人类一直在努力让机器理解自己的语言。从早期的命令行、编程语言，到今天能够自由对话的大语言模型，人机交互的发展，某种程度上就是一部机器不断适应人类表达方式的历史。

但随着多智能体系统的发展，一个相反的趋势正在出现：当两个 AI 需要相互交流时，它们未必还需要使用人类语言。

如果把大语言模型看作一种新型的智能物种，那么过去的 Agent 就像是两个必须借用人类语言才能交流的个体。它们需要把内部的计算结果转换成文字，再交给另一个模型重新理解。

现在，研究人员开始尝试让它们绕过这个过程，直接交换神经网络内部的表示。

这项技术被称为潜在通信（Latent Communication）。

2026 年 9 月，德国 CISPA 亥姆霍兹信息安全中心的研究人员发表论文《Safety of Latent Communication in Multi-Agent Systems》，研究了这种新型通信方式的安全性。

https://arxiv.org/pdf/2609.39788

研究发现，即使参与协作的所有大语言模型都经过安全对齐，而且模型参数完全没有改变，仅仅训练模型之间的通信接口，就可能显著削弱整个系统的安全性。

更进一步，攻击者可以通过操纵通信接口，让原本安全的模型持续生成不安全的回答。

这篇论文引出了一个值得思考的问题：如果 AI 逐渐拥有了一套更适合自己、却无法被人类直接理解的通信方式，那么建立在人类语言之上的安全机制，还能继续有效吗？

当 Agent 不再需要使用人类语言

今天的大多数多智能体系统，仍然依赖自然语言协作。

假设有两个 Agent，分别负责规划和执行任务。Agent A 首先分析问题，然后生成一段文字，例如“先列出方程，再计算未知数”。Agent B 接收到这段文字后，将其转换为 Token，再经过 Embedding 和神经网络计算，理解其中的意思并继续执行。

这个过程看似自然，但从神经网络的角度看，却存在一些额外开销。

Agent A 原本已经在内部计算出了相应的信息，却需要把这些信息逐个 Token 转换成自然语言。Agent B 则需要将文字重新转换成向量表示，才能继续计算。

既然两个 Agent 本身都是神经网络，为什么不能直接交换内部表示？

这就是潜在通信的基本思路。

在大语言模型中，人类可以阅读的文字 Token 只是信息的一种表现形式。模型内部真正进行计算时，处理的是高维向量，也就是隐藏状态（Hidden States）。

这些向量并不一定对应某个具体的词语，而是编码了模型在当前上下文中形成的信息。

潜在通信尝试让 Agent A 直接输出这些隐藏状态，再通过一个可训练的通信适配器（Communication Link），将其转换为 Agent B 能够接收的软 Token（Soft Tokens）。

所谓软 Token，并不是某个固定的文字编号，而是可以直接输入模型的连续向量。

这样一来，Agent A 不需要先生成中间文本，Agent B 也不需要重新理解一段自然语言。两个模型可以直接在内部表示空间中交换信息。

当然，不同模型的隐藏状态未必能够直接互通。它们可能具有不同的向量维度、编码方式和语义结构。因此，潜在通信通常需要一个经过训练的适配器，负责在两个模型的表示空间之间建立映射。

如果借用语言学中的概念，这个适配器有点像一名翻译官，只不过它翻译的不是中文和英文，而是两个神经网络的内部表示。

一种更适合机器的交流方式

潜在通信首先是一项效率优化技术。

研究人员搭建了三类多智能体系统：由规划者和求解者组成的双 Agent 系统；由规划者、完善者和求解者组成的串行系统；以及多个专家共同向汇总 Agent 提供信息的混合系统。

在保持底层模型和任务角色一致的情况下，研究人员对比了自然语言通信与潜在通信的效率。

结果显示，三种结构的 Token 用量和推理延迟均有所下降。

以双 Agent 系统为例，Token 用量从 729 降至 511，推理耗时从 2.65 秒缩短至 1.96 秒。而在混合 Agent 系统中，推理耗时则从 8.44 秒下降到了 3.34 秒。

对于需要大量 Agent 相互协作的系统，这种效率改善具有吸引力。

从更长远的角度看，潜在通信还可能改变 AI 系统的协作方式。

人类语言是为人类的认知结构、感知能力和社会交往逐步发展起来的，但神经网络处理信息的方式并不完全相同。

如果机器之间能够直接交换高维表示，那么它们的高效通信方式，也未必需要遵循人类语言的词汇和语法结构。

不过，潜在通信还不能等同于 Agent 已经自发创造了一门语言。

语言通常还涉及稳定的符号约定、组合规则、语义以及交流者之间的共同理解。当前研究更多是在通过人为设计和训练，让不同模型的内部表示实现有效传递。

因此，把潜在通信称为一种机器间的通信协议更加严谨。但如果从智能演化的角度观察，它确实提供了一种可能性：未来 AI 之间的交流，可能越来越少地依赖人类能够直接阅读的文字。

而安全问题也恰恰从这里开始出现。

每个 Agent 都安全，为什么组合起来却不安全？

在传统多智能体系统中，Agent 之间传递的是自然语言。模型的安全训练、System Prompt 和拒答机制，通常也是围绕自然语言输入和输出建立的。

当通信变成高维向量时，接收方虽然仍然是一个经过安全对齐的大语言模型，但它接收到的输入已经发生了变化。

研究人员首先进行了一项没有攻击者参与的实验。

他们只使用正常的数学任务数据训练通信适配器，试图让不同 Agent 更好地协作。整个过程中，所有底层大语言模型的参数都保持冻结，也没有使用有害目标回答进行训练。

随后，他们通过 HarmBench、StrongREJECT、JailbreakBench 和 AdvBench 四套安全评测，检查系统对有害请求的响应情况。

结果出人意料。

双 Agent 系统在使用文字通信时，综合有害响应得分为 4.4；改用正常训练的潜在通信后，得分上升到 31.1。

串行 Agent 系统的得分从 3.2 上升到 31.7，混合 Agent 系统则从 12.5 上升到 20.8。

这里的综合得分，是将四套安全评测的结果归一化到 0—100 后求平均得到的指标，并不等同于单一数据集上的攻击成功率。数值越高，说明系统越倾向于配合有害请求。

更值得注意的是，这一切发生时，模型本身没有被修改，也没有受到刻意设计的攻击。唯一变化的，只是模型之间传递信息的方式。

这说明，安全对齐并不一定是一种能够脱离运行环境、在不同输入方式之间自动继承的能力。

一个模型单独运行时表现安全，不意味着它在接收另一个模型传来的潜在表示后，仍然能够保持相同的安全行为。

安全机制为什么会失效？关键可能就在第一个 Token

研究人员随后尝试解释这种现象。

他们发现，潜在通信会显著影响模型开始生成回答时的拒答倾向。

在接收方模型单独运行时，面对测试中的有害请求，模型以拒答形式开始生成回答的概率约为 82%。使用自然语言通信时，这一概率约为 84%。

但改用正常训练的潜在通信后，首 Token 的拒答概率下降到了约 29%。

研究人员又进行了一项干预实验。

他们没有重新训练模型，而是在模型开始生成回答时，强制加入不同的拒答起始 Token。

例如，当模型被要求以“Sorry”开头时，双 Agent 系统的有害响应得分从 31.1 降低到 1.6。如果强制使用一个包含五个 Token 的拒答前缀，实验中的得分甚至下降到 0。

这个发现与近年来关于浅层安全对齐（Shallow Safety Alignment）的研究形成了呼应。

对于部分大语言模型而言，安全行为可能高度依赖回答开始时的生成选择。如果模型最初进入拒答路径，后续内容通常会延续这一方向；但如果模型一开始进入配合请求的路径，即使它原本具备拒答能力，也可能继续生成不安全的内容。

潜在通信提供的向量输入，可能改变了模型在生成初始阶段的概率分布，使它更倾向于开始回答，而不是拒绝。

需要强调的是，这并不证明模型已经失去了识别有害内容的能力，也不能证明全部安全机制只存在于最初几个 Token 中。

但它揭示了一个关键问题：安全对齐不仅与模型学到了什么有关，也与模型在特定输入条件下，最终选择怎样开始回答有关。

而潜在通信恰好能够影响这种选择。

攻击者不必修改模型，只需要操纵通信链路

既然正常训练通信适配器都可能削弱安全性，那么如果有人刻意操纵这套通信机制，会发生什么？

研究人员进一步设计了三种攻击方式。

第一种是直接监督优化。

攻击者能够修改通信适配器参数，并利用有害请求及对应的目标回答进行训练，让适配器逐渐学会引导接收方生成攻击者希望得到的内容。

实验中，三个系统的平均有害响应得分从正常潜在通信状态下的 27.9 上升至 75.6。

但这种方式的代价也很明显：系统解决正常数学任务的能力大幅下降。

第二种方式是训练数据投毒。

这一次，攻击者不需要直接修改适配器权重，只需要在通信适配器的正常训练数据中混入少量恶意样本。

研究人员向 1904 条正常训练数据中加入 212 条有害请求及目标回答，投毒比例约为 10%。

结果，三个系统的平均有害响应得分从 27.9 上升至 58.2。

这表明，通信适配器的训练数据本身也可以成为安全风险来源。

第三种方式更值得关注：研究人员使用强化学习优化通信链路。

这种方法不需要提前准备有害请求对应的目标回答。研究人员让系统生成多份回答，再通过评判模型对回答进行评分，并使用 GRPO 算法更新通信适配器。

优化目标既包括提高对有害请求的配合程度，也包括尽量维持正常任务的表现。

最终，三个系统的平均有害响应得分上升至 76.9。在混合 Agent 系统中，得分甚至达到了 95.9。

尤其值得注意的是，这个混合系统在 MATH500 和 GPQA-Diamond 两项正常任务评测中的准确率反而有所提高。

也就是说，系统可以在完成正常任务时表现良好，同时在面对有害请求时出现严重的安全退化。

正常能力的提升，并不能作为安全性得到保持的证据。

研究人员还发现，攻击者不一定需要控制所有通信链路。在串行系统中，仅优化负责完善任务的 Agent 与最终求解 Agent 之间的通信链路，就足以产生明显影响。

从网络安全的角度来看，这意味着通信适配器正在成为一种独立的攻击面。

过去，我们更多关注模型权重是否被篡改、System Prompt 是否受到提示注入、工具返回结果是否可信。潜在通信让系统多出了一类需要保护的对象：模型之间的可学习通信接口。

既然风险来自通信，能否在通信层修复安全？

论文的另一项重要发现是，通信链路不仅可能成为攻击入口，也可能成为安全修复点。

研究人员尝试使用类似的强化学习方法，对已经受到攻击的通信适配器重新进行训练。

与攻击阶段不同，修复阶段的优化目标变成了：降低对有害请求的配合程度，同时尽可能保持正常任务的完成能力。

整个修复过程依然不需要修改底层大语言模型的参数。

实验结果表明，在三种攻击方式、三种通信结构组成的九组实验中，系统的平均有害响应得分从 70.3 下降到了 4.8。

这说明，通信接口不仅是信息传递的通道，也可能成为安全对齐的一部分。

未来，对于使用潜在通信的多智能体系统，安全训练不一定只能发生在模型本身。通信适配器也可以拥有独立的安全优化目标。

不过，这种修复方式并非没有局限。实验主要使用 1B—8B 规模的开源权重模型，修复效果也存在一定的正常任务性能损失。其在更大模型、更复杂系统及真实生产环境中的效果，还需要进一步验证。

因此，这篇论文更适合被理解为证明了链路级安全修复的可行性，而不是已经提供了一套成熟、通用的潜在通信安全方案。

当机器拥有自己的语言，人类该如何监督？

如果把视野从这篇论文稍微放远一点，潜在通信背后还隐藏着一个更深层的问题。

人类社会之所以能够建立复杂的协作关系，很大程度上依赖于语言。我们通过语言传递知识、表达意图、形成规则，也通过语言记录行为和追究责任。

今天的 AI 安全机制，同样在很大程度上建立在自然语言之上。

System Prompt 通过文字规定模型的行为边界，内容安全模型通过分析文本判断风险，提示注入检测通过识别指令冲突发现攻击，日志审计则通过记录对话还原 Agent 的决策过程。

但当 Agent 之间交换的不再是文字，而是大量高维向量时，情况就会发生变化。

一段潜在表示可以影响另一个模型的行为，却不一定能够被直接还原为一段明确的自然语言。

对于机器而言，这种交流方式可能更加高效；但对于人类而言，它也意味着传统的文本审计和安全检测可能无法覆盖全部通信过程。

这不代表潜在通信必然是不可解释的，也不意味着机器正在有意识地发展一种规避人类监督的秘密语言。研究人员目前只是通过训练，让不同模型能够交换内部表示，并没有证明 Agent 具备自主创造语言的意图。

但从安全研究的角度看，一个新的问题已经出现：

当我们无法直接阅读 Agent 之间传递的信息时，应该如何判断这些信息是否正在改变模型的安全行为？

未来的 Agent 安全评测，可能不仅需要检查单个模型是否安全，还需要检查模型之间的通信机制。

例如，通信适配器的训练数据是否可信、参数更新是否引入新的风险、哪些潜在表示会改变模型的拒答倾向、不同 Agent 的组合是否会出现新的安全失效，以及能否直接在潜在表示空间中建立风险检测与行为约束机制。

这些问题已经不只是传统的提示词安全问题，而是逐渐进入了多智能体系统的表示空间和通信协议层面。

如果未来越来越多的 AI 系统选择通过内部表示进行协作，那么安全对齐也需要从单个模型延伸到模型之间的交互过程。

从某种意义上说，我们过去一直在研究如何让 AI 理解人类制定的规则。而随着机器之间出现新的通信方式，一个值得持续关注的研究方向是：如何让这些规则在机器自身的表示和通信空间中继续有效。

写在最后

回到最初的那个比喻。

如果把大语言模型看作一种新型的智能物种，那么潜在通信或许可以被视为机器之间形成独立交流方式的一次技术探索。

它目前还不是一门真正意义上的语言，更谈不上已经形成了类似人类社会的语言文化。但它至少表明，随着 AI 系统的发展，机器之间的信息交换未必需要永远以人类能够阅读的文字为中介。

这可能让多智能体系统获得更高的协作效率，也可能逐渐改变我们理解和监督 AI 的方式。

这篇论文揭示的核心事实是：即使每个 Agent 都经过安全对齐，当它们开始通过新的表示空间交换信息时，整个系统的安全性仍然可能发生显著变化。

我们正在让机器拥有更适合自己的交流方式，而接下来的挑战，是确保人类制定的安全边界不会在这种交流方式的变化中失效。

声明：本文来自模安局，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。