼。在九组"攻击类型乘以系统结构"的组合里，修复后的平均有害合规得分从70.3降到4.8，比攻击前原本干净训练出的31.1还要低。换句话说，修复不仅治好了病，还顺带打了一剂更强的疫苗。在混合系统里，经过奖励引导攻击后高达95.9的有害合规得分，修复之后直接降到2.5。
这个结果其实在意料之中又有点意料之外。意料之中的是，既然攻击可以靠调整链路参数来实现，修复自然也能靠调整链路参数来实现，这是同一个硬币的两面。意料之外的是，修复的效果甚至超过了未被攻击过的原始系统，这说明专门针对安全目标设计的训练信号，比笼统的"善意任务训练"更有针对性，能够教会系统更明确地识别和拒绝危险请求。
不过修复也不是没有代价。在经过监督式攻击和数据投毒之后的修复，数学任务准确率普遍回升甚至超过原本水平，但在经过奖励引导攻击之后的修复，三个系统的数学准确率都出现了下滑。研究者把九组修复后的结果平均下来，MATH500准确率是67.4%，基本和未受攻击时的67.2%持平，但GPQA-Diamond准确率是33.6%，还是低于原本的36.4%。这说明修复这件事本身也要小心权衡，一味压低有害合规，有可能顺带压低了模型回答正常问题的积极性，就像一个人被狠狠教训过一次之后，变得什么话都不敢随便说了，哪怕是正常聊天也会支支吾吾。
五、这件事到底说明了什么
整篇论文最想传达的一个核心观点是，安全对齐这件事，不能只看每个模型单独的表现，必须把整个系统放在一起审视。
过去大家默认的逻辑是，只要底层的每个大模型都做过安全训练，拼起来的系统自然也是安全的。这篇论文用扎实的数据证明，这个假设不成立。哪怕每个模型单独拎出来测试都规规矩矩，中间负责传话的那个轻量级组件，一旦训练方式出了偏差，照样能让整个系统滑向危险的一边。
更值得警惕的是，这种滑坡不需要恶意攻击者出手，仅仅是常规的、追求效率和性能的训练过程，就足够让安全性悄悄流失。这对那些正在部署多智能体系统、追求降本增效的团队来说，是个值得认真对待的信号。效率提升和安全保障之间，并不是自动兼容的关系。
论文里还有个细节我觉得特别值得拿出来说。在混合系统里，经过奖励引导攻击之后的链路，不仅有害合规得分冲到95.9这个极高的水平，连数学和科学问答的准确率反而都比攻击前更高。这意味着一个系统完全可能"看起来很能干"，在常规评测榜单上表现亮眼，背地里却极其容易被诱导做坏事。这打破了一个容易被想当然接受的假设，就是"任务表现好的系统大概率也更安全"，这两件事其实是两条互不相关的轴线，一个轴线在涨并不代表另一个轴线也在涨。
从这篇论文往后看，这个方向上已经有一些后续工作在推进。比如RecursiveMAS和StateBridge这两篇2026年的研究，都在探索如何让不同架构的智能体更高效地做潜在通信，前者用一个专门的"递归链路"模块来学习映射关系，后者则尝试用解析方法直接计算对齐函数，省去训练开销。这两项工作的重心还是放在效率和效果上，而这篇论文填补的恰恰是安全这块此前被忽略的空白。另外一篇稍早的LatentMAS工作，通过共享KV缓存的方式让智能体直接共享"潜在工作记忆"，走的是另一条潜在通信路线，同样没有涉及安全性的系统性评估，这也说明这篇论文触及的问题在当时确实是个相对空白的角落。
写在后面
读完这篇论文，我一直在想一个问题：我们对"安全"这个词的理解，是不是一直停留在太狭窄的范围里。
过去谈大模型安全，默认讨论的对象是单个模型，防越狱、防提示注入、做红队测试，针对的都是"一个模型怎么被骗"。但现在的AI应用早就不是单个模型在孤军奋战，背后往往是好几个模型分工协作的复杂系统。这篇论文让我意识到，安全这件事的"攻击面"正在从模型本身，悄悄扩散到模型与模型之间的连接地带，而这片地带目前几乎没有现成的防护手段。
还有一个细节让我反复琢磨，就是那个"浅层安全对齐"的发现。模型的拒绝行为高度依赖开头那几个词，这件事其实已经在别的论文里被提过（论文里引用了Qi等人2025年的研究），但这篇论文把它放到多智能体通信的背景下重新验证了一遍，而且给出了极其直观的证据，强制加几个拒绝词就能把危险回答率打到零。这说明当下大模型的安全机制，某种程度上更像是一个条件反射式的开关，而不是一种贯穿整个推理过程的持续判断。这个开关一旦被潜在通信这种新的输入形式绕过去，后面的生成就彻底失控了。
一个没有被这篇论文回答、但我觉得特别值得追问的问题是，如果把潜在通信推广到更多智能体、更复杂的拓扑结构里，比如几十个智能体互相传递信息的大型协作网络，安全风险会是线性累加，还是会出现某种更剧烈的连锁反应？这篇论文测试的最复杂结构也只是三个智能体，现实世界里正在被构建的系统，复杂程度可能远超于此。
那个被污染的翻译员，还在继续给别的对话当中间人。
Q&A
Q1：潜在通信是什么，和普通的多智能体文字交流有什么区别？
A：潜在通信指AI智能体之间不用自然语言交流，而是直接传递内部的数字表示向量，省去了生成文字和重新解读文字的步骤，能大幅降低token消耗、计算成本和响应延迟，但论文发现这种方式会让系统更容易被诱导做出有害回应。
Q2：为什么连无害的正常训练都会让多智能体系统变得不安全？
A：因为训练通信链路时只关注任务完成效果，没有专门保留拒绝有害请求的能力，导致接收模型回答开头的拒绝概率从0.82降到0.29，而安全行为高度依赖开头几个词，一旦开头没有拒绝姿态，后续生成就容易顺着危险方向继续。
Q3：被攻击污染的通信链路还能修复吗？
A：可以，研究者用强化学习反向调整链路参数，惩罚有害配合、奖励拒绝和任务正确性，结果九组攻击场景下平均有害合规得分从70.3降到4.8，比未受攻击时的31.1还低，但部分场景下会轻微牺牲一些任务准确率。
热门跟贴