MAS-Guard: Unified Guardrails from Individual Agents to Multi-Agent LLM Systems

📄 arXiv: 2610.28397v1 📥 PDF

作者: Mohammad Kachuee, Phu Mon Htut, Sheng Li, Nikolaos Pappas, Miguel Ballesteros Martinez, Yassine Benajiba, Sujith Ravi, Dan Roth

分类: cs.CR, cs.AI, cs.CL

发布日期: 2026-10-20

💡 一句话要点

提出MAS-Guard以解决多代理LLM系统的安全问题

🎯 匹配领域: 支柱一：机器人控制 (Robot Control) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 多代理系统 安全防护 大型语言模型 Agentic AI 任务特定专家 结构性检查 语义评估 控制平面

📋 核心要点

  1. 现有的安全防护措施在多代理系统中面临分布式权限和异构角色带来的复杂挑战，难以提供全面的保护。
  2. MAS-Guard框架通过引入本地代理护栏和系统级代理章程，提供了多层次的安全保障，确保代理行为的安全性。
  3. 在六个基准测试中，MAS-Guard相较于未保护的代理，攻击成功率降低了71.5%至86.3%，同时在良性任务中保持了实用性。

📝 摘要（中文）

Agentic AI将大型语言模型（LLMs）从生成响应扩展到规划和执行复杂工作流，显著提高了其实用性，但也暴露了不安全行为、信息泄露和对抗性操控的风险。多代理系统通过专业化和协作进一步扩展了这些能力，但分布式权限、异构角色和不透明或可能被攻陷的参与者使得安全保障更加复杂。现有防御措施虽然解决了个别威胁，但在本地执行、系统级交互和执行机制上提供了碎片化的覆盖。我们提出了MAS-Guard，一个统一框架，旨在保护包含可操作和不透明代理的单代理和多代理AI应用。MAS-Guard通过任务特定专家评估代理事件，结合结构性检查和语义评估，显著降低了攻击成功率。

🔬 方法详解

问题定义：本论文旨在解决多代理LLM系统中的安全问题，现有方法在面对分布式权限和异构角色时，难以提供全面的防护，导致安全漏洞和攻击风险增加。

核心思路：MAS-Guard通过引入本地代理护栏（A-Guard）和系统级代理章程，结合结构性检查和语义评估，形成了一个多层次的安全防护框架，以确保代理行为的安全性和有效性。

技术框架：MAS-Guard的整体架构包括本地代理护栏层、开发者拥有的代理章程和控制平面。A-Guard层负责评估代理事件，代理章程和控制平面则进行结构性和语义检查。

关键创新：MAS-Guard的主要创新在于其统一的多层次防护机制，能够同时处理可操作和不透明代理的安全问题，这与现有方法的碎片化防护形成鲜明对比。

关键设计：在设计中，MAS-Guard采用了任务特定的专家评估机制，结合了确定性的结构检查和语义内容评估，确保了对代理行为的全面监控和干预。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

在六个基准测试中，MAS-Guard显著降低了攻击成功率71.5%至86.3%，相较于未保护的代理，展示了其在安全防护方面的强大能力，同时在良性任务中保持了实用性。

🎯 应用场景

MAS-Guard的研究成果在多个领域具有潜在应用价值，包括金融服务、医疗健康和自动化系统等，能够有效提升多代理系统的安全性和可靠性。随着Agentic AI的广泛应用，MAS-Guard将为保障用户数据安全和系统稳定性提供重要支持。

📄 摘要（原文）

Agentic AI extends large language models (LLMs) from generating responses to planning and executing complex workflows, substantially expanding their utility while exposing applications to unsafe actions, information leakage, and adversarial manipulation. Multi-agent systems further expand these capabilities through specialization and collaboration, but distributed authority, heterogeneous roles, and opaque or potentially compromised participants make safeguarding even more challenging. Existing defenses address important individual threats but provide fragmented coverage across local execution, system-level interactions, and enforcement mechanisms. We introduce MAS-Guard, a unified framework that closes this gap for safeguarding single- and multi-agent AI applications containing both instrumentable and opaque agents. Within instrumentable agents, the proposed local Agent Guardrail (A-Guard) layer applies task-specific experts to assess agentic events. At the system level, developer-owned Agent Charters and a Control Plane combine deterministic structural checks of routes, agent capabilities, and message formats with semantic assessments of roles and message content. These complementary layers enable enforcement through a shared set of interventions: allow, reflection, confirmation, and block. Evaluated across six benchmarks covering diverse single- and multi-agent scenarios with three agent LLMs from different providers, MAS-Guard reduces the overall attack success rate by 71.5-86.3% relative to unguarded agents, while meeting the utility reference criterion on benign tasks.