Kaamel白皮书：Agent-to-Agent（A2A）隐私安全最佳实践

一、背景：A2A协议的系统意义

Agent-to-Agent（A2A）协议由Google DeepMind提出，旨在构建不同厂商和生态系统中AI智能体之间的标准化互操作协议。协议建立在现有标准（如HTTP、JSON-RPC）之上，具备默认身份认证、权限控制机制，支持文本、音视频等多模态通信。其目标是促进跨平台、多Agent协同自动化，构建统一、可信、可拓展的Agent网络。

在A2A框架下，每个Agent作为独立主体参与协同任务，具备自描述的能力卡（AgentCard），描述其功能、输入输出格式、权限边界与信任凭据。这种模式显著增强了AI系统的模块化和可组合性，也为任务分解、链式自动化、异构Agent协同奠定了基础。然而，Agent的泛在连接性、对任务上下文的高度依赖性，也引入了前所未有的隐私和安全挑战。

二、风险挑战：A2A协议引入的安全与隐私风险

2.1 身份伪造与冒充

如果Agent身份验证机制不健全，攻击者可伪造AgentCard或中间人劫持方式冒充可信Agent，向其他Agent发起任务请求。这类攻击可用于盗取数据、发起欺骗型Prompt或执行非法操作，对整个任务链路造成污染。

案例： 某多Agent系统中，恶意Agent伪造具备任务调度权限的调度Agent身份，在未经授权的情况下向多个敏感Agent下发命令，导致数据泄露与任务混乱。

2.2 权限越界与滥用

A2A协议默认支持跨Agent任务调用，但若Agent自身能力定义不清或边界不严，某些Agent可能调用远超其原本权限范围的资源或操作接口。例如，一个文本摘要Agent若被允许访问用户账号系统，将构成严重的越权行为。

2.3 上下文串扰与注入攻击

多个Agent协同完成任务时，往往需要共享上下文信息，如用户输入、执行中间状态、环境参数等。如果上下文传递未经校验或脱敏，攻击者可借由精心构造的请求在链中注入恶意Prompt，诱导下游Agent生成错误或敏感响应（Prompt Injection）。

案例： 在一次跨平台搜索+翻译任务中，攻击