From Monoliths to Swarms: phân vai sinh attack surface mới — Telephone Loop vô hiệu với một agent, dính ba model frontier

Yashaswi Malla, Sandra Siby · 2 tác giả · New York University Abu Dhabi · 2026 · arXiv:2608.00202

Chia vai cho agent thì nhanh hơn — hay là mình vừa mở ra một kiểu tấn công mới?

Mở

Các web agent đang chuyển từ một agent làm hết sang một đội phân vai, và lý do luôn là hiệu năng: chia việc cho từng người chuyên thì task khó biến thành task vừa. Paper này nhắc một cái giá hiếm người đo được: chính việc phân vai tạo ra những cấu trúc tấn công mà một agent đơn lẻ không có, và phần mở rộng đó từ trước tới nay vẫn được mô tả chung chung thay vì phân loại hẳn hoi. Người đang dựng đội agent cần biết thứ mình vừa mở ra có hình thù gì, và rốt cuộc nó vô hại với ai.

Paper này làm gì

Tác giả đề xuất một taxonomy phân loại vectơ tấn công đặc thù cho web-based MAS, tính cả lỗ hổng do chính sự xuất hiện của nhiều agent mà ra. Để cô lập hiệu ứng kiến trúc, họ dựng test-bed WebMASLab phân tích bảo mật web agent trước đối thủ hoàn toàn bên ngoài, chỉ qua web; user task, tool surface và browser substrate giữ cố định để so sánh trực tiếp giữa một agent và nhiều agent. Thí nghiệm gồm ba kịch bản thù địch dưới ba điều kiện (baseline, tăng cường prompt và bật suy luận), trong đó có một tấn công mới chỉ dành cho MAS: Telephone Loop.

Phát hiện chính

Phân vai sinh ra attack surface mới — Role decomposition mang lại hiệu năng, nhưng mở ra cấu trúc tấn công không tồn tại ở thiết lập một agent, và chính phần mở rộng đó vẫn chưa được mô tả đủ để phòng.

such role decomposition introduces new structural attack surfaces that are absent in SAS

Telephone Loop biến ủy quyền thành vòng lặp — Tấn công khai thác chính cơ chế ủy quyền giữa các agent để tạo vòng task lặp vô tận, một thứ chỉ phát sinh khi có đủ chỗ để việc bị chuyển qua lại giữa các bên.

a novel MAS-specific Telephone Loop attack that exploits cross-agent delegation to create cyclical task loops

Một agent thì vô hại, nhiều agent thì dính ở ba model trong bốn — Ở baseline, tấn công trung bình 80% trên ba model frontier được thử; riêng Claude Sonnet 4.6 cưỡng lại được với tỷ lệ phát hiện 92%, ba model còn lại 0%, và một model lên 33% khi tăng cường prompt. Ngay cả phòng thủ obvious cũng không generalize: prompt-hardening kéo tỷ lệ thành công của một model từ 100% xuống 8% trong khi chỉ giảm nhẹ ở các model kia.

The attack is inert against SAS but compromises MAS when powered by three of the four frontier models evaluated

Caveat

Tác giả nêu phạm vi của test-bed: đối thủ trong thí nghiệm là một tác nhân hoàn toàn bên ngoài, giao tiếp chỉ qua web. Nghĩa là những gì WebMASLab đo được nằm trong đúng mô hình mối đe dọa đó, và phần tóm tắt không nêu thêm một hạn chế nào khác.

Áp vào 5ac thế nào

Bài học cho 5ac: rủi ro này sinh từ kiến trúc, không từ model: nên chỗ chặn phải là giao thức, không nằm ở prompt. Áp cụ thể: khi một card spawn card con (kanban_create với parents), chu trình ủy quyền bị chặn ở lớp điều phối — kanban_link đã từ chối cycle, còn chuỗi block/unblock lặp bị tự động leo thang thay vì quay vòng. Sửa cho đội agent dựng cho khách: mỗi vòng delegate phải có điều kiện dừng tường minh viết trong card body (điều kiện nào thì con báo lại thay vì ủy quyền tiếp), và ủy quyền lặp lại giữa hai card bị đếm như tín hiệu bất thường.

Nguồn