OpenEvoShield: защита мультиагентных LLM-систем от эволюционирующих инъекций

En juillet 2026, des chercheurs ont publié sur arXiv le framework OpenEvoShield — un système de défense continue pour les systèmes multi-agents basés sur de grands modèles de langage (LLM-MAS) qui, sur 100 tours de déploiement, détecte la plupart des attaques par injection jamais rencontrées auparavant, avec un faible taux de faux positifs.

Contre quelles attaques

OpenEvoShield protège les LLM-MAS contre l'injection d'instructions malveillantes via la communication inter-agents — lorsqu'un attaquant glisse une commande à un agent, qui propage ensuite le comportement malveillant à l'ensemble du système via ses échanges avec d'autres agents. Selon la description des auteurs, ces attaques sont « doublement dynamiques » : les attaquants affinent leurs stratégies d'injection contre une défense déjà déployée, tandis que le comportement des agents normaux dérive à mesure que le système s'étend. C'est précisément pour cela que les défenses statiques, entraînées une seule fois, perdent rapidement en précision.

Comment la défense est construite

OpenEvoShield est conçu comme une co-evolutionary continual defense — une défense qui évolue avec les attaques au lieu de rester figée après l'entraînement. Selon le preprint, le framework est composé de quatre modules.

• M1 — contrôleur de vitesses asymétrique : sépare l'apprentissage rapide du côté attaque et l'apprentissage lent du côté comportement normal, selon deux signaux de dérive
• M2 — mise à jour de la frontière de la norme : maintient lentement une frontière comportementale dynamique des agents « normaux »
• M3 — ensemble de politiques avec régularisation EWC : s'adapte rapidement aux nouvelles menaces sans oubli catastrophique des anciennes
• M4 — détecteur énergétique multi-granularité : combine des caractéristiques au niveau du nœud, du sous-graphe et du graphe pour classer une nouvelle attaque comme anomalie hors distribution d'entraînement
• Tests — 100 tours de déploiement sur 5 benchmarks et 4 topologies de systèmes multi-agents

Pourquoi les défenses classiques échouent-elles ?

Les défenses classiques échouent parce qu'elles traitent le déploiement comme un « monde fermé » et perdent en précision dès que la distribution des attaques ou du comportement normal s'éloigne de l'échantillon d'entraînement. Selon arXiv, OpenEvoShield résout ce problème grâce à des vitesses d'apprentissage distinctes : le côté attaque s'ajuste rapidement, tandis que la frontière de la norme est mise à jour lentement, ce qui empêche le système de confondre une dérive progressive avec une attaque. Sur 100 tours, les expériences ont montré que la méthode surpasse à la fois les approches statiques et les approches continual-based.

«

OpenEvoShield surpasse les méthodes statiques et les méthodes continual-based, en détectant la plupart des attaques jamais rencontrées auparavant avec un faible taux de faux positifs », indique le résumé du preprint sur arXiv.

Ce que cela signifie

À mesure que les entreprises assemblent des chaînes de travail à partir d'agents LLM, la sécurité des échanges inter-agents devient une tâche d'ingénierie à part entière. OpenEvoShield trace une direction : la défense doit apprendre en continu et en temps réel, en distinguant l'évolution des attaques de la dérive naturelle du système.

Questions fréquentes

Qu'est-ce qu'une attaque via la communication inter-agents ?

C'est lorsqu'un attaquant insère une instruction malveillante dans le message d'un agent, qui se propage ensuite dans le système à mesure que les agents échangent des données. Selon la description des auteurs, il s'agit d'une menace clé pour les systèmes multi-agents LLM dans les tâches critiques pour la sécurité.

Sur quoi OpenEvoShield a-t-il été testé ?

Selon le preprint, la méthode a été soumise à 100 tours de déploiement sur 5 benchmarks et 4 topologies de systèmes multi-agents. Dans ces conditions, elle a surpassé les approches statiques et continual-based, en captant la plupart des nouvelles attaques avec un faible pourcentage de faux positifs.