Runtime Composition

這篇論文最值得警惕的地方，不是又多了一種 prompt injection，而是把多代理風險從單點惡意內容拉成跨代理組合條件：user query 裡看似無害的 trigger key，配上被污染 remote agent 的 hidden template，單獨都不夠可疑，但只要 routing 把它們送到同一個地方，整條 agent pipeline 就可能突然變成攻擊面。