是哪个智能体拖垮了你的多智能体系统，又是在哪一步？

这是什么？

2026 年 7 月 8 日，来自路易斯维尔大学与北德克萨斯大学的研究者发表了 Who Broke the System? Failure Localization in LLM-Based Multi-Agent Systems（arXiv:2607.07989，cs.CR）。他们针对的是每个运行多个协作智能体的团队迟早会遇到的问题：一次执行以错误答案收场，却没人说得清是哪个智能体造成的，也说不清轨迹是在哪一步开始不可逆地偏离。

这并非一篇攻击论文，而是一项取证与可靠性研究，也正因如此它值得放进安全讨论。当一个多智能体工作流产出糟糕结果时——无论起因是被注入的指令、被投毒的记忆，还是普通的协调失误——事件响应都从同一个问题开始：是谁拖垮了系统，又在何时？ 作者表明，那个显而易见的答案——“让一个强模型读日志然后告诉你”——远没有人们以为的那么可靠，并提出了一种名为 AgentLocate 的方法，其表现有可衡量的提升。

工作原理

论文对目标做了精确定义。给定一条失败轨迹，目标是输出一个二元组：失败责任智能体与最早的关键步骤——即第一个只要纠正单个动作就能扭转失败结局的步骤。这种”最早且关键”的界定至关重要，因为在耦合系统中，错误的最终答案往往是许多轮之前所犯错误的尾声。

AgentLocate 分三个阶段。首先，一个 LLM 裁判（Judge） 读取记录下来的轨迹与用户查询，提出一个假设——一个智能体、一个步骤——要么一次性审视整条轨迹，要么逐步扫描不断增长的前缀，以尽早捕捉关键点。其次，若干独立的评估者（Evaluator），各自采用不同的提示风格（基础、简洁、以证据为中心），在该假设的条件下重新审视同一条轨迹，各自给出自己的智能体—步骤判断，并附上理由与自报的置信度；这些投票以置信度加权聚合。最后，裁判与评估者之间的分歧被转化为训练实例，通过轻量的 LoRA 微调来精炼裁判，使其未来的判断更贴合关键错误的定义。

“单次裁判”与”验证再精炼”之间可测量的差距正是核心结论。在 Who&When 基准的算法生成子集上，以一个 70 亿参数的开源模型作裁判，AgentLocate 达到了 69% 的智能体级准确率与 38% 的步骤级准确率，而所对比的四种基线方法在智能体级仅约 31%–45%。大部分提升在第一轮精炼中即已出现，三个评估者给出最佳的成本—质量折中；再多也无补益。

为何重要

对于部署智能体集群的人，有两点直接可操作。

第一是可靠性差距本身。在多种配置下，一个强模型单次运行只有少数情形正确指认了责任智能体，步骤级定位则更差。如果你的事后流程是”把对话记录粘进一个前沿模型，然后相信它的裁决”，那你是在一个弱信号上盖楼——论文的基线表明，LLM 裁判式的归因在不同模型间并不稳定，并且在较长轨迹上会退化。

第二是作者明确划出、却极易被误解的一条界线。失败定位与投毒取证不是同一个问题。 他们测试了两款为追踪被污染检索内容而设计的投毒取证工具，这些工具对有机失败的定位效果很差，因为它们寻找的是攻击留下的痕迹——而渐进式的协调漂移根本不会产生这类痕迹。反过来同样成立：一个擅长找出良性轨迹在何处偏离的方法，本身并不是对手检测器。在事件中信任其输出之前，先弄清你运行的是哪一种，这很重要。

还有成本层面值得一提：AgentLocate 的运行速度比反事实重放基线快 20 倍以上（在更难的子集上为 315 秒对 6752 秒），token 成本约为其二十分之一，这使得在调试期间进行反复、迭代的归因成为可行，而不再是每季度一次的取证工作。

防御

由于这是一种方法而非漏洞利用，要点在于如何为你自己的多智能体部署做埋点与调查。

• 为归因而记录，而不仅为重放。 AgentLocate 需要逐轮的轨迹，每一步都带有智能体身份与动作。请记录是哪个智能体行动、以何顺序、得到何种工具结果——要在事件之前，而非之后。
• 把归因当作一个过程，而非一个裁决。 不要相信某个模型对”哪个智能体出错”的一次性回答。论文的全部收益都来自假设、独立验证、精炼这一链条；用多名审查者与置信度加权投票来复现它。
• 追查最早的关键步骤，而非最后可见的错误。 错误输出出现的那一步，通常不是造成它的那一步。定位第一个”若加以纠正便会改变结果”的动作。
• 不要把投毒取证当作失败定位，反之亦然。 它们回答的是不同的问题。根据你是在调查攻击痕迹还是有机故障来选择合适的工具，并把两者都留在工具箱里。
• 优先选择在长轨迹上稳定的方法。 随着轨迹变长，基线的准确率会下降；无论采用何种工具，都要在你最长的真实工作流上测试它，而不是玩具样例。

状态

项目	详情
类型	研究论文（预印本）
发表	2026 年 7 月 8 日（arXiv:2607.07989，cs.CR）
方法	AgentLocate——裁判提出假设、多评估者验证、以 LoRA 精炼裁判
基准	Who&When（算法生成 + 手工构造）、Aegis-Bench
所测裁判模型	Qwen2.5-7B、Llama-3.1-8B、Mistral-7B、GPT-4o
关键结果	约 69% 智能体级 / 38% 步骤级，对比基线约 31%–45%（Who&When，7B 裁判）
是否公布攻击	无——防御性取证/可靠性方法，无 payload
相关人群	运行协作式多智能体工作流、或对智能体做事件响应的人