ASI07：不安全的 Agent 間通訊
Insecure Inter-Agent Communication
說明
多 Agent 系統仰賴自主 Agent 之間持續通訊，透過 API、訊息匯流排與共享記憶進行協調，因而大幅擴大攻擊面。去中心化架構、不同程度的自主性與不一致的信任，使以邊界為中心的安全模型失去效果。若 Agent 間對身分驗證、完整性、機密性或授權的控制薄弱，攻擊者便可攔截、操弄、偽造或阻擋訊息。
不安全的 Agent 間通訊發生於這些資訊交換缺乏適當的身分驗證、完整性或語意驗證，使 Agent 訊息與意圖可以被攔截、偽造或操弄。此威脅橫跨傳輸、路由、探索與語意層，也包括隱蔽通道或旁通道；Agent 可能透過時間特徵或行為線索洩漏資料，或讓資料被推論出來。
這與 ASI03（Identity & Privilege Abuse） 不同，後者聚焦於憑證與權限誤用；也不同於 ASI06（Memory & Context Poisoning），後者針對已儲存知識的破壞。ASI07 聚焦於破壞 Agent 之間的即時訊息，可能造成錯誤資訊、權限混淆，或對分散式 Agentic 系統的協同操弄。
本項在 Agentic Threats and Mitigations 中由 T12 – Agent Communication Poisoning 與 T16 – Insecure Inter-Agent Protocol Abuse 涵蓋。
常見漏洞範例
- 未加密且容許語意操弄的通道（Unencrypted and channels enabling semantic manipulation；原文如此） — MITM 攔截未加密訊息，並注入隱藏指令，改變 Agent 目標與決策邏輯。
- 訊息竄改導致跨上下文污染（Message tampering leading to cross-context contamination） — 遭修改或注入的訊息模糊 Agent 之間的任務邊界，在協作期間造成資料外洩或目標混淆。
- 信任鏈重播（Replay on trust chains） — 重播委派或信任訊息，使 Agent 被騙而授予存取權，或遵循已過期的指令。
- 協定降版與描述資訊偽造造成權威混淆（Protocol downgrade and descriptor forgery, causing authority confusion） — 攻擊者迫使 Agent 使用較弱的通訊模式，或偽造 Agent 描述資訊，讓惡意命令看起來像合法資訊交換。
- 針對探索與協調的訊息路由攻擊（Message-routing attacks on discovery and coordination） — 遭誤導的探索流量偽造與惡意 Agent 或未授權協調者的關係。
- 透過中繼資料分析建立行為輪廓（Metadata analysis for behavioral profiling） — 流量模式暴露決策週期與 Agent 之間的關係，使攻擊者可以預測並操弄 Agent 行為。
攻擊情境範例
- 透過未加密通訊注入語意（Semantic injection via unencrypted communications） — 透過 HTTP 或其他未經身分驗證的通道，MITM 攻擊者注入隱藏指令，使 Agent 在外觀看似正常的情況下產生偏誤或惡意結果。
- 透過訊息竄改污染信任（Trust poisoning via message tampering） — 在 Agentic 交易網路中，遭修改的信譽訊息扭曲哪些 Agent 會被信任並用於決策。
- 透過重播混淆上下文（Context confusion via replay） — 重播緊急協調訊息，觸發過期程序與錯誤的資源配置。
- 透過協定降版操弄目標（Goal manipulation via protocol downgrade） — 強制使用舊版、未加密模式，使攻擊者能注入目標與風險參數，產生有害建議。
- 透過 MCP 描述資訊污染進行中間人攻擊（Agent-in-the-Middle via MCP descriptor poisoning） — 惡意 MCP 端點宣告偽造的 Agent 描述資訊或虛假的能力。一旦被信任，便會把敏感資料經由攻擊者的基礎設施轉送。
- A2A 註冊偽冒（A2A registration spoofing） — 攻擊者使用複製的結構描述，在探索服務註冊假的同儕 Agent，攔截高權限協調流量。
- 語意分裂（Semantics split-brain） — 同一個指令被不同 Agent 解析成不同意圖，產生彼此衝突但看似各自合法的動作。
預防與緩解指南
- 保護 Agent 通道（Secure agent channels） — 使用端對端加密、各 Agent 獨立的憑證與雙向驗證。強制 PKI 憑證固定、前向保密，並定期進行協定審查，以防止攔截或偽冒。
- 訊息完整性與語意保護（Message integrity and semantic protection） — 對訊息進行數位簽章，對酬載與上下文都做雜湊，並驗證其中是否存在隱藏或遭修改的自然語言指令。套用能辨識自然語言的內容清理與意圖差異比對，以偵測目標、參數竄改，以及隱藏或遭修改的自然語言指令。
- 考量 Agent 特性的防重播措施（Agent-aware anti-replay） — 所有資訊交換都必須使用與任務時間區間綁定的 nonce、工作階段識別碼與時間戳記。維護短期訊息指紋或狀態雜湊，以偵測跨上下文重播。
- 協定與能力安全（Protocol and capability security） — 停用較弱或舊版通訊模式。要求各 Agent 專屬的信任協商，並把協定身分驗證綁定至 Agent 身分。在閘道或中介軟體強制執行版本與能力政策。
- 限制基於中繼資料的推論（Limit metadata-based inference） — 在可行情況下使用固定大小或經填補的訊息、平滑通訊速率，並避免固定可預測的通訊排程，以降低流量分析的攻擊面。這些較輕量的措施可以讓攻擊者更難僅從中繼資料推論 Agent 角色或決策週期，而不必進行沉重的協定重新設計。
- 協定固定與版本強制執行（Protocol pinning and version enforcement） — 定義並強制允許的協定版本，例如 MCP、A2A、gRPC。拒絕降版企圖或未識別的結構描述，並驗證雙方宣告相符的能力與版本指紋。
- 探索與路由保護（Discovery and routing protection） — 使用密碼學身分驗證所有探索與協調訊息。以存取控制與已驗證的信譽保護目錄服務，端到端驗證身分與意圖，並監控異常的路由流程。
- 具證明能力的登錄服務與 Agent 驗證（Attested registry and agent verification） — 使用能對 Agent 身分、來源可追溯性與描述資訊完整性提供數位證明的登錄服務或市集。接受探索或協調訊息前，要求已簽章的 Agent 卡片與持續驗證。利用 PKI 受信任根憑證登錄服務，建立穩健的 Agent 驗證，並對關鍵屬性進行證明。
- 型別化契約與結構描述驗證（Typed contracts and schema validation） — 使用具版本資訊及型別的訊息結構描述，並為每個訊息明確指定對象。拒絕驗證失敗的訊息，或未宣告相容性就嘗試結構描述降版轉換的訊息。有型別的契約有助於結構化，但 Agent 之間的語意分歧仍是固有挑戰，因此緩解措施聚焦於完整性、來源可追溯性與受控通訊模式，而不是嘗試達成完整語意對齊。
參考資料
- Local Model Poisoning Attacks to Byzantine-Robust Federated Learning - USENIX Security 2020
- Manipulating the Byzantine: Optimizing Model Poisoning Attacks and Defenses for Federated Learning - NDSS
- Resilient Consensus Control for Multi-Agent Systems - MDPI / PMC
原作：OWASP Top 10 For Agentic Applications 2026
專案：OWASP Gen AI Security Project - Agentic Security Initiative
授權：CC BY-SA 4.0
本翻譯為非官方繁體中文版本，並依 CC BY-SA 4.0 授權釋出。