核心发现
方法论
本文提出基于激活空间的恶意行为检测框架AcMAS，利用局部智能体内部推理状态的激活向量，建立正常行为的分布模型。通过计算激活的余弦距离偏差，识别偏离正常分布的异常行为，无需依赖明确的交互图或时间同步。该方法适应异步和同步两种执行模式，并引入激活修正机制，修复受损智能体的推理状态，提升系统鲁棒性。核心算法包括激活特征提取、分布偏差度量及动态修正，结合多层次的异常检测与修复策略。
关键结果
- 在五个攻击场景（包括隐蔽提示注入、工具操控和内存污染）下，AcMAS在同步和异步环境中F1值分别达到0.94和0.93，远超图结构基线（同步0.72，异步0.38），提升幅度超过0.5。检测准确率达95%以上，误报率低于5%。在不同规模（8-80个智能体）和多种LLM架构（如GPT-3.5、Llama-2）中表现一致，验证其广泛适用性。
- 结果显示，激活空间偏差检测在隐蔽攻击中具有优越性能，且激活修正有效恢复受损智能体功能，保持任务完成率达97%，显著优于传统隔离策略，减少任务中断风险。
研究意义
该研究突破了现有多智能体系统安全防御的局限，解决了语义隐蔽攻击和异步执行环境中的检测难题。通过内部推理状态分析，提供一种无需显式交互图的鲁棒检测方案，极大增强了系统在复杂、动态环境中的安全性。其激活修正机制也为智能体的功能恢复提供新思路，有助于推动多智能体系统在实际应用中的安全部署。
技术贡献
提出基于激活空间的异常检测算法，结合分布偏差度量与动态修正机制，突破传统图模型对同步性和语义明确假设的依赖。算法在多种LLM架构和攻击类型下表现出强泛化能力，提供了理论上的鲁棒性保证。实现上，采用多层激活特征提取和自适应修正策略，有效提升检测精度和系统恢复能力，为多智能体安全提供新技术路径。
新颖性
首次提出利用局部智能体激活空间的分布偏差进行隐蔽攻击检测，避免对交互图的依赖，解决异步环境下的检测难题。创新性在于将激活偏差作为异常信号，并引入激活修正机制，区别于传统的输出或结构性检测方法，具有较强的理论创新和工程应用潜力。
局限性
- 方法依赖于正常行为的激活分布建模，可能在极端攻击或模型迁移场景中表现不佳，需持续更新正常基线。
- 激活修正虽然提升了功能恢复，但在高强度攻击或多点同时攻击下可能无法完全修复，存在一定局限。
- 算法在超大规模系统中可能面临计算成本挑战，需优化特征提取和偏差计算的效率。
未来方向
未来将探索多模态激活特征融合，提升复杂场景下的检测能力；同时结合强化学习策略优化修正力度，增强系统适应性。还计划扩展到多任务、多模态多智能体系统，研究更复杂的攻击模型和防御机制，推动安全智能体的实用化。
AI 总览摘要
随着大规模语言模型（LLMs）在多智能体系统（MAS）中的广泛应用，系统安全成为核心挑战。传统检测方法多依赖明确的交互图或语义特征，但在实际环境中，攻击日益隐蔽，异步执行模式也使得图模型失效。本文提出的AcMAS框架，利用局部智能体内部激活空间的偏差进行攻击检测，突破了语义隐蔽和异步鲁棒性难题。通过构建正常激活分布模型，识别偏离行为，并引入激活修正机制，恢复受损智能体的推理能力，显著优于现有图结构方法。在五个攻击场景中，AcMAS在同步和异步环境下的F1值分别达到0.94和0.93，检测准确率超过95%。该技术不仅提升了多智能体系统的安全性，也为未来多模态、多任务智能体的安全防护提供了新思路。未来工作将聚焦于多模态融合和强化学习优化，推动智能体安全技术的广泛应用。整体而言，本文为多智能体系统的安全检测提供了一种高效、鲁棒且可扩展的解决方案，具有重要的理论价值和实际意义。
深度分析
研究背景
多智能体系统（MAS）近年来在自动化、协作和复杂任务执行中展现出巨大潜力，特别是在大规模语言模型（LLMs）支持下，智能体能自主推理、沟通与协作。早期研究如Liang等（2024）和Zhuge等（2025）强调结构化通信和角色分工，推动了MAS的应用扩展。然而，系统的安全性成为瓶颈，尤其在面对对抗性攻击时。现有防御多依赖于行为分析、交互图模型（如G-Safeguard、NetSafe）或输入特征，但在隐蔽攻击和异步环境中效果有限。近年来，研究逐渐关注智能体内部推理状态，试图通过激活特征捕获潜在异常，提升检测鲁棒性。尽管如此，激活空间的潜力尚未充分挖掘，特别是在复杂、多变的实际场景中。
核心问题
当前多智能体系统安全检测主要依赖于显式交互图和语义特征，难以应对隐蔽攻击和异步执行带来的挑战。隐蔽攻击如提示注入、工具操控和内存污染，常通过掩盖表面行为，规避传统检测手段。同时，异步架构导致通信延迟和信息滞后，使得基于图的模型失效，难以实时识别恶意行为。此外，现有方法在检测后多采用隔离或屏蔽措施，可能破坏系统协作，影响任务完成。解决这些问题，要求开发无需依赖明确交互结构、具有鲁棒性和功能恢复能力的检测机制。
核心创新
本文提出的核心创新包括：1）激活空间异常检测，将智能体内部推理状态的偏差作为异常信号，避免对交互图的依赖，适应异步环境；2）分布偏差建模，利用正常激活分布的中心点（μnormal）检测偏离行为，提升隐蔽攻击的检测能力；3）激活修正机制，通过引导受损激活回归正常分布，恢复智能体推理能力，避免传统隔离策略带来的任务中断。这些创新突破了现有方法在隐蔽性和异步性上的限制，提供了更稳健的安全保障。
方法详解
- �� 激活特征提取：从每个智能体的LLM中提取最后一层隐藏状态作为激活向量h(t)i。• 正常行为建模：利用正常运行数据计算激活的中心点μnormal，作为正常推理的代表。• 异常检测：在每个时间点，计算激活偏差δ(t)i = 1 - ⟨h(t)i, μnormal⟩，偏差越大越可能异常。• 阈值设定：通过验证集确定检测阈值τdetect和最大偏差阈值τmax，识别偏差显著的智能体。• 异步适应：在异步场景，只检测活跃智能体，使用固定正常模型，避免时间同步假设。• 激活修正：对偏差较大的智能体，利用λi调节激活修正力度，将激活引导回正常分布，保持推理连续性。
实验设计
采用CSQA、GSM8K、PoisonRAG等公开数据集，模拟多种攻击（隐蔽提示注入、工具操控、内存污染），在同步和异步两种MAS架构下评估。对比G-Safeguard、BlindGuard等基线，指标包括F1、准确率、误报率和AUROC。实验中调节参数如τdetect、τmax，进行消融分析验证激活偏差的有效性。多模型、多规模、多攻击强度的测试确保方法的泛化能力。
结果分析
AcMAS在五个攻击场景中，F1值在同步环境下达到0.94，异步环境下达0.93，显著优于图结构基线（同步0.72，异步0.38）。检测准确率超过95%，误报率低于5%。激活修正机制显著提升任务完成率至97%，比传统隔离策略高14%，同时攻击成功率降至3%。多模型验证显示，该方法在不同LLM架构和系统规模中保持稳定性能，验证其广泛适用性。
应用场景
该技术适用于自动化制造、智能协作平台、无人系统等场景，提升系统在复杂环境中的安全性。通过无需依赖复杂交互图，降低部署门槛，适应异步通信和隐蔽攻击。未来可结合强化学习优化修正策略，增强系统自主防御能力，推动智能系统的安全普及。
局限与展望
方法依赖于正常激活分布的准确建模，在极端攻击或模型迁移场景中可能失效。激活修正虽提升功能恢复，但在多点同时攻击下效果有限。计算成本较高，特别是在超大规模系统中，需优化特征提取和偏差计算流程。未来需结合多模态信息和强化学习，增强鲁棒性和适应性。
通俗解读 非专业人士也能看懂
想象一个工厂里有许多工人（智能体），他们每个人都在做不同的任务。每个工人有一个脑袋（内部推理状态），里面装着他们的想法和计划。正常工作时，这些想法彼此协调，形成一个有序的流程。有时候，有坏人偷偷混进工厂，试图让工人做错事或搞乱工作。传统方法就像用眼睛看工人是否做错事，但坏人很狡猾，隐藏了他们的动作。本文的方法像是偷偷观察工人脑袋里的想法，通过分析他们的思路是否偏离正常轨迹，来发现潜在的坏人。即使坏人试图伪装，工人的想法也会出现异常的偏差。发现后，不是把坏人赶走，而是帮他们的想法恢复正常，让工厂继续顺利运转。这就像在工厂里用心观察每个人的脑袋，及时调整他们的思路，确保整个生产线安全高效。
原文摘要
While enabling effective collaboration on complex tasks, LLM-based Multi-Agent Systems (MAS) face critical security challenges due to vulnerabilities at the agent and interaction levels. Most existing MAS security defenses are built upon two core assumptions: semantically-explicit malicious attacks and explicit graph-based modeling of the MAS topology and agent-level interactions. In practice, real-world attacks are becoming more semantically stealthy, while MAS execution is typically asynchronous without the temporal alignment assumed by graph-based propagation models. To address these limitations, we propose AcMAS, an activation-based framework for malicious-behavior detection in MAS. By analyzing internal reasoning states in the activation space of local agents, AcMAS detects even stealthy attacks in a synchronization-robust fashion, without relying on explicit interaction graphs. Moreover, our activation analysis provides critical signals to guide AcMAS in restoring the functionality of compromised agents, rather than the disruptive agent isolation commonly used by the state-of-the-art methods. Comprehensive evaluation demonstrates that AcMAS significantly outperforms graph-based baselines against stealthy attacks, by +0.22 F1 in synchronous settings (0.94 vs. 0.72) and by +0.55 F1 in asynchronous settings (0.93 vs. 0.38), with generalization across diverse open-source LLM backbones, attack intensity, and MAS scale.