摘要
随着大模型驱动的自主智能体（Agentic AI）技术迅速发展，智能体系统正由单一模型应用逐步转向多智能体协作生态。在此背景下，不同智能体需借助标准化通信协议进行能力发现、任务协作与信息交换，以实现复杂任务目标。尽管智能体通信协议有效提升了系统的协同效率，但同时也引发了新的数据安全和个人信息保护风险。由于智能体在能力发现、身份鉴权、消息交互、上下文注入、任务委派及记忆存储等生命周期各环节频繁交换数据，这些环节均可能成为攻击入口，从而导致身份伪造、未授权访问及敏感信息泄露等安全隐患。此外，多智能体间的动态协作特性亦对现有数据保护制度和治理框架中的目的限制、数据最小化、责任归属及数据主体权利保障等原则构成挑战。本文系统分析了智能体通信协议在不同环节所面临的数据安全与隐私风险，并评估了其对既有数据治理框架的影响。目的是为智能体通信协议的安全设计、标准制定以及相关风险治理与解决方案的完善提供理论参考。
一、 智能体通信协议概述
随着智能体技术的不断进步，其运行模式已由传统的大模型单体逐渐演变为多智能体协同的生态体系。在该生态中，各智能体通过通信与协作（包括能力发现、外部知识获取、任务委派及多方交互）实现复杂任务。为了提升多智能体生态系统中的互操作性、协调性和任务分配，业界正积极推进相关通信协议和机制的研发。例如，Anthropic于2024年11月提出的MCP（Model Context Protocol），旨在规范智能体安全调用外部工具及数据源的标准；Google于2025年4月发布的A2A（Agent-to-Agent Protocol），则用于支持智能体之间的任务委派与协作。这类协议对于解决异构智能体之间的连接、分布式环境下的可扩展性以及高效信息交换等问题具有重要作用。
尽管智能体通信协议极大便利了实际应用，但仍存在数据安全和隐私保护方面的潜在风险。例如，在企业内部部署多智能体系统（如运维智能体、人事智能体等）时，攻击者可能通过伪造名称相似的“IT支持智能体”，并利用注册目录机制漏洞，将其注册为合法服务节点。伪造智能体声称具备诸如“重置密码”等技能，导致员工助理智能体误将其识别为真实服务主体，并向其发送内部凭证信息以请求协助，从而使攻击者获得大量敏感账户数据。此类案例表明，在智能体通信协议快速发展的过程中，身份认证、服务发现和数据交互环节仍存在明显安全漏洞，可能对数据安全和个人信息保护造成严重影响，为后续关于“智能体协议的数据安全与个人信息保护风险”的讨论提供了有力的现实依据。
二、 智能体通信协议中的数据安全与个人信息风险
智能体通信协议涵盖了从发现、身份验证、消息交互、上下文注入、任务分配到记忆存储的全生命周期过程。各个环节均可能带来新的攻击面及合规风险。以下将对这些阶段的风险进行逐项分析。
（一）发现阶段
冒名顶替与命名攻击：在系统发现阶段，恶意主体可能通过伪造身份或名称以误导合法智能体建立连接。例如，在MCP生态体系中，攻击者能够注册一个与知名MCP服务器名称极为相似的服务，从而诱导智能体错误连接，实现数据窃取。
Shadowing攻击：该攻击方式指恶意智能体伪装为已有合法服务的升级版本或类似替代项，在初期通过提供正常服务以获得用户信任和流量，待时机成熟后再实施恶意操作。
信任建立与撤销的挑战：在智能体网络中，某些服务智能体由于长期表现稳定而被认定为可信，进而降低了后续审核强度。然而，这些智能体有可能在特定时期恶意变更行为，利用既有信任进行违规数据操作，即“Rug pull”攻击。此现象表明，仅依赖初始阶段的验证措施无法有效防范长期潜伏风险。
中心注册及目录依赖：对于诸如ACP协议等依赖中心注册服务的系统而言，若注册目录遭受攻击或被滥用，将导致发现过程存在风险。例如，若攻击者入侵ACP注册服务数据库并插入虚假智能体记录，所有后续查询均可能被重定向至攻击者，从而造成安全隐患。
综上所述，发现阶段的主要风险集中于身份层面的欺诈行为。智能体可能因虚假身份而被误导，进而与非法主体进行通信，从而导致后续安全防护措施失效。就相关法律法规而言，此类情况可能导致个人数据在用户不知情的情况下被转移至未经授权的第三方，进一步加大了责任认定的复杂性。
（二）鉴权与身份验证阶段
目标识别后，智能体之间将进行身份验证与权限鉴定。若该环节缺乏有效保护，可能导致敏感数据泄露或发生未经授权的访问事件。
令牌滥用与泄露：目前，大多数协议采用令牌进行身份验证和授权。若令牌管理不充分，存在被滥用的风险。例如，在A2A场景中，用户智能体获得支付Token，用于代替用户执行支付操作。若该Token有效期较长，且被恶意智能体截获，则可能在有效期内多次调用支付服务，导致未授权扣款问题。
弱认证与身份冒充：在鉴权阶段，认证强度不足构成重要风险。例如，当智能体代理支付任务时，如果未实施严格的客户认证措施，攻击者可通过身份冒充指使智能体执行支付操作，增加安全事件发生的可能性。
隐式信任与超授权：在某些情况下，智能体之间的身份验证机制因隐式信任关系而被削弱。例如，企业内部的A2A部署通常假定所有智能体均受统一的OAuth信任域管理。一旦某个内部智能体账户遭到攻破，攻击者即可利用这一信任关系非法访问其他智能体资源，造成安全风险。
中间人攻击：若鉴权过程中未严格实施双向TLS或消息签名，系统存在遭受中间人攻击的风险。此类攻击可导致威胁主体拦截并篡改通信内容。
总体而言，鉴权阶段存在的漏洞可能导致攻击者伪造身份，冒充合法智能体或用户实施后续操作，并借助生命周期较长的凭证在授权范围内非法访问个人数据。
（三）消息交互阶段
在建立连接并完成身份鉴别后，智能体将进入消息交换阶段以执行相应任务。若该阶段未得到充分安全防护，可能导致信息被篡改、恶意载荷传递及敏感数据泄露等安全风险。
通信窃听与篡改：在MCP、A2A 等协议环境下，若HTTP通信未经过加密处理，智能体间传输的数据可能被第三方截获，从而导致个人信息泄露风险。
多部件消息中的潜在恶意内容：A2A 系统支持通过附件Artifact进行文件传输，该机制存在被用于携带恶意代码的风险。例如，Artifact文件可能嵌入了恶意脚本或病毒。如果接收方智能体未对收到的文件进行有效的安全检测，便可能导致恶意代码被执行。
异步通信中的竞态与假消息风险：攻击者可能利用异步机制引发竞态条件或发送伪造进度信息。例如，在A2A SSE通道中，攻击者可注入虚假的任务状态更新（如冒充“完成”消息），使请求方智能体错误地判断任务已完成并提前执行后续操作，从而导致业务流程紊乱。
敏感数据在通信中的暴露：智能体间的消息常常涉及用户或业务相关的数据，如未采取有效保护措施，极易导致个人信息泄露。例如，客服智能体通过A2A协议与账单智能体交互时，消息中可能包含用户账号与购买记录等内容。若A2A消息未实现字段级加密或脱敏操作，则这些个人数据将以明文方式暴露于系统之中。
上下文边界不明确：智能体在与用户交互过程中，可能会将之前的上下文数据传递至其他智能体，从而引发边界外信息泄漏风险。
总体而言，消息交互阶段的安全风险主要体现在通信过程中的机密性、完整性保障以及消息内容安全审查机制。一旦通信信息遭到拦截或滥用，将可能导致个人隐私泄露及数据被篡改，从而对用户权益构成直接威胁。
（四）上下文注入阶段
“上下文注入”是指将补充性的信息、提示或参数嵌入至智能体决策的上下文环境中，从而对其行为产生影响。在此阶段，出现了一类新的攻击方式，包括以下几种：
提示/指令注入攻击：攻击者可能设计特定输入，通过协议渠道进入LLM智能体上下文，以促使模型执行不当指令或泄漏敏感信息。在MCP架构中，如果攻击者能够控制工具描述，则有可能在其中植入恶意提示。由于这些描述采用自然语言形式，LLM可能以常规内容进行处理，从而引发信息泄露或执行错误操作。
工具与响应污染：上下文注入不仅可能发生在静态描述中，动态工具的响应同样存在被恶意篡改的风险。攻击者可以针对智能体依赖的外部资源进行干扰，通过修改其输出数据，实现对AI决策过程的间接操控。
模型幻觉与过度信任：大语言模型（LLM）的固有不确定性可被上下文攻击进一步加强。LLM存在生成虚假信息的风险，若攻击者故意提供误导性的上下文内容，模型可能会产生特定幻觉，导致智能体执行错误操作或输出错误数据。
策略防护不足：传统软件通常具备针对SQL注入和XSS攻击的防护策略，而LLM上下文安全的相关措施仍处于探索阶段。目前，许多AI系统尚未配备完善的策略控制引擎以在模型执行前对上下文进行审查。
（五）任务委派阶段
在智能体将任务或数据委托给其他智能体或服务时，若缺乏有效控制，可能导致权限滥用、数据泄露及责任界定不明确等风险。
特权提升与广泛授权：在任务委派过程中，智能体A通常需向智能体B授予一定权限或上下文以确保任务完成。然而，若A授予B的权限范围过大，可能导致B执行超出既定范围的操作，从而引发特权提升风险。
跨智能体数据泄露：任务委托导致数据在不同智能体间流转，从而增加了跨主体数据泄露的风险。以智能体A受用户信任并持有个人数据X为例，当A将任务进一步委托给智能体C时，为完成相关任务，A可能会将数据X也传递给C。这种情况下，用户的个人数据被扩散至新的主体。随着任务链的延伸，数据可能在多个智能体之间传播，进而导致数据控制权与责任归属变得更加复杂。
任务链中的不可靠节点：任务委派过程类似于供应链管理，一旦任意环节存在不可信或被攻击者冒充的智能体，便可能导致整个任务被攻击者控制，从而危及整体系统安全。
责任模糊：任务委派导致责任界定变得复杂。用户通常只与智能体A直接交互，但A可能进一步调用B和C，且这些智能体还可能调用其他智能体。这就引发了法律上关于数据处理责任归属的问题。
综上所述，任务委派过程中的主要风险表现为权限超出预期及数据扩散。自主智能体可能在缺乏约束或规范的情况下，将过多的权力与信息转移给其他智能体，从而引发隐私保护和信息安全方面的问题。
（六）记忆存储阶段
智能体通常需要保留部分记忆以维护上下文或积累学习经验。然而，若系统未能妥善管理历史对话及任务结果等信息，可能导致敏感数据长期暴露或被不当利用。
过度保留与存储滥用：为实现交互连续性，LLM智能体可能会存储用户多轮对话的上下文信息，甚至建立用户模型或长期记忆。这些存储内容往往包含大量个人及敏感数据。若未实施有效的数据生命周期管理，相关信息存在被长期或无限期保留的风险。此外，不同任务间的记忆混用亦可能导致数据的越权使用，带来合规性隐患。
持久性上下文篡改：若攻击者能够更改智能体的长期记忆数据，其行为有可能受到持续性影响。例如，若攻击者在智能体历史记录中植入伪造的“用户偏好”，此后智能体在决策时将参考该虚假偏好，从而做出对攻击者有利的响应。
数据泄露与访问控制不当：若对存储的对话及日志缺乏有效保护，可能会带来重大安全风险。例如，A2A智能体将所有任务沟通日志存入数据库以便追溯，但如果未采取加密措施或未实施严格的访问权限管理，内部人员或黑客在发生入侵时有可能批量获取这些信息。
删除与遗忘的技术挑战：在智能体系统中，实现数据“遗忘”存在较高难度。当用户提出删除个人数据的请求时，系统不仅需彻底移除数据库中的相关记录，还必须评估模型是否已基于该数据进行训练并吸收了相应信息。对于具备记忆模块的智能体而言，如何完整且有效地清除特定用户的关联记忆，是当前面临的重要技术问题之一。
综上所述，记忆存储阶段的风险主要体现在存储时长、存储内容及访问权限三个方面。存储的数据常成为攻击和违规行为的高价值目标。一旦发生数据泄露或误用，通常涉及大量历史数据，因此后果极为严重。
（七）对现有合规框架的挑战
上述各环节所涉及的安全与隐私风险，对现有数据保护及人工智能监管体系提出了严峻挑战，并影响了若干基本原则的有效执行。
目的限定与知情同意缺失：个人数据收集应当仅限于预先明确的特定用途，若需变更用途，须获得用户授权或具备法律依据。然而，智能体链路因其动态特性，常导致处理目的在运行过程中不断扩展。举例而言，当智能体未经授权调用第三方服务时，用户既未获悉该服务将处理其数据，也未给予相关同意，知情同意机制由此基本无法发挥作用。
数据最小化原则与跨境传输管理难题：智能体系统通常依赖丰富的上下文信息，因此在任务执行过程中，往往会收集和共享超出实际需求范围的数据，这种行为违背了数据最小化原则。此外，个人数据可能出现跨境流转的情况，但智能体本身无法独立完成法律合规评估或签署标准合同条款（SCC）。
持续监督与问责机制的缺失：法律规定自动化决策需保持人工监督和明确的问责体系。然而，多智能体系统以自主协调为基础，导致“人在环内”的作用大幅削弱。同时，由于责任主体界定不清，事后问责存在较大的难度。
技术文档与风险评估存在时效性问题：法律规定高风险人工智能系统必须具备完善的技术文档和风险管理措施，包括对潜在滥用及故障进行预测。然而，由于自治智能体系统行为模式极为复杂且多变，设计阶段难以全面覆盖所有可能情况。
个人权利保障面临挑战：个人数据主体依法享有访问、更正和删除等权利。然而，在AI智能体网络环境下，这些权利的行使难度显著提升。例如，当用户要求“说明系统使用了哪些个人数据及其处理过程”时，传统系统可通过后台日志进行详细查询与反馈。但若智能体未完整记录数据流转信息，则难以有效汇总各服务对相关数据的接触情况。
三、 智能体通信协议安全治理的未来方向
智能体通信协议正推动人工智能系统由单体应用向大规模协同网络转型，实现自主智能体在复杂环境下的分布式任务协作。目前，协议设计主要聚焦于互操作性与功能架构，而对数据安全及个人信息保护的关注尚显不足，这导致传统网络安全与数据治理体系难以有效覆盖新型风险。
展望未来，智能体通信协议需在促进协同创新的同时强化安全可控机制。通过技术研发、标准融合与多方治理协作，建立“可治理、可验证、可问责”的智能体安全生态，从而为全球范围内多智能体网络的安全、可信与可持续发展提供坚实保障。
声明：本文来自数据信任与治理，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
