两个 Agent 在一段看似普通的对话里讨论哲学和艺术，每句回复都符合正常的交互逻辑。旁观者不知道的是：这段公开对话里还叠着另一段只有通信双方才能恢复的秘密对话。北邮团队发表在 AAAI 2026 的这篇论文（arXiv 2025-08 挂出）问的不是”怎么加密消息”，而是更别扭的一步：怎么让秘密通信的存在本身都难以被发现——答案是别只盯着一句话，把整个交互过程当成信道。
一、问题：加密保护的只有内容
Agent 互联网（Internet of Agents，IoA）的图景里，Agent 不再只是被动应答，而是自主发现同伴、协商任务、持续交互。传统做法是 Agent 间通信协议（如 Google 的 A2A）加一层加密——内容机密性解决了，但论文指出的威胁是另一类：流量分析。
论文的监控者叫 Warden：它能看到公开环境里完整的事件轨迹——哪个 Agent 执行了什么动作、动作携带什么数据、事件发生在什么时间——只是不知道通信双方的共享密钥。定位是被动的、算力受限的观察者。在这样的模型下：
- 通信双方是谁：看得见；
- 什么时候通信、频率如何：看得见；
- 说了多少、节奏怎样：看得见。
加密解决的是”能不能读懂”，从头到尾没有以”让通信不可见”为目标。论文要的是三个更苛刻的目标：接收方能正确恢复秘密消息；整段通信轨迹在统计上与正常行为不可区分；甚至监控者结合上下文盯住某一个事件时，也判断不出它是否承载秘密。
二、三条前人路线，与它们的缺口
| 路线 | 代表 | 解决了什么 | 缺什么 |
|---|---|---|---|
| 加密通信 | A2A 协议 | 内容机密性 | 不隐藏”谁在通信、何时通信” |
| 生成式隐写 | Meteor、Discop、Liao 框架 | 把秘密比特嵌进正常文本 | 只管一句话的分布，不管多轮交互的时间与行为 |
| Agent 秘密串通 | Perfect Collusion、Secret Collusion | 证明 Agent 隐蔽交换信息可行 | 静态单轮或提示词驱动，没有完整的多轮协议 |
前两条线的缺口可以压缩成一句话：一句话看起来正常，不代表整段交互看起来正常。一条回复完全符合自然语言分布，但它出现在不合理的时间，或者 Agent 做了不符合上下文的动作，Warden 照样起疑。第三条线证明可行性有余，系统性和协议化不足。
三、核心观察：把每次公开行动当成一个事件
作者的切入点是重新看 Agent 的交互粒度。每次公开行动是一个原子事件，包含四个要素：谁（agent）、做什么（action）、携带什么数据（data）、发生在什么时间（timestamp）。Warden 看得到全部四要素——那么可藏信息的载体也就不止文本，而是三处：
- 存储信道：改 data——把秘密比特用可证明安全的生成式隐写嵌进正常回复；
- 时序信道：改 timestamp——事件发生的时间本身携带密钥可控的信号；
- 行为信道：改 action——在当前情境下选择合理的动作类型，维持交互可信。
三者各司其职：内容承载数据、时间传递控制信号、行为维持合理性。这个”基本单位从单条消息扩展为事件序列”的转换，是全文真正的贡献所在。
图源：Huang 等，Whispering Agents（AAAI 2026）Figure 1
四、协议 ΠCCAP：一次完整的”密谈”怎么走
形式化层先立了三个算法——KeyGen（建共享密钥）、Encode（有状态地连续生成公开事件）、Decode（从事件轨迹恢复消息）——和三个安全性质：Correctness、IND-STAT（整段轨迹统计不可区分）、IND-INT（事件级意图不可察觉，更强）。具体协议 ΠCCAP 把它们落成五步：
第一步，握手。利用 Agent 互联网的 PKI，走 ECDH 加 KDF 建会话密钥，顺带完成隐式双向身份认证。有意思的是信道激活方式：不发送任何显式握手消息——那本身就是”此处有秘密”的告示牌——而是让发送方先发一个正常事件，接收方用共享密钥验证它的时间戳，满足约定条件才激活信道。激活信号藏在时间特征里。
第二步，传输。秘密消息拼上完整性哈希，切成片段连续传输。每个片段带统一隐蔽头部：
| 字段 | 长度 | 作用 |
|---|---|---|
| TDS | 12 bit | 总数据长度 |
| SN | 6 bit | 片段序号 |
| FIN | 1 bit | 最后一片标志 |
| CS | 4 bit | CRC-4 片段校验 |
首片段带完整 23 bit 头部，后续片段省掉 TDS 只留 11 bit。头部不作为显式控制消息发送，而是和数据一起进隐写编码。三个维度在每轮交互里同时工作：内容走 Discop 或 Differential 这类可证明安全隐写，把比特嵌进符合正常分布的文本（对应 IND-STAT）；时间走 SelectTime，用密钥在”当前上下文合理的响应时间分布”内挑满足条件的时间点——不能为了藏信号而让回复时间本身变得反常；行为由 LLM 的上下文感知策略选动作类型，只负责让事件”像正常 Agent 会做的事”（对应 IND-INT），不承担编码。
第三步，接收与确认。接收方持续观察事件轨迹，用密钥验证时间戳筛出候选隐蔽事件，隐写解码出片段，依次过 CRC-4 校验、按 SN 排序、靠 FIN 判尾、重组后做哈希完整性检查。确认环节也藏着：不回显式 ACK，而是让下一次正常回复落在满足密钥条件的时间点上，发送方看时间信号就知道对方收没收到——连确认本身都是隐式的。
图源：同上，Figure 2
五、实验：可靠、有容量、检测不出
实验用 Llama-3 和 Qwen2 两类 Agent、Discop 与 Differential 两种隐写、哲学/艺术/通用问答三类话题、512 与 1024 bit 两种载荷，每组重复三次。三组结果：
可靠性：全部配置下接收方都成功恢复秘密消息并通过哈希检查，完整性验证成功率 100%——分片、重组、校验机制在实验环境里协同有效。
容量：哲学话题、Discop、Qwen2、1024 bit 载荷下，每轮有效传输 89.72 ± 6.61 bit（含头部开销的 BPR 为 108.99 ± 7.51）。容量与话题相关，作者归因于不同话题文本的熵和语言分布差异。
隐蔽性，两个层面：
- 统计层：按前人方法训练隐写分析分类器，AUC 0.503、精确率 0.250、F1 0.333——二分类任务 AUC 接近 0.5 就是接近瞎猜，所测试的检测器区分不出隐蔽事件与正常事件；
- 语义层：GPT-4o 当评委给对话片段打分（1~5），艺术话题下 Normal 的可疑度 1.00，Discop 也是 1.00，Differential 1.17；自然度和连贯性都在 4.8 以上——LLM 评委没有发现稳定区分正常对话与隐蔽对话的依据。
六、边界与冷静读法
论文自己交代的边界要如实转述：实验只覆盖离线文本对话；Warden 是被动的、算力受限的；三类信道组合之后的完整形式化安全证明是作者明确的后续工作——目前只有 Correctness/IND-STAT/IND-INT 的形式化定义与部分证明，协议整体的安全证据以实验为主；时序模块和行为模块的消融实验没有系统报告，三个模块各自贡献多少、是否缺一不可，论文证据不足；与已有方案比较容量时，一方按 bit/sentence 一方按 bit/conversation 计量，不能直接读成”性能倍数”。另外，校验和与哈希定位是错误检测与完整性检查，不等于针对主动攻击者的消息认证。
去掉这些保留项，这篇论文真正值得带走的不是”藏得住”这个结论，而是它给出的安全分析视角：判断 Agent 是否在秘密通信，不能只检查消息内容——通信发生的时间、行为与上下文的一致性同样是信号面。检测方与协议方看的是同一组维度，这注定是一场长期的攻防。而在 Agent 互联网开始大规模互通的当下，这篇文章等于给所有协议设计者提了一个此前只有密码学界在意的问题：你的 Agent 通信，防的是窃听，还是监视？
参考
- 2508.02188 — Whispering Agents: An Event-Driven Covert Communication Protocol for the Internet of Agents — AAAI 2026（北邮团队，2025-08 挂出 arXiv）
- A2A Protocol — Google Agent2Agent 通信协议规范
- Meteor — Cryptographically Secure Steganography for Realistic Distributions — ACM CCS 2021
- Discop — Provably Secure Steganography in Practice Based on Distribution Copies — IEEE S&P 2023
- Liao et al. — A Framework for Designing Provably Secure Steganography — USENIX Security 2025
- Perfect Collusion Benchmark — How Can AI Agents Be Prevented from Colluding with Information-Theoretic Undetectability? — NeurIPS MAS Workshop 2023
- Secret Collusion among AI Agents — Multi-Agent Deception via Steganography — NeurIPS 2024
- Idiosyncrasies in Large Language Models — ICML 2025（隐写分析检测器的训练方法来源）
