---
source: arxiv
url: https://arxiv.org/abs/2605.08460v1
published_at: '2026-05-08T20:27:23'
authors:
- Ziwen Cai
- Yihe Zhang
- Xiali Hei
topics:
- multi-agent-security
- agent-network
- subagent-spawning
- prompt-injection
- access-control
- llm-agents
relevance_score: 0.82
run_id: materialize-outputs
language_code: zh-CN
---

# When Child Inherits: Modeling and Exploiting Subagent Spawn in Multi-Agent Networks

## Summary
## 总结
论文认为，子代理生成会通过继承的内存、过宽的资源访问、过时状态和薄弱的终止控制，把一个本地代理妥协扩散出去。它提出了一个形式化的基于角色的模型，以及用于更安全多代理系统的防御方法。

## 问题
- 研究的是：当多代理网络中的一个 LLM 代理因提示注入、越狱、投毒数据或恶意技能而被攻破后，会发生什么。
- 这个风险之所以重要，是因为新生成的子代理可能继承父代理的内存、权限和指令，单个被攻破的代理会影响后续委派和下游动作。
- 现有代理系统常在运行时创建和终止代理，人工复核有限，这让访问控制和生命周期规则更难执行。

## 方法
- 论文把基于角色的多代理网络建模为代理、父子边、角色、能力、资源、内存模式、生命周期模式和交互模式。
- 它定义了三种内存继承模式：完全继承、部分继承和不继承父内存。
- 它为终止范围、内存隔离和基于角色的资源访问规定了安全不变量。
- 它用真实系统检验这个模型，主要目标是 OpenClaw，对比系统是 Hermes 和 Agent Zero。
- 它提出了防御方法：带策略决策点和执行点的 Agent Capability Registry、按角色划分的内存投影，以及基于修订的内存同步。

## 结果
- 摘要提到 4 类漏洞：不受限制的内存继承、缺少资源访问控制、异步内存分歧，以及未授权的跨代理终止。
- 作者说，他们针对默认 OpenClaw 部署，为每一类漏洞都构建了可运行的概念验证利用。
- 他们报告说，又在 5 个额外的 LLM 供应商上得到了确认，这支持这样一个判断：问题来自编排层设计，而不是某一家模型提供商。
- 研究评估了 3 个开源多代理系统：OpenClaw、Hermes 和 Agent Zero。
- 摘要没有给出攻击成功率、延迟数据、用户研究结果或基准分数；最强的定量说法是 4 类漏洞、3 个测试系统和 5 个额外供应商确认。

## Problem

## Approach

## Results

## Link
- [https://arxiv.org/abs/2605.08460v1](https://arxiv.org/abs/2605.08460v1)