随着 ACP、A2A 等 Agent 交互协议的普及，基于大模型的智能体正从单体工具调用走向多智能体协作，由此引入了新的安全威胁：在 A2A 场景下，来自远端 peer 的任务会被本地 Agent 默认视为合法请求，这为间接提示注入提供了天然通道。现有 Agent 安全评估大多只依赖单一指标——攻击成功率（ASR），它无法区分攻击失败的真实原因：究竟是大模型识别出了恶意内容而拒绝，还是 Agent 层机制把执行拦截了下来。两类失败的防御含义完全不同，却在高 ASR 数值下被混为一谈。 针对这一问题，作者提出攻击原理 A2A-TIBA，将间接提示注入与绕过规避结合，通过植入、命令、外带等阶段诱导目标 Agent 部署一个可回调的交互程序，随后攻击者得以绕开 Agent 直接下发指令。为更细粒度地评估防御，作者设计了红队测试台方法 GDA Measurement，特点包括：通过 LLM 网关做原始上下文捕获、双份数据留存、以及基于 Agent 的自主评判。基于该方法，论文把攻击结局划分为 Class A/B/C/D 四类，并将 ASR 拆解为语义拒绝率、语义突破率、拦截率与穿透率四个可分别观测的指标。 实验揭示了一个新的防御维度——信封层（envelope layer），即恶意内容进入 Agent 的通道本身。据此作者提出 ELA-ITL 三层同构攻防模型：防御侧分为信封封装、LLM 识别、Agent 拦截；攻击侧对应植入通道、提示优化、执行机制，两侧结构同构，便于对照分析。作者在 15 种 Agent 前端 × LLM 后端的组合上开展测试，并构建了 1000 条样本的数据集，验证了 A2A-TIBA 的攻击有效性、GDA Measurement 的评估有效性，同时确认在 A2A、工具、记忆等信封通道上附加恶意提示标签，可以显著提升 LLM 对恶意内容的识别率。 该工作适合多智能体平台架构师、Agent 安全评测团队与红队阅读，其核心价值在于把“攻击是否成功”这一粗粒度问题，转化为可定位到具体防御层的分层度量方法。

该论文针对 Agent2Agent(A2A) 多智能体运行时证据的取证难题提出 A2A-ForensicTrace 框架。背景是:安全相关的 A2A 执行往往跨越组织边界,参与的系统分属不同主体,调查人员事后难以对所有参与节点进行实时访问,取证只能依赖被保存下来的记录,而这些记录之间是否一致、是否被篡改,缺乏可验证的手段。核心方法是一条离线验证层:先将运行时观测转换为带类型的记录(typed records),再据此推导出与协议语义相关的关系(例如调用与响应、委派与结果之间的关联),然后把记录与关系统一提交到一棵以事件追踪根(incident-trace root)为锚的哈希结构中;同时使用 Ed25519 签名的收据(receipt)把该根以及采集摘要(capture digest)绑定到具体的事件上下文,从而形成防篡改、可离线核验的证据链。评估方面,作者通过官方 A2A SDK 执行了 240 次运行,动作由大语言模型(LLM)选择,其中 120 次为条件运行、120 次为匹配对照组;结果显示全部条件运行都返回了预期的有界发现(bounded findings),对照组没有任何一次产生误报指示,所有根与收据均通过验证。性能上,完整离线验证器在场景轨迹中的内存内延迟中位数为 1.61 ms;在另一组规模扩展实验中,提交叶子节点达到 1,000 时延迟为 30.85 ms。作者指出后续工作将扩展对 A2A 生命周期各阶段的覆盖。整体来看,这是一项面向多智能体互操作场景的取证与完整性验证工程研究,重点在离线可验证性与低误报,而非攻击面挖掘。

该论文关注跨组织 Agent-to-Agent（A2A）工作流中的证据可验证性问题。随着大语言模型智能体通过 A2A 协议交换任务、消息与制品，仅验证单条消息有效并不能证明最终工作流结论背后存在完整、有序且与案例一致的证据路径。为此，作者提出 A2A-CaseVerify：一种确定性的离线验证器，将保留的 A2A 运行时对象、业务事件以及带类型的支撑边映射为有向的案例证据图。系统会对 A2A 信封、事件投影和支撑边进行承诺，并将事件叶子与边叶子组合为确定性的案例 Merkle 根。只有当保护性检查与特定 profile 的重建检查均通过时，验证器才返回 SUPPORTED 且状态为 OK。实验方面，作者评估了一个规范化的、受支持的医疗健康 profile 证据包，以及 13 个受控变异；同时单独测试了由官方 Python A2A SDK 生成的有效证据包。结果显示，规范证据包与 SDK 生成的证据包均被接受，而 13 个变异全部被拒绝，且每个返回的原因码集合均包含其针对性的诊断码。该工作为 A2A 互操作性补充了离线、案例级的证据支撑验证能力，适合关注智能体安全、跨组织审计与合规、A2A 协议实现及事件取证的安全工程师阅读。

该论文研究多智能体系统中的“Agent 名称碰撞”问题。在多智能体主机中，远程 Agent Card 会被转换为本地 agent、工具、工作流目标或 broker 路由。A2A 协议将卡片中的 name 定义为人类可读元数据，而不是稳定身份，并且没有规定名称冲突时的语义。当主机仍把远程名称当作本地路由标识符时，安全失败便会出现。作者追踪了从注册到分发的完整流程，并在七个固定开源修订版上进行了隔离回归测试。结果发现，六个客户端式集成会为一个发往受信任对等方名称的请求选择攻击者控制的客户端或回环端点；第七个 brokered 实现将两个对等方折叠到同一条由名称派生的路由上，队列和访问控制状态决定结果是拦截还是拒绝。共同结果是“错误对等方分发”，而不是普遍权限继承。合成凭据和工具测试表明，在测试的客户端绑定中没有 A 特定凭据转移，也没有 A 所属工具的直接转移。broker 路径会转发调用者配置对象；委托身份或令牌只有在存在且 B 能消费该路由时才会到达 B。另外两条路径暴露的是模型介导的后续决策，而非直接执行权限。论文指出，必要的安全条件需要协议、实现和部署各自承担不同责任：主机应按源绑定的稳定身份路由，保持名称为展示性元数据，并拒绝模糊别名。证据确立的是一类反复出现的实现漏洞，而不是通用 A2A 协议漏洞或脆弱部署数量。

该研究针对一个实际安全评估盲区: 当同一个智能体(Agent)同时使用 MCP 工具调用和 A2A 委托时，单独对每一层评估的安全性可能无法描述组合行为。作者构建了一个受控测试床: 一个真实模型主机通过本地 MCP 访问工具，再经本地 A2A 将消息传递给另一个代理，形成有序事件轨迹，并使用确定性规则进行精确计分，而不是依赖 LLM 裁判。实验采用冻结的三臂设计，包含 10 个记录场景，每个场景分别施加 "CONFIDENTIAL" 标头、无标头和 "PUBLIC - OK TO SHARE" 标头，但六个实质性记录字段的值在三种条件下字节完全相同。配置为 4 个模型 × 3 个条件 × 4 次重复，共 480 次试验。结果显示: 带 CONFIDENTIAL 标头与无标头之间的外发差异没有明确结论，且在所有模型中均接近下限；而增加 PUBLIC - OK TO SHARE 标头相对无标头会带来更高的逐字字段外发频率，但模型依赖性很大——Claude Sonnet 5 上效果强且一致（公开发送相对无标头的平均增加 0.800，所有 10 个场景均如此），GPT-5.6 的某一档中等但受到下限限制，另一档中位数增量为 0，还有一档完全没有效果。作者强调这是单一配置下的相关性而非因果关系。研究已公开代码、字节级轨迹和分析流水线，便于复现。对安全从业者的启发是: 在多协定的智能体链路中，简单的标签条件可能改变数据外发行为，不能依赖标签本身作为数据防泄漏控制，需要跨组件监督出站内容的逐字泄露。