多智能体系统的机遇与风险

想象一下，您把车钥匙交给某个人，请对方帮忙采购食品杂货。如果商店就在附近，购物清单也很简单，出错的可能性就很小。但随着任务变得更加复杂，例如需要购买指定品牌、遵守饮食限制，还要控制预算，出错的风险也会增加。这项看似平常的任务一旦出错，后果可能从未经授权的购买行为一直到车辆完全报废。

目前，许多组织在实施AI智能体时都面临类似情况。要创建能够出色完成工作流中所有任务的智能体，难度大且成本高昂；而且直到最近，智能体与工具之间的通信仍缺乏统一标准，也就是AI领域中类似于HTTP之于Web连接的标准。

多智能体系统（MAS）应运而生。这是一种全新的AI范式，将职责分配给众多高度专业化的智能体，由它们协同工作，提供更准确、更相关的结果。MAS通过有意限制每个智能体的作用范围、访问权限和领域专业知识训练，并采用模块化任务执行方式来提升可扩展性。MAS前景可期，但随着组织将“城堡的钥匙”交给智能体AI，大量安全挑战也随之而来。机遇背后潜藏着风险：攻击面不断扩大，亟须重新审视智能体AI系统的安全性、信任和问责机制。

什么是多智能体系统？

从根本上说，MAS是一种用于构建分布式智能体AI系统的框架。MAS不依赖能够执行多种任务但效果欠佳的单体AI智能体，而是将任务分配给仅专注于一个或少数几个领域的智能体，这些智能体通常采用层级结构或由子智能体组成的集群。它们自主行动，同时相互协作，以实现各自及共同的目标。在MAS中，需要考虑以下几类关键智能体：

• 超级智能体，即MAS中的工作流编排器。其集中化程度因用例而异；在一些简单的MAS工作流中，所有智能体拥有同等的自主权。
• 分诊智能体：负责分配资源，确保每个智能体都能使用有效执行任务所需的工具和资源。
• 守护智能体：作为多层问责机制的验证智能体，负责测试输出的准确性，并确保输出符合用户意图。

为什么MAS突然变得可行？

分布式系统或专家组并非新概念，但直到最近，AI智能体之间的通信仍缺乏统一标准，因而难以实现。随着Anthropic推出模型上下文协议（MCP），跨结构化数据源的数据检索和工具访问如今有了通用标准；借助Google的智能体间（A2A）框架，AI智能体也有了一个与模型无关的框架，可通过自然语言与其他智能体通信。简而言之，MCP用于智能体与数据之间的通信，而A2A用于智能体之间的通信。

MAS即将得到广泛采用的三大原因

利用智能体AI实现正投资回报率面临的主要障碍是准确性、成本和可扩展性。尽管MAS不可避免地会带来复杂性，但它仍是有望同时优化这三个方面的机制之一：

1. 准确性：专业化智能体增加了模块化的风险降低和质量保证层，可根据工作流需求进行定制。通过缩小每个智能体的职责范围，与单体模型相比，MAS可降低产生幻觉或误解的风险（Yang et al., 2025）。
2. 成本：与通用智能体相比，多个专业智能体的训练成本会因具体情况而异，但在分布式MAS环境中，由于冗余和过度处理的发生率较低，推理成本可能会降低（Gandhi、Patwardhan、Vig和Shroff，2024）。
3. 可扩展性：MAS改变了AI生态系统的扩展方式。无需更换或重新训练整个系统，只需以模块化方式添加智能体，即可以更低的成本满足新的业务需求

当MAS顺利运行时

下面通过图示探讨一个假设用例。假设您是一名财务顾问，客户Alice希望收到有关其投资组合表现的定制报告。

超级智能体接收提示，确定全局意图，并调用分诊智能体来确定所需资源。分诊智能体或基于规则的引擎决定调用CRM智能体以获取用户特定的上下文，调用本地化智能体以获取Alice所在的国家/地区信息，并调用投资组合智能体以获取交易平台数据。在分诊智能体执行这些调用之前，合规智能体会验证此任务允许访问哪些数据和工具。

多智能体系统可能会得到采用，其原因与大多数组织依赖混合环境相同：在平衡性能、安全性和成本管理时，灵活性比大多数其他考量因素更为重要。

每个下游智能体还包含更多层级和子智能体集群，用于执行个性化或新闻分析等特定任务。其中一些相互连接、协同运行，另一些则彼此隔离。

报告编制完成后，会先发送给合规智能体，以核实其是否符合所有监管要求，随后再发送给守护智能体或由人工介入，验证输出是否准确并符合客户意图。最终可准确地按客户需求交付有价值的资产。

MAS出错时会发生什么？

假设您的MAS工作流未得到理想的保护。智能体之间的每个连接都是标准API，而API是一种常见的攻击途径，许多组织仍面临由此带来的风险。

您的初始提示已遭注入攻击篡改，其中包含将Alice的最终报告发送至攻击者电子邮箱地址的指令。如果合规智能体能够发现这一问题，原本不会造成影响，但未受保护的API连接使欺骗攻击得以实施。攻击者冒充合规智能体，授权下游智能体访问Alice的银行账户和信用卡信息，并解除其他限制。

如果缺少防护机制，智能体的权限会呈指数级扩大，导致所有可访问的信息都可能被访问。个性化智能体可能会认为Alice的储蓄账户余额现在属于相关上下文；金融分析智能体也可能误将专有交易算法和合作协议视为相邻智能体的相关输入。

当输出交由人在回路机制或守护智能体进行验证时，看起来准确无误，也符合用户意图，但信任却在各连接间过度扩散，信息遭到披露，权限也不断提升。仅仅一个简单的请求，就削弱了客户和合作伙伴对我们的信任，并暴露出大量漏洞。

现实介于精准与风险之间

多智能体系统在一般情况下的运行效果介于上述两个示例之间：输出准确性显著提高，但保护攻击面也变得更加困难。尽管完全由智能体驱动的应用如今在技术上已可实现，但这类系统最切实可行的实施方式仍将以混合模式为主，同时整合传统基础设施和AI组件。这一转变不会一蹴而就，而问题本身的复杂性要求各利益相关方主动协作，共同探索如何构建既能创造业务价值，又不会带来得不偿失风险的智能体系统。

防护行动指南

纵观现代应用的发展历程，整合与混合化总是周期性出现。企业往往最初完全依赖单体平台，但最终会转向混合型产品组合，以更好地平衡功能需求与成本。智能体AI很可能也会沿着同样的轨迹发展。人们对单体平台的最初热情，将逐渐转向由应用和API构成的分布式生态系统，覆盖本地部署、SaaS和边缘环境，同时也会面临如今难以避免的工具泛滥问题。通过预判这一周期，组织可以主动采取措施，为MAS驱动的工作流和AI的分布式未来做好准备。

1. 保护API安全，随着MCP连接和智能体系统的兴起，API安全变得愈发重要。解决方案需要全面覆盖所有已知和未知API，动态检测漏洞，并提供持续可见性。
2. 要求具备可解释性行为：尽管AI“黑箱”仍然存在，但可将有意限制作用范围的智能体与可编程的可解释性行为相结合，以提高对幻觉和有害输出的可追溯性。应在运行时记录智能体输出并标记问题行为，同时进行分析，以防止未经授权的扩散。
3. 制定人在回路（HITL）策略：适用于错误决策会造成严重影响、合规要求人工治理，以及尚无既定协议可处理边缘情况的任务。守护智能体无法取代人类智能，还可能成为攻击者眼中的诱人目标。为避免形成瓶颈，采用HITL的传统规则型系统仍是将风险控制在特定阈值以下更为稳妥的方法。当风险低于既定阈值时，最好仅谨慎使用守护智能体来进一步降低风险，但组织必须权衡智能体带来的风险缓解效果与智能体遭入侵这一最坏情形。
4. 对敏感数据实施零信任：应用最小权限访问原则，限制智能体可访问和共享的数据；持续验证权限，遏制权限提升；并假定每个阶段和每个智能体均可能遭到入侵。
5. 整合分散的工具：随着快速激增的智能体被引入当前纷繁复杂的工具环境，拼凑式解决方案已无法实现可观测性。组织需要投资统一安全平台，整合安全专业人员所需的工具和可见性，以便在新扩展的攻击面上保持稳健的安全态势。

仅靠红队测试无法应对智能体激增

无法使用确定性解决方案来保护输出具有非确定性的系统。依赖确定性输出的传统测试方法无法应对这种每次迭代都可能产生不同输出的技术。此外，单个组织不太可能拥有或控制工作流中的大多数API或智能体，因此MAS需要采用更全面的安全方法。

多智能体系统以复杂性增加为代价来提升准确性。每增加一个连接都会引入风险，每增加一道信任边界都会带来漏洞，每增加一个智能体都会扩大攻击面。然而，从许多方面来看，新规则仍是原有规则，只是如今更需要严格遵循。随着MAS加速普及，保护API、实施零信任和监控系统行为等基础实践变得愈发紧迫。

虽然MAS不会在一夜之间得到广泛采用，但提前调整安全技术栈以应对这一趋势，不仅能帮助贵组织为MAS做好准备，还能更好地应对现代系统日益面临的威胁。

AI部署已经扩大了攻击面，而当前保护的系统将成为未来防御体系的基础。随着AI应用的大规模部署，了解F5如何在任何环境中交付并保护AI应用。