XG-Guard：无监督可解释细粒度图异常检测守护多智能体网络安全

引言

从单一的LLM Agent演进为多智能体系统（MAS），协同能力确实实现了质的飞跃。然而，Agent之间的通信链路，也变成了风险快速蔓延的通道。一旦某个Agent被攻破，它就能在协作推理过程中偷偷植入恶意内容，误导其他Agent，甚至诱导它们执行有害操作。

这就引出了本文的核心技术——图异常检测（GAD）。作为一种无监督的防御范式，其思路非常直观：将整个MAS的通信过程建模为一张图，然后训练一个GAD模型来识别出那个“内鬼”节点，并阻断其信息传播。不过，现有的方法虽然有效，却面临两大关键挑战：

第一个挑战，是信息粒度过于粗糙，细粒度信息基本被忽略。当前做法是将每个Agent输出的完整文本，压缩成一个句子表征向量，再交给模型判断。然而，恶意行为往往隐藏在长篇内容中——比如在大量正常表述中夹杂一句恶意指令，或悄悄调用一个窃取隐私的工具。这种建模方式将关键短句与无关套话混在一起打包，导致异常特征被稀释。

第二个挑战，是缺乏可解释性。现有模型只能告知“这个Agent是异常的”，却无法解释“具体是哪句话、哪个词出了问题”。这种黑盒特性不仅让人工排查系统漏洞变得困难，也大大削弱了实际部署时的可靠性。

为了解决这些局限，研究团队提出了XG-Guard，一个兼具可解释性与细粒度检测能力的无监督安全防护框架。相关成果已被ACL 2026 Main Conference接收。

• 论文标题：Explainable and Fine-Grained Safeguarding of LLM Multi-Agent Systems via Bi-Level Graph Anomaly Detection

• 论文链接：https://arxiv.org/abs/2512.18733

• 代码链接：https://github.com/CampanulaBells/XG-Guard

• 论文作者：Junjun Pan, Yixin Liu, Rui Miao, Yu Zheng, Kaize Ding, Quoc Viet Hung Nguyen, Alan Wee-Chung Liew, Shirui Pan

核心贡献主要体现在三个方面：

1. 问题建模：首次在无监督GAD框架下实现了对MAS的防御，且具备可解释性。

2. 方法设计：提出了XG-Guard，通过融合粗细粒度的表征，结合基于对话主题的异常检测，实现了对异常Agent的有效识别与合理解释。

3. 实验验证：在多种MAS拓扑结构和攻击策略下，XG-Guard不仅性能持续领先，还能为每次决策提供可靠的解释。

方法解读

XG-Guard的核心思路，一句话概括就是：同时捕捉词语和句子两种粒度的表征，通过对话主题锁定异常语义，最后将粗细粒度的证据融合起来，给出量化解释。具体而言，它包含四个关键模块。

阶段一：双层智能体表征编码（Bi-Level Agent Encoder）

为了兼顾宏观的对话语境与微观的词汇细节，XG-Guard摒弃了传统的粗粒度文本编码。它为每个Agent的输出构建了两类特征：

• 粗粒度特征，即句子级别的表征，负责捕捉发言的整体含义。

• 细粒度特征，即词元级别的表征，负责捕捉每个词的语义细节。

随后，框架利用图神经网络（GNN）在通信图上进行消息传递，最终得到每个节点的编码。这样一来，Agent的编码就同时包含了粗细粒度的文本语义与通信图的结构化信息，信息密度显著提升。

阶段二：基于对话主题的无监督异常检测

正常的MAS在协作解决问题时，所有Agent的发言都应围绕当前任务和讨论主题展开。而恶意Agent的发言，要么偏离主题以扭曲结果，要么夹带隐蔽的恶意言论。XG-Guard正是抓住这一“直觉”，设计了一个基于主题的异常检测器。

系统会先聚合当前对话的整体特征，形成一个被称为“主题原型”（theme prototype）的向量。然后，通过衡量每个Agent的表征与这个主题原型之间的距离，分别计算出句子级别和词元级别的异常分数。这两个分数，为后续的融合与解释提供了基础。

阶段三：双层分数融合与异常解释机制

按理说，主题原型代表的是正常主题。但问题在于，词元级别的特征对细粒度的异常信息极为敏感，因此它生成的词元级主题原型，可能会被恶意Agent带偏，错误地反映恶意的主题信息。如果只是简单地将粗细粒度信息组合起来，效果反而会变差。

为了解决这个矛盾，XG-Guard引入了基于协方差的分数融合机制，确保句子和词元两个维度的分数能够对齐。这样一来，系统不仅能将两个级别的异常分数融合到统一框架中，还能借此实现可解释性——通过对齐后的词元级异常分数，高亮出恶意关键词，为异常检测提供透明的解释。这种内生的细粒度可解释性，对安全审计来说，价值不言而喻。

阶段四：隔离恶意Agents，避免恶意传播

精准定位到恶意Agent后，系统会立即启动通信隔离策略，在图中将恶意Agent的所有通信边裁剪掉，阻断恶意信息在MAS内部的扩散。这样，其他正常Agent的协同工作就不会受到影响。

实验结果

研究团队在多种不同的MAS通信结构和攻击模式下进行了测试，结果证明XG-Guard在无监督场景下的异常检测能力相当出色。

1. 主实验

在严格无监督的设置下——即训练集仅有正常对话，不含任何攻击标签——XG-Guard在ROAUC、ASR@3等指标上全面超越了现有的无监督异常检测方法，甚至在部分数据集上达到了与有监督方法持平的水平。

此外，更换不同的LLM backbone（如GPT-4o-mini、DeepSeek-V3、Qwen-30B-A3B）进行测试，XG-Guard依然保持了稳定的高性能，说明其泛化能力很强。

2. 消融实验

为了验证各组件的必要性，研究团队分别移除了分数融合机制和细粒度信息。结果很明显：去掉细粒度特征，模型就难以捕捉那些隐藏在少数词汇中的恶意信号，检测性能明显下滑；去掉自适应融合机制，模型就分不清正常的话题偏移与真正的异常行为，甚至出现真假不分的情况，ROAUC降到50%以下。只有所有模块同时工作，才能实现既稳定又可靠的检测。

3. 可解释性

可视化结果清楚地展示了XG-Guard的能力：它的粗细粒度架构能够精准指出到底是哪句话导致了异常。例如，恶意Agent传播的误导性信息，或Agent尝试调用工具窃取个人资料，都能被清晰地定位出来。

总结

总体来说，XG-Guard为无监督的MAS安全防护提供了一套全新的思路。通过引入词元级别的特征，它不仅能够有效检测出恶意Agent，还能为每个决策提供解释，显著提升了异常检测系统的透明度与可信度。

作者介绍

本文第一作者为潘钧君（Junjun Pan），主要研究方向为图异常检测（Graph Anomaly Detection）。目前作为博士研究生，于Griffith University潘世瑞教授（Shirui Pan）的TrustAGI研究团队开展科研工作。

你是一名 AI 行业编辑，请围绕下面这条热点输出一份资讯解读：
热点：XG-Guard：无监督可解释细粒度图异常检测守护多智能体网络安全要求：
1. 先用一句话解释这条热点在讲什么
2. 再总结它为什么重要
3. 说明会影响哪些 AI 产品或内容方向
4. 最后给出 3 个适合资讯站使用的标题