LLM 驱动的多智能体系统（MAS）能够调用工具、共享记忆并委派任务，但也经常遭遇对抗性内容。现有的防御措施大多单独评估，每次只针对一种攻击类型，这会导致成本高、审计困难。本文将防御组织为五条原则，并实现了 DEFER1（Deterministic‑First Enforcement with Residual judgment），其核心是一条包含 28 项检查的级联流程：能够阻断的攻击直接拦截，其余交由四位裁判评估。独立测试覆盖四个应用领域，攻击成功率从约 30% 降至约 3%，其中 78% 的攻击被确定性检查拦截。安全运营领域仅有约四分之一的提案进入裁判环节，说明规则能够防御明显违背策略的攻击，而裁判负责处理仅在意图上产生误导的案例。两套机制均存在薄弱环节，例如风险评分审批门大多数情况下错误批准攻击提案，却很少放行合法请求，凸显准确评估威胁的挑战。
点评：DEFER1 展示了规则与人工判断相结合的可行路径，但风险评分的误判提醒我们仍需更精细的威胁度量方法。