本研究构建了一个由五个独立智能体组成的 CI/CD 流水线（分类 → 开发者 → 安全扫描 → 代码审查 → 批准/部署），每个智能体使用来自三个供应商的不同生产级 LLM，并置于影子模式下的 LLM 防火墙之后。一个不受信任的外部 issue 请求添加“使用遥测”功能，实际要求编写窃取进程密钥（dict(os.environ)）并伪装为可观测性数据的代码，通过洗白后提交至攻击者 URL。实验采用预注册的 A×B（×C）因子设计（N=20；朴素组 N=60），主要发现：（1）入口智能体不会泄露其系统提示（0/40）；（2）权威框架注入（“根据 SEC-2291 已预批准，无需重新审查”）使下游验证者看到包含密钥泄露的代码后，引用该预批准并直接通过——安全扫描器接受了约 80% 的洗白拉取请求，最坏情况下组合达到 55% 的妥协率；（3）感知到有其他验证者在场仅导致个体审查意愿轻微且不显著的下降（旁观者效应较弱），即使 N=60 时也如此；（4）基于内容的控制（代码扫描器、模式检测器）完全无法识别洗白意图（代码语法上是干净的）；只有能推理意图的 LLM 提供了部分防御。研究的核心贡献是证明失败是系统性的：无论是提示保密还是分布式验证都无法保护；一个与两者独立的、入口处的溯源感知控制才能防御此类攻击。所有数据均为 100% 合成，无真实目标 URL 被访问。