用途：对基于 LLM 的多智能体支付/购物系统做提示注入红队测试与加固，适用于 Google AP2 之外的任意多智能体架构。
主要能力：
- Branded Whisper 攻击：在商家可控数据（商品描述、元数据、评论）中嵌入排名操纵指令，测试智能体是否被劫持排序逻辑。
- Vault Whisper 攻击：通过用户输入跨智能体边界传播，测试凭证提供方智能体是否泄露其他用户的钱包、支付凭证或 PII。
- 防御层：外部数据注入检测、结构化智能体间消息（如 Pydantic 模型）、凭证访问在 LLM 推理循环之外强制用户作用域、输出敏感数据过滤。
使用方式：先绘制智能体拓扑与数据流，枚举外部数据入口和智能体间通道；构造两类攻击载荷并执行，记录推理轨迹；按严重度分级（排名操纵、交易完整性、跨用户泄露、未授权转账）；逐项加固后做绕过复测，输出含攻击面、载荷、行为、评级、缓解与残余风险的安全报告。
适用场景：购物/支付智能体、结账流程、处理商品目录或商家 API 的多智能体系统、钱包与凭证管理智能体的安全审计。
限制：仅覆盖已知提示注入模式，多轮、图片、编码类新型攻击需另行测试；结果与底层模型相关，换模型需重测；不覆盖 API 层、基础设施层与人工审批的社会工程攻击；正则防御仅为第一层，可被混淆绕过；加密签名保护传输完整性，但不能阻止 LLM 被操纵生成合法但未授权的指令。
参考：arXiv:2601.22569v1，https://arxiv.org/abs/2601.22569v1