多 Agent 系统：输出看着干净，但 41.7% 的隐私泄露藏在你看不见的暗通道里

关联论文：2602.11510 · AgentLeak: A Benchmark for Internal-Channel Privacy Leakage in Multi-Agent LLM Systems

为什么这件事重要

企业里越来越多 AI 任务被拆成"协调者 + 几个 worker"的多 Agent 架构：财务分析、合规比对、风险摘要各自跑一个 Agent，最后汇总给用户。这种结构最大的"卖点"就是合规——它看上去能避免在最终回答里直接暴露敏感字段。

但 2602.11510 这篇工作（AgentLeak）泼了一盆冷水：多 Agent 架构在把最终输出泄露率从 43.2% 降到 27.2% 的同时，把系统的总泄露率推到了 68.9%。输出更干净了，但内部更脏了——只是脏在用户看不见的地方。这意味着任何"我们审计了 LLM 输出"的合规承诺，在多 Agent 场景里都漏掉了接近一半的真实违规。

核心机制：七条通信通道

AgentLeak 把多 Agent 系统内部所有可能携带敏感数据的横向流动拆成 7 条通道：最终输出（C1）、Agent 间消息（C2）、共享记忆、工具调用参数、检索召回、日志、外部 RAG 片段。前两者最关键：单 Agent 模式下 C1 泄露率 43.2%，多 Agent 模式下 C1 降到 27.2%，但 C2（Agent 间消息）飙到 68.8%——这就是那条"暗漏"。

论文在 1,000 个跨医疗/金融/法律/企业的隐私敏感场景上，跑了 5 个生产级模型（GPT-4o、Claude 3.5 Sonnet、Mistral Large、Llama 3.3 70B 等），采集了 4,979 条执行轨迹。结果在 5 模型 × 4 领域 = 20 个组合里全部呈现 C2 ≥ C1——这不是某个模型的怪癖，是稳健规律。

判定机制上，每条通道的内容都用规则化 + LLM 辅助判定是否包含"禁止泄露字段"。判定器是 LLM，但验证对象是结构化字段，这是合理的边界。

证据边界

架构覆盖有限：只评测了 coordinator-worker 这一种编排，对图状、层次化 Supervisor、自演化多 Agent 体系未覆盖。
模型代际偏旧：评测时点对应当前主力模型，未覆盖更新的 Claude 3.7、GPT-4.5、o3 等；新模型对系统提示的遵循度可能改变结论。
GitHub README 与正文数字存在差异：README 显示 5 模型平均 C1=28.2%、漏报率 H1=45.9%；正文给出的是特定子集平均（27.2% / 41.7%）。以持续更新的 README 为准。
缺攻击视角：测量的是"无意泄露"，未评估恶意 worker 主动泄露的对抗场景。
未深入工具调用参数：C3/C4 等通道披露相对简略。

工程局限

要把 AgentLeak 落到自家系统，先解决三件事：① 你的 LangChain/AutoGen/LangGraph 默认不记录 Agent 间消息，必须先建拦截层；② 脱敏要在数据进入 Agent 集群之前完成（入口做 PII Token 化），不能在 7 条通道里分散打补丁；③ 共享记忆要按敏感级别分区，最敏感字段不进共享层。可观测性平台必须把 C2/C3 纳入监控与告警——传统 APM 看不到这一层。

标题变体

《多 Agent 系统：输出干净了，41.7% 的隐私泄露藏进暗通道》
《协调者–worker 架构：为什么审计最终输出会漏掉一半违规》
《AgentLeak 基准：C2 ≥ C1 是 5 模型 × 4 领域一致的稳健规律》

小红书卡片

🤖 多 Agent 不是更安全，是更"隐蔽地不安全"。

AgentLeak 这篇基准告诉我一个反直觉的数字：把任务拆给协调者 + 几个 worker，最终输出泄露率确实从 43.2% 降到了 27.2%，但系统总泄露率反而飙到 68.9%。原因？敏感数据全跑进了 Agent 间消息、共享记忆、工具调用参数这些"用户看不见的暗通道"。

最扎心的数字：41.7%——意思是只看最终输出的合规审计，会漏掉接近一半的真实违规。论文在 1,000 个跨医疗/金融/法律/企业的场景、5 个生产模型、4,979 条轨迹上验证了这个规律，而且 5 模型 × 4 领域全都成立。

工程落地第一步不是加防御，是先建可见性：拦截 Agent 间消息、快照共享记忆、记录工具调用参数。然后在数据进入 Agent 集群之前做 PII Token 化，worker 只拿 {patient_id} 不拿全名。

如果你在做多 Agent 系统或 AgentOps 平台，这篇是今年必读的安全基准。