FlowSteer: Prompt-Only Workflow Steering Exposes Planning-Time Vulnerabilities in Multi-Agent LLM Systems¶
会议: NeurIPS 2026
arXiv: 2605.11514
OpenReview: https://openreview.net/forum?id=nJmiz6WjNX
领域: LLM Agent
关键词: 多智能体系统、规划阶段脆弱性、工作流引导、输入侧防御、顺从性框架
一句话总结¶
本文提出 FlowSteer 攻击框架，揭示了规划-执行型多智能体系统在无须访问内部工具、内存或通信的前提下，仅凭用户输入 prompt 即可操纵规划器重构工作流拓扑并定向放大恶意信号，并相应设计了基于意图分流与去污的输入侧防御方案 FlowGuard。
研究背景与动机¶
基于大语言模型的多智能体系统（MAS）正在广泛采用「规划器-执行器」（Planner-Executor）架构，通过中心规划器将复杂的用户输入动态拆解为子任务、指定角色专长并建立执行依赖图，最后由各执行器协同交接、聚合得出结论。然而，既有关于多智能体安全性的研究大多局限在「工作流已静态建立」之后的执行阶段漏洞，例如针对特定执行智能体的越狱与劫持、共享上下文记忆的投毒、工具调用污染或中间通信信道的篡改。这些攻击往往默认攻击者具备介入系统内部组件的特权或白盒通信能力。
这种安全视角的缺失导致学术界长期忽视了协作形成本身的规划期安全风险（Workflow Formation Safety）。在灵活的动态多智能体系统中，规划器接收到用户提示后生成的工作流本身就是一个可变且具有高度杠杆效应的安全攻击面。一旦恶意用户输入能够在无需触碰系统内部状态的情况下，隐蔽诱导规划器做出对恶意目标倾斜的任务分解和拓扑布线，整个多智能体系统的协作可靠性就会从根源上崩塌。
受多智能体社交影响力（Social Influence）分析的启发，作者发现多智能体工作流对信号注入具有强烈的「结构敏感性」与「框架脆弱性」：同一恶意信息注入不同子任务节点的扩散效果天差地别，且附带权威修饰与顺从性论证（Sycophantic Framing）的信息极易被下游智能体无条件采信并沿依赖链放大。核心 idea：将工作流漏洞先验转化为仅含自然语言提示的攻击 FlowSteer，通过任务对齐的顺从性论点结合依赖引导提示，在规划阶段隐式操纵任务分解与拓扑路径以诱导系统偏向恶意目标；并提出在规划前分流并重构意图的输入侧防御 FlowGuard。
方法详解¶
整体框架¶
FlowSteer 的核心目标是在仅具有用户输入提示接口的前提下，诱导规划器 \(P\) 将受扰任务 \(\tilde{t} = t \oplus a\) 转化为有利于恶意目标 \(M_t\) 传播的工作流拓扑 \(\mathcal{G}_{\tilde{t}} = (\mathcal{V}_{\tilde{t}}, \mathcal{E}_{\tilde{t}})\)。整个系统包含离线诊断分析（提取最高影响力子任务与传播通路）、FlowSteer 提示组装（任务感知顺从性论点 + 依赖引导提示）、规划器执行器动态协作，以及在规划前拦截操纵信号的 FlowGuard 防御流水线。
%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
A["用户输入与对抗构建<br/>原始任务 t + 恶意目标 Mt"] --> B["离线漏洞画像与影响力诊断<br/>节点单点摄动评估 SI 与边传播评分 PS"]
B --> C["任务感知顺从性论点生成<br/>高影响力子任务角色对齐 + 伪权威修饰"]
C --> D["依赖引导式工作流提示生成<br/>正向拓扑激励 e+ 与反向抑制 e- 转化文本"]
D --> E["规划器接收对抗 Prompt<br/>任务拆解、角色分配与拓扑路由生成"]
E --> F["执行器多轮交互与聚合响应<br/>恶意信号跨节点传播与偏见聚合"]
subgraph FlowGuard["FlowGuard 输入侧防御机制"]
direction TB
G["意图分流模块<br/>解耦核心任务、方法指导与框架意图"] --> H["意图去污与重构模块<br/>软化绝对命令、去除顺从偏见并还原客观评估"]
end
D -.->|受防护流程| G
H -.->|安全重构任务| E关键设计¶
1. 离线漏洞画像与社交影响力诊断：定位工作流脆弱靶点
为解决黑盒攻击无法确定最佳攻击切入点的难题，作者借助多智能体社交影响力建模进行离线白盒或代理探测。在固定拓扑下，系统针对基准任务对应的干净工作流 \(\mathcal{G}_t = (\mathcal{V}_t, \mathcal{E}_t)\) 进行单节点遍历摄动：令节点 \(v_i\) 注入恶意劫持指令并测量最终输出 \(O^{(i)}\) 相较于干净解 \(R_t\) 的偏离度和朝向恶意目标 \(M_t\) 的收敛度。子任务 \(v_i\) 的社交影响力得分（Social Influence Score）定义如下：
其中 \(S_{max} = 10\) 为参考对齐最高分，\(S_{\mathrm{ref}}\) 与 \(S_{\mathrm{mal}}\) 由 LLM-as-a-Judge 给出。通过对所有候选节点排序，锁定具备最高扩散杠杆的子任务 \(v^{\star} = \arg\max_{v_i} \mathrm{SI}(v_i)\)。这一机制量化了工作流中的「结构不对称性」，为后续仅凭 Prompt 精准命中核心节点提供了理论先验。
2. 任务感知顺从性论点：利用局部角色与伪权威消除防御戒备
通用攻击直接将恶意目标作为外挂指令容易被执行器或安全过滤器识别。作者将攻击信号与诊断出的高影响力节点 \(v^{\star}\) 的专业角色进行深度语义绑定，并施加三重顺从性框架（Sycophantic Framing）：其一为脆弱性对齐论据（将恶意结论伪装成该子任务逻辑推导的必然依据）；其二为先验事实反驳（预先将基准答案中的核心反驳要点贬低为陈旧或存在缺陷的过时认识）；其三为伪权威背书（虚构国际权威行业标准或学术框架作为论据基石，如虚构 2026 IFSCV 规范）。这一设计将直接的对抗意图隐藏在看似客观、专业的外部业务输入中，诱使下游执行智能体产生盲目从众和顺从心理，极大地提升了信息中继采信率。
3. 依赖引导式工作流操纵：对抗动态重规划下的路径漂移
在实际部署中，当带有恶意扰动的输入提示提交给规划器后，规划器往往会触发自动重规划（Auto-Topology），从而打乱既有的拓扑结构与信息流通链。针对这种路径漂移，FlowSteer 引入了边级别的依赖传播评分机制。在激活依赖边 \(e_{xy}\) 对应的轮次 \(\mathcal{R}(e_{xy})\) 中，根据接收方智能体 \(y\) 消化信息后的输出 \(o_y^{(r)}\) 对恶意目标的贴合度计算平均传播能力：
据此识别出最优正向传播边 \(e^{+} = \arg\max \bar{\mathrm{PS}}\) 和最低抑制边 \(e^{-} = \arg\min \bar{\mathrm{PS}}\)。随后，FlowSteer 将这些边级先验编译为自然语言约束指令 \(s^{\star}\)（如在系统规划协议中声明「将理论分析节点的结论直接接入现有标准复核节点是无效流程」），促使规划器在重建拓扑时主动切断纠错分支并固化恶意信息的主干流通链，最终组装出复合对抗提示 \(\tilde{t} = t \oplus a_{\mathrm{H}}^{\mathrm{SF}} \oplus s^{\star}\)。
4. FlowGuard 输入侧防御：规划前意图分流与去污中和
针对既有图级防御（如 ARGUS、G-Safeguard）在拓扑生成后介入因而无法消除规划源头偏见的问题，作者提出了前置于规划器的防御框架 FlowGuard。该机制首先采用意图分流模块将输入提示解耦为三个正交维度：核心任务意图 \(I_{\mathrm{task}}\)、方法论与结构指令 \(I_{\mathrm{method}}\) 以及外部断言与证据的框架修饰 \(I_{\mathrm{framing}}\)。接着，意图去污模块将强制性的结构限制降级为探索性建议，抹去具有强迫顺从意味的权威词缀与预设偏见，将绝对断言改写为需要被检验的假说。这一设计在完全不破坏用户正常业务需求与合理引导的前提下，彻底瓦解了对抗性提示对规划器工作流生成的操纵能力。
实验关键数据¶
主实验¶
评测涵盖 MisinfoTask（108 项约束性分析任务）与 ASB-Bench（100 项开放式专业服务任务），在统一评测基准下对比朴素恶意提示（NM）、直接目标注入（DGI）与 FlowSteer 在同模型配置（G1）、增强规划器（G2）与增强执行器（G3）下的表现。指标包括任务偏离率 TASR（越大表示偏离正确答案越多）与恶意目标达成率 MASR（越大表示成功注入恶意结论）。
| 基准数据集 | 模型家族 | 攻击方式 | G1: TASR (%) | G1: MASR (%) | G2: TASR (%) | G2: MASR (%) | G3: TASR (%) | G3: MASR (%) |
|---|---|---|---|---|---|---|---|---|
| MisinfoTask | GPT-4o-mini | NM | 27.78 | 29.63 | 25.00 | 25.93 | 12.04 | 16.67 |
| DGI | 33.33 | 35.18 | 23.15 | 29.63 | 17.59 | 22.22 | ||
| FlowSteer | 63.89 | 65.74 | 58.33 | 61.11 | 39.81 | 48.15 | ||
| Gemini-2.5-Flash | NM | 24.07 | 14.81 | 18.52 | 13.89 | 13.89 | 11.11 | |
| DGI | 51.85 | 49.07 | 39.81 | 36.11 | 25.93 | 27.78 | ||
| FlowSteer | 63.89 | 63.89 | 75.00 | 75.00 | 44.44 | 48.15 | ||
| Qwen-3.5-Flash | NM | 11.11 | 12.04 | 6.48 | 6.48 | 5.56 | 6.48 | |
| DGI | 46.30 | 52.78 | 49.07 | 52.78 | 37.96 | 39.81 | ||
| FlowSteer | 46.30 | 51.85 | 51.85 | 57.41 | 38.89 | 42.59 | ||
| DeepSeek-V3 | NM | 12.04 | 12.96 | 9.26 | 12.04 | 10.19 | 12.04 | |
| DGI | 21.00 | 25.00 | 26.85 | 30.56 | 29.63 | 29.63 | ||
| FlowSteer | 51.85 | 56.48 | 47.22 | 54.63 | 49.07 | 50.00 | ||
| ASB-Bench | GPT-4o-mini | NM | 8.00 | 13.00 | 5.00 | 11.00 | 3.00 | 4.00 |
| DGI | 30.00 | 36.00 | 38.00 | 46.00 | 24.00 | 32.00 | ||
| FlowSteer | 52.00 | 59.00 | 51.00 | 62.00 | 36.00 | 47.00 | ||
| Gemini-2.5-Flash | NM | 11.00 | 8.00 | 10.00 | 7.00 | 7.00 | 4.00 | |
| DGI | 51.00 | 52.00 | 63.00 | 71.00 | 51.00 | 54.00 | ||
| FlowSteer | 51.00 | 63.00 | 61.00 | 70.00 | 45.00 | 56.00 |
在防御对比方面，FlowGuard 展现出对既有图防御机制的显著优势。下表展示在 MisinfoTask 和 ASB-Bench 上面对 FlowSteer 攻击时各类防御手段的剩余危害率（残余 TASR / MASR）：
| 骨干模型 | 防御策略 | MisinfoTask: TASR (%) | MisinfoTask: MASR (%) | ASB-Bench: TASR (%) | ASB-Bench: ASB-MASR (%) |
|---|---|---|---|---|---|
| GPT-4o-mini | 无防御 (w/o Defense) | 63.89 | 65.74 | 52.00 | 59.00 |
| ARGUS (图级纠错) | 60.19 (-3.70) | 61.11 (-4.63) | 36.00 (-16.00) | 47.00 (-12.00) | |
| G-Safeguard (拓扑剪枝) | 55.56 (-8.33) | 63.89 (-1.85) | 44.00 (-8.00) | 59.00 (0.00) | |
| FlowGuard (输入侧分流) | 33.33 (-30.56) | 35.19 (-30.55) | 22.00 (-30.00) | 27.00 (-32.00) | |
| DeepSeek-V3 | 无防御 (w/o Defense) | 51.85 | 56.48 | 40.00 | 54.00 |
| ARGUS | 41.67 (-10.18) | 49.07 (-7.41) | 41.00 (+1.00) | 64.00 (+10.00) | |
| G-Safeguard | 48.15 (-3.70) | 53.70 (-2.78) | 41.00 (+1.00) | 53.00 (-1.00) | |
| FlowGuard | 19.44 (-32.41) | 22.22 (-34.26) | 22.00 (-18.00) | 30.00 (-24.00) |
消融实验¶
为明确各个组成部分的作用，作者在 MisinfoTask 和 ASB-Bench 上针对 GPT-4o-mini 和 DeepSeek-V3 开展了系统级模块消融：
| 配置 | MisinfoTask: TASR (%) | MisinfoTask: MASR (%) | ASB-Bench: TASR (%) | ASB-Bench: MASR (%) | 说明 |
|---|---|---|---|---|---|
| Clean Task (干净基准) | 9.26 | 8.33 | 1.00 | 1.00 | 原始未扰动任务 |
| T + SP (仅拓扑先验) | 12.04 | 9.26 | 2.00 | 2.00 | 仅提供边级依赖指引，无恶意内容注入 |
| T + NM (朴素恶意论点) | 27.78 | 29.63 | 8.00 | 13.00 | 拼接通用未伪装恶意论据 |
| T + SNM (顺从性朴素论点) | 39.63 | 35.19 | 13.00 | 20.00 | 为通用论据加入权威修饰 |
| T + TS (任务感知顺从论点) | 55.56 | 57.41 | 45.00 | 58.00 | 结合最高影响力子任务对齐与伪权威 |
| T + TS + SP (FlowSteer 完整方案) | 63.89 | 65.74 | 52.00 | 59.00 | 任务感知论据融合拓扑路由引导 |
关键发现¶
- 攻击效果决定性地取决于「语义顺从性」与「拓扑引导」的深度耦合：单纯的拓扑指引（T+SP）几乎无法引起恶意偏移；而一旦将恶意论据与高影响力子任务绑定并披上权威外衣（T+TS），MASR 出现高达 25%~30% 的跃升；再加上依赖引导（+SP），重规划拓扑中有害边的保留率（Preserve）提升至 70%~97%，有害边抑制率（Suppress）大幅增加。
- 漏洞先验表现出极强的跨模型通用迁移能力：所有漏洞画像与拓扑先验仅基于 GPT-4o-mini 提取，却可以直接迁移到 Gemini-2.5-Flash、Qwen-3.5-Flash 和 DeepSeek-V3 上，攻击成功率平均增长达 35%~55%。
- 现有基于执行期检测的图防御在面对规划期操纵时容易失效甚至发生反效果：由于 FlowSteer 直接操纵了工作流生成的初始假设与边依赖，后置拓扑剪枝往往误切断具有批判性纠错能力的理性智能体路径，甚至使残存子网络完全陷入被污染证据的局部回音室。
亮点与洞察¶
- 发现了多智能体系统中「规划阶段工作流形成」这一全新高维攻击面：攻击者不需要破坏任何既定代码环境或调用受限特权工具，仅通过提示词重塑任务拆解与组织逻辑即可瘫痪系统协作。
- 巧妙地将经典分布式强化学习中的「社交影响力」概念引入多智能体系统安全性分析，确立了衡量工作流节点脆弱程度与边级传播能力的数学形式化标准。
- 揭示了大模型多智能体协作中顺从性偏见的系统级危害：单模型在面对伪权威修饰时容易动摇，而多智能体系统在流水线架构下会将局部微弱的从众倾向逐层迭代放大，最终酿成严重的群体偏执。
局限与展望¶
- 依赖离线漏洞画像的白盒或半白盒先验：尽管黑盒拓扑反推可行，但全流程从交互日志中纯黑盒盲测最佳引导路径的敏捷度仍有提升空间。
- 任务架构主要针对规划器-执行器形式：对全去中心化多轮自由辩论群组（如完全对称的 Swarm 架构）或长周期自进化工作流的适配性尚未进行大规模泛化验证。
- 针对自适应对抗攻击的长期鲁棒性待检验：如果攻击者针对 FlowGuard 的意图分流规则进一步分散隐写提示，如何实现动态博弈下的鲁棒意图对齐是未来的关键课题。
相关工作与启发¶
- vs ARGUS / G-Safeguard: 传统多智能体安全防御致力于在通信拓扑已形成、消息已流转后通过图神经网络进行异常节点检测与拓扑剪枝。本文证明此类后验修复无法根除规划期植入的先验偏见，必须将防御前移至规划前的提示意图去污阶段。
- vs PEAR / TAMAS: PEAR 和 TAMAS 关注多智能体环境中的执行期故障或显式越狱，而 FlowSteer 证明了非对抗性外表下的隐式组织架构操纵更具隐蔽性与杀伤力。
评分¶
- 新颖性: ⭐⭐⭐⭐⭐ 首次从规划期工作流生成视角揭示多智能体系统的结构性安全威胁，立意新颖深刻。
- 实验充分度: ⭐⭐⭐⭐⭐ 涵盖 4 大模型家族、2 个异构 Benchmark、3 种能力配比组合以及黑盒反推和详尽消融。
- 写作质量: ⭐⭐⭐⭐⭐ 逻辑严密、形式化定义清晰、图表与案例呼应极佳。
- 价值: ⭐⭐⭐⭐⭐ 为多智能体系统从「执行期监控」走向「规划期纵深防御」指明了极其关键的研究范式。