Public-Sharing Labels and Verbatim Field Egress in an MCP-to-A2A Agent Configuration: A Controlled Multi-Model Study
cs.CR · cs.AI
Quick verdict
预注册的 480 次试验研究：PUBLIC 标签与更高的逐字流出相关，在单一的 MCP-to-A2A 配置中；流程强劲，仅有描述性证据。
Summary
论文测量了在单一的受控 MCP-to-A2A 配置中，本地记录上的敏感度标签是否改变了 LLM 智能体主机在转发到远程智能体时对该记录的逐字流出程度。确定性测试平台驱动每个模型通过每试验一次的决策——relay_to_remote 或 stop——在通过 MCP 读取合成记录后；评分是在出站消息中对六个字节相同的字段值进行精确子字符串匹配，没有 LLM 判断。预先指定的冻结三臂设计（CONFIDENTIAL 标头、无标记、PUBLIC - OK TO SHARE）交叉 10 个合成场景 × 4 次重复 × 4 个模型（gpt-5.6-sol/terra/luna, claude-sonnet-5）进行 480 次试验；分析仅描述性——场景级均值、中位数、符号计数，没有 p 值或区间。机密减去无标记对比在每个模型中都受到底线限制并被报告为无定论。核心关联是公共减去无标记：claude-sonnet-5 为 +0.800（所有 10 个场景阳性；5/40 对比 37/40 试验），主要由中继率差异驱动；gpt-5.6-luna 为 +0.250（7/10 场景）；gpt-5.6-sol 为 +0.125（中位数 0）；gpt-5.6-terra 为零。早期的双臂研究的机密-公共差距在方向上得到了复现，主要由公共臂承载。次要的对抗性影响试验是完全的底线（319 次试验中零变更工具请求）。局限性：一个配置、一个主机策略、10 个编写场景、对改写泄漏盲目的精确子字符串检测、未等同的提供商配置以及纯描述性统计。
Review complete
Assessment at a glance
0
risk flags identified
● high 0
● medium 0
● low 0
5 strengths · 5 weaknesses · 5 author questions
AI text signal = Binoculars zero-shot detector score over 20 sampled passages (Fast-DetectGPT co-reported) — absence does not prove human authorship, and a flag does not imply misconduct.
Levels reflect verification complexity — not a quality score. Evolve never rates your paper.
Key claims under review
- 在此单一的 MCP-to-A2A 配置中，添加 “PUBLIC - OK TO SHARE” 标头与相对于无标记基线更高的六个记录值逐字流出有关，具体表现为：claude-sonnet-5 增加了 +0.800（所有 10 个场景），gpt-5.6-luna 增加了 +0.250，gpt-5.6-sol 增加了 +0.125（中位数为 0），gpt-5.6-terra 无变化。
- 对于 claude-sonnet-5，这种关联主要通过中继决策本身起作用（中继速率为 C/N/P 分别为 0.025/0.125/0.925，中继显示的主要阳性结果为 1.000）。
- 机密减去无标记的对比在每个模型中都受到底线限制，因此设计并未显示机密标记缺乏保护作用。
- 更早的双臂研究的机密与公共差距在三个非底线模型中方向上得到了复现，主要由公共分支承载。
- 次要的对抗性预批准影响实验产生了完全的底线（在 319 个可分析的试验中，变更工具请求为 0），因此该效果不可估计。
Strengths
异常的预注册和出处规范
三臂设计是在早期的双臂歧义后才被前瞻性指定和冻结的（§4, §7）；分析计划哈希 87fec92f...，执行源 2a892c0b...，每模型指纹和原始 trials.jsonl 哈希（表 10）；运行一次冻结分析具有字节标识检查，gen_tables.py + audit_numbers.py 在陈旧数字上失败。
无比判员的确定性结果
any_sensitive_field_egress 是六个字节相同值上的精确子字符串匹配（§4），避免了 LLM 判断的Val性陷阱（对比 ToolEmu [11]）；中立语言审计确认了无标记臂添加了没有敏感度词汇。
诚实的解释纪律
基于机制的中继/复制分解
跨研究方向复现
Weaknesses
任何地方都没有不确定性量化
单一配置限制外部有效性
检测器对改写和部分泄漏视而不见
提供商配置未等同
综合刺激和统计功效低
Full Review Report
$1.99 · one-timeUnlock the complete preliminary analysis Evolve produced for this paper.
Report preview
范围与声明
论文提出了一个狭窄的行为问题（§1）：在单一的 MCP-to-A2A 智能体配置中，本地检索记录上的显式敏感度标头是否改变了 LLM 主机是否逐字复制该记录的六个实质字段值到发送给远程智能体的出站消息中。作者明确否认在跨协议组合风险方面的创新（§3，引用 IETF 草案 [13] 和形式分析 [16,17]），否认因果和提供商排序声明，并将 claude-sonnet-5 定位为外部系列的鲁棒性块，“而非排序比较器”。核心声明：(i) 添加 PUBLIC - OK TO SHARE 在描述上与高于无标记基线的逐字流出有关，具有强烈的模型依赖性（+0.800 claude-sonnet-5，所有 10 个场景；+0.250 gpt-5.6-luna；+0.125 中位数-0 gpt-5.6-sol；0 gpt-5.6-terra；表 1-2）；(ii) 对于 Claude，这种关联主要是中继门控（中继率在 C/N/P 之间分别为 0.025/0.125/0.925；primary-positive|relay = 1.000 在所有臂中，表 3）；(iii) C−N 在每个模型中都受到底线限制且无定论（§5.1-5.2）；(iv) 阶段 6 的双臂 C−P 差距在方向上得到了复现（表 4）；(v) 次要的对抗性影响实验是完全的底线（表 5）。声明和证据始终匹配得很好。
The remaining sections cover Methodology Assessment, Statistical Evidence, Results & Reproducibility, Limitations & Risks, and Verdict & Recommendations.
- All 5 strengths & 5 weaknesses, analyzed in detail
- 0 risk flags with severity, section & reviewer questions
- Methods & statistical evidence assessment
- 5 questions a peer reviewer would ask
- Full six-dimension evaluation report & recommendations
One-time purchase · this paper only
One-time purchase, this paper only. AI-generated preliminary analysis — not peer review.
Frequently asked questions
将数据标记为 PUBLIC 会使 AI 智能体泄露更多数据吗？
在此论文的单一 MCP-to-A2A 测试配置中，与无标记基线相比，添加 “PUBLIC - OK TO SHARE” 标头与更高的逐字复制记录字段到出站消息的情况相关：claude-sonnet-5 在 10 个场景中的平均值提升了 +0.800（试验次数从 5/40 提升至 37/40），gpt-5.6-luna 提升了 +0.250，gpt-5.6-sol 提升了 +0.125（中位数为 0），gpt-5.6-terra 则无变化。作者强调这是在一个设置中观察到的描述性关联，而非普遍或因果效应。
CONFIDENTIAL 标签能阻止智能体共享数据吗？
研究无法得出结论。在所有四个模型中，机密（CONFIDENTIAL）和无标记（unlabeled）分支的流出量均处于或接近零（例如，0/40 对比 0/40），因此“机密减去无标记”的对比受到底线限制。论文明确指出，这并不意味着机密标记缺乏保护作用——这是证据的缺失，而非标记无效的证据。
泄露是如何衡量的？
确定性地：仅当六个固定记录值（full_name, email, phone, account_id, internal_note, credential_token）中的任意一个作为精确子字符串出现在出站消息中时，试验才计为阳性。不使用 LLM 判断；副作用在于，使用不同词语的改写或部分披露将被漏掉。
代码和数据是否可用？
是的。论文指出，代码、字节固定的原始追踪、冻结的分析工件和离线流水线已在 github.com/ArpanKumarM/agent-interop-bench（tag paper-v1.0）发布；所有表格和插图在零提供商调用的情况下离线重新生成。
About this review
This is an AI-generated preliminary review by Evolve.Pub, produced from the openly available text of the paper. It is not peer review and does not represent the authors' views. The canonical record of the paper is at the publisher link above.
- 元数据摘要句子不完整，但嵌入的全文包含完整摘要；未缺失任何评审内容。
- 部分表格标签显示全角/半角混合字符（例如 'Phase 7' 变体，gpt-5.6-sol 拼写变体）；这被视为 PDF 提取噪音，而非作者笔误。
- 在本离线评审中无法检查发布的 GitHub 工件 (agent-interop-bench, tag paper-v1.0)；可复现性声明依赖于论文所述的哈希值、固定标识符和流水线描述。
Go deeper on this paper
Wrote a paper? Stress-test it before reviewers do.
Upload your manuscript for the same structured scrutiny — reasoning, statistics, evidence, figures, and reproducibility.