SafeFlow：用语义信息流控制拦截多智能体系统的恶意传播

把一个恶意目标拆分成几个看起来人畜无害的子任务，分别交给不同的 Agent 执行，最后在执行端拼凑成一个破坏性结果——这就是目前多智能体系统（MAS）最阴险的漏洞。单看每个 Agent 的输入，可能都通过了安全审核，但整个工作流串起来之后，就成了一个完美的“越狱”路径。

这种现象其实就是典型的语义信息流失。很多现有的防御方案还在死磕单次 Prompt 的分类，试图判断这句话是不是攻击，但在复杂的协作图里，风险语义在 Agent 之间传递时会被“稀释”或“掩盖”。

SafeFlow 提出的思路很有意思，它不再把安全检查当作一个简单的开关，而是把它变成了一种“染色”机制。简单来说，就是给根请求打上结构化的语义标签（Semantic Taints），当任务在不同 Agent 之间传递时，这些标签会跟着走。

它的核心逻辑大致分为这几步：

一、语义标记
在请求进入系统之初，SafeFlow 会分析其潜在风险并附加特定的语义标记，而不是简单地判定为“安全”或“不安全”。

二、动态传播
在多 Agent 的协作图（Collaboration Graph）中，这些标记会随着任务分解和委派同步传递。这意味着即便子任务 A 看起来很正常，但它携带的“风险染色”会让后续的 Agent 意识到这个任务的来源背景。

三、全局验证
在执行任何不可逆的操作（比如删除数据库、发送敏感邮件）之前，系统会回溯整个工作流，重建全局风险上下文，检查当前的动作是否触发了初始的恶意意图。

这种做法比传统的外部防火墙强在它能维持“风险记忆”。在实操测试中，无论是 Prompt 注入还是通过 Jailbreak 诱导 Agent 调用危险工具，SafeFlow 都能在不影响正常任务完成率的前提下，显著降低攻击成功率。

说白了，多智能体系统现在的短板就在于缺乏一种跨边界的风险传递机制。如果每个 Agent 都是一个信息孤岛，那么攻击者只需要在碎片化任务中隐藏意图就能轻松破防。SafeFlow 这种把安全检查从“单点快照”升级为“全链路追踪”的思路，应该是未来 AI Agent 工作流部署的一个重要方向。