本文研究了基于大语言模型（LLM）的网页智能体从单智能体系统（SAS）向多智能体系统（MAS）演进过程中攻击面的演化。多智能体系统通过将复杂任务分解给多个专用子智能体来提升性能，但这种角色分解引入了单智能体系统中不存在的新型结构攻击面。作者提出了一个针对基于网页的 MAS 的攻击向量分类法，并构建了测试平台 WebMASLab，以在完全外部、仅针对网页的敌手模型下分析智能体安全性。为隔离架构影响，作者保持用户任务、工具面和浏览器底层固定，比较单智能体与多智能体配置。研究评估了三种对抗场景，在基线、提示加固和启用推理三种条件下进行，提出了一种新的 MAS 特有的“电话环路攻击”（Telephone Loop Attack），该攻击利用跨智能体委派形成循环任务。该攻击对单智能体系统无效，但能在四个前沿模型中的三个（Claude Sonnet 4.5、GPT-5.2、GPT-5.4）上以平均 80% 的成功率（基线）突破多智能体系统；只有第四个模型 Claude Sonnet 4.6 以 92% 的检测率抵抗了该攻击。其余模型在基线时检测率为 0%，其中有一个模型在提示加固后检测率仅达 33%。实验还表明，显而易见的防御方法无法通用：提示加固将一个模型的攻击成功率从 100% 降至 8%，但对其他模型仅带来有限降低。研究结果表明，从单智能体到多智能体网页系统的转变改变了安全格局，角色专业化不仅带来性能优化，还引入了需要进一步研究和防御的新型架构风险。

大型语言模型驱动的Web代理（Web Agent）正越来越多地被部署在真实环境中，它们需要处理不可信的网页内容并执行具有直接后果的操作，因此容易受到提示注入攻击——看似良性的内容中嵌入对抗性指令以操纵代理行为。现有的安全基准采用“攻击中心”视角，仅关注注入的技术可行性，而忽略了危害在不同利益相关者之间的不对称分布。实际上，同一次攻击可能对用户、卖家、平台等不同实体产生截然不同的后果，且同一攻击模式对不同目标的有效性也可能显著不同。为捕捉这些特性，本文提出**SBC**（Stakeholder-Centric Benchmark），一个以利益相关者为中心的基准，系统性地对真实Web代理系统中的危害进行分类和归因。SBC区分受影响的实体（如用户、卖家、平台），将攻击分解为具体目标（如信息窃取、任务劫持、信誉损害等），并采用互补的结果级和过程级度量进行评估。实验结果显示，当前的主流代理无法可靠地抵御任何单一攻击目标，且失败模式呈现多样化的定性差异：包括“隐蔽寄生”（攻击成功但不干扰用户委托任务）、“错位干扰”（任务被中断但攻击未成功）和“复合失败”（对抗目标与任务完整性同时被违反）。这些模式在传统评估中被完全忽略。本文的工作强调了在真实部署中采用利益相关者感知评估的必要性，为LLM基代理的安全性研究提供了新的视角和工具。该基准已开源（https://github.com/StakeBench/SBC）。