该论文聚焦大型语言模型多智能体系统（LLM-MAS）中一个被忽视的攻击面：智能体之间的通信链路。作者提出「中间智能体攻击」（Agent-in-the-Middle, AiTM）——攻击者并不攻陷任何智能体本身，而是在消息传输过程中篡改内容，此前的公开工作报告在结构化任务上这类攻击的成功率（ASR）接近 100%。现有防御主要有两条路线：一是语义校验（例如用 LLM-as-a-Judge 判断消息是否合理），二是传输层加密。作者指出这两条路线各有硬伤：语义校验需要额外推理开销，并且会误伤良性输出；而传输层加密在中间节点合法终止 TLS（例如企业代理、网关、可观测性中间件等）的场景下形同虚设，因为中间人本身就持有明文。 针对这一缺口，论文提出 MIRROR——一种通信层的完整性原语。其核心机制是：将同一份规范化（canonicalized）后的载荷沿 k 条逻辑路由复制分发，只有当严格多数（strict majority）的路由回报相同的摘要（digest）时，接收方才接受该消息。作者特别强调该方案的安全边界：MIRROR 使用无密钥哈希，因此本身并不「认证」任何东西——具备主动能力的在途攻击者完全可以对篡改后的载荷重新计算摘要。全部完整性保证都建立在「诚实路由构成多数」这一假设之上。摘要的唯一作用是让见证路由保持常量级开销，并在第二原像抗性（second-preimage resistance）下把恢复出的载荷绑定到仲裁共识值上。 论文给出了在路由被攻陷比例 alpha < 0.5 条件下的形式化保证，并进一步推广到「相关路由」情形：此时起决定作用的量不是路由总数，而是最大共享失效组（shared-failure group）的规模。作者还证明可用性与完整性在同一阈值处退化：当 alpha < 0.5 时，制造仲裁拒绝（quorum-denial）或丢包的消息对手无法阻断诚实流量。实验方面，论文在 MMLU、HumanEval、MBPP 三个基准上，覆盖两个框架、四种通信拓扑进行评估，并在 MetaGPT 部署中针对生产 API 做验证：在阈值以下 MIRROR 将 ASR 降至 0%，而 LLM token 开销仅为 1x；同样部署下 LLM-as-a-Judge 的开销高达 35x，并且在拓扑扫描中最多阻断 44.2% 的良性输出。总体而言，该工作把智能体通信完整性从「语义层」下沉到「通信层 + 仲裁共识」，以极低推理成本换取可证明的完整性边界，适合做多智能体系统安全架构、Agent 通信协议与 LLM 编排平台防护的研究者与工程师阅读。

论文关注的是「粘性策略（sticky policy）」这一长期存在的访问控制范式：策略始终附着在被保护的数据上，使得访问限制能够在不同系统之间持久生效，即使数据被复制或流转后仍然有效。但作者指出一个关键缺口——在请求时刻（request-time）的授权判定，通常仍然依赖集中式的可信权威（Trusted Authority, TA）或策略决策点（PDP），这既形成单点信任与单点故障，也成为规模化场景下的可用性瓶颈。为此，论文提出 SPEAR-Q：一个去中心化的粘性策略授权框架。其核心设计是引入相互独立的策略权威节点（Policy Authority Node, PAN），每个 PAN 基于本地上下文、同意（consent）信息与风险信息，对当前处于活跃状态的粘性策略进行独立评估，并生成经过签名的授权证据；随后由一个「严格多数证据仲裁」（strict-majority Evidence quorum）机制汇总这些证据，得出全局的 Permit 或 Deny 决定。策略的激活同样受多数约束——只有当达到所需的 PAN 多数应用该策略后，某个已提交的策略才真正进入活跃状态，从而防止少数节点单方面改变策略状态。作者将该框架部署在 Airbus 网络安全仿真平台中物理隔离的多台主机上，并使用派生自 MIMIC-IV 的医疗健康工作负载进行评估。在 9,000 次性能请求中，全部请求均完成，未出现执行失败或超时。实验显示：随着集群规模与并发度增长，延迟上升、吞吐趋于饱和；在高负载下，PAN 证据等待与 PAN 本地处理构成主要耗时来源，而凭证验证是 PAN 侧的主要计算开销。策略激活实验验证了基于多数的激活语义；仲裁实验则表明，即使攻击者控制了少于所需仲裁数量的 PAN，并生成签名正确的「假 Permit」证据，也无法产生全局 Permit 或触发资源释放；当可达 PAN 数量低于所需仲裁阈值时，授权行为保持 fail-closed（失败关闭）。论文最后强调，与先前分别对策略管理、凭证权威或阈值释放进行去中心化的方案不同，SPEAR-Q 把持久粘性策略执行、独立的请求时证据、多数制策略激活以及显式受仲裁约束的授权统一整合在同一个去中心化框架内。在受测条件下，SPEAR-Q 能够在不依赖集中式决策权威的前提下完成去中心化的粘性策略授权。