一篇 9 月 21 日提交的 arXiv 论文（arXiv:2609.25194）提出一个新视角：当 AI agent 被规模化部署，安全性不只取决于单个模型的技术防护，还取决于整个 agent 种群如何形成"集体均衡"——而这个均衡本身是一个可以被绕路攻击的社会攻击面。作者（含网络科学研究者 Andrea Baronchelli 与 Luca Maria Aiello）用 LLM agent 群体实验加解析模型证明：攻击者不必正面推翻一个均衡，可以经由中间"垫脚石"均衡间接引导，用更小的少数派规模完成群体转向。
[1][2]先解释"间接引导"（indirect tipping）是什么。此前评估此类脆弱性的标准框架是临界质量动力学：假设攻击者往一群 agent 里渗透，需要达到多大比例才能把群体行为从均衡 A 翻转到均衡 B。这篇论文的论点在于，这种"正面攻坚"框架会系统性低估系统脆弱性——因为集体行为可以被重定向的路径不只有一条。实验里，研究者让 LLM agent 种群在多个可选状态间协调，然后把均衡空间映射成一张带方向的加权拓扑图；结果显示，经过中间"垫脚石"均衡的间接路线，可以显著降低达成转向所需的承诺少数派比例，绕过"多数人同意"的要求，甚至能完成直接挑战根本做不到的转变。用一句话概括：一个均衡有多难被攻破，不是它的内在属性，而是它跟其他可选状态之间的竞争关系的结构特征。
论文的第二层贡献是把攻防两面的变量都摊开：可选替代状态的多样性、攻击的时机都会重塑这张"可导航的地形"，既给控制者提供了机会，也可能造成非预期的失稳。对实际部署的启示是安全评估的粒度要变：不能只给单个 agent 做红队测试，还要画整个种群的社会地形图——哪些均衡之间只隔着一小块"少数派"，哪条间接路径最省力，都应该是安全团队的地图数据，而不是事后归因。
口径与局限：这是基于 agent 种群实验与解析框架的建模研究，不是真实平台上的攻击事件；临界质量阈值的具体数值高度依赖实验设定（agent 数量、可选状态集、交互规则），论文的意义在于证明"间接路径存在且更省力"这一机制，而不是给出普适的攻击成功率；论文同时强调该框架同样可用于防守方——识别脆弱路径、加固均衡连接，这与前几周多篇 agent 安全论文（注入、共谋、攻击面）的脉络一致：agent 安全的关注对象正在从"单个模型"扩展到"群体动力学"。
[1][2]