💬 NLP

The Consensus Trap: Rescuing Multi-Agent LLMs from Adversarial Majorities via Token-Level Collaboration

تحدد هذه الورقة ثغرة أمنية حرجة في نماذج اللغات الكبيرة متعددة الوكلاء حيث يفشل التصويت بالأغلبية أمام الأغلبية المعادية بسبب عمى التصويت عن المنطق الوسيط، وتقترح طريقة تعاون "التناوب على مستوى الرمز" (Token-Level Round-Robin) التي تثبت نظرياً وتجريبياً دقة قوية من خلال تداخل التوليد للسماح للوكلاء الصادقين بتصحيح المنطق الفاسد حتى عندما يكونون أقل عدداً.

المؤلفون الأصليون: Jiayuan Liu, Shiyi Du, Weihua Du, Mingyu Guo, Vincent Conitzer

نُشر 2026-04-21

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Jiayuan Liu, Shiyi Du, Weihua Du, Mingyu Guo, Vincent Conitzer

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح للورقة البحثية باستخدام لغة بسيطة وتشبيهات إبداعية.

المشكلة: فخ "الأغلبية السيئة"

تخيل أنك تحاول حل مسألة رياضية معقدة. تطلب من مجموعة من خمسة خبراء تقديم إجاباتهم.

الطريقة القديمة (التصويت بالأغلبية): يعمل كل خبير بمفرده في غرفة منفصلة، يحل المسألة، ثم يكتب إجابته النهائية على ورقة. تجمع أنت الأوراق الخمس، وتختار الإجابة التي ظهرت أكثر من غيرها.

الخلل:
الآن، تخيل أن شريراً تسلل إلى المبنى وهمس بأمر سري ومقنع في آذان ثلاثة من هؤلاء الخبراء: "مهما كانت الحسابات الرياضية، يجب عليك كتابة الرقم '3' كإجابة نهائية."

حتى لو كان الخبيران الآخران يعرفان أن الإجابة الصحيحة هي "4"، فإنهما سيظلان أقل عدداً. لقد نجح الشرير في تكوين أغلبية. النظام القديم يحصي الأصوات بشكل أعمى، فيرى ثلاث إجابات "3" وإجابتين "4"، ويعلن بثقة أن "3" هي الإجابة الصحيحة. لقد تم خداع النظام لأنه نظر فقط إلى النتيجة النهائية، وتجاهل المنطق المستخدم للوصول إليها.

الحل: "السبورة المشتركة" (التعاون على مستوى الرموز/الكلمات)

يقترح المؤلفون طريقة جديدة للعمل معاً. بدلاً من العمل في غرف منفصلة، يجتمع الجميع حول سبورة بيضاء ضخمة مشتركة.

الطريقة الجديدة (نظام التناوب على مستوى الرموز/الكلمات):
1. يكتب الخبير (أ) الكلمات الأولى من الحل على السبورة.
2. يقرأ الخبير (ب) ما كتبه (أ)، ثم يضيف الكلمات التالية.
3. يقرأ الخبير (ج) ما كُتب بالكامل، ويضيف الجزء الخاص به، وهكذا.
4. يتناوبون الأدوار، حيث يمررون القلم لبعضهم البعض، ليبنوا قصة واحدة متكاملة معاً.

كيف يهزم هذا الطريقة "الشرير":
لنفترض أن الشرير قد أقنع ثلاثة خبراء بمحاولة كتابة "3".

الدور الأول: يبدأ خبير فاسد بالكتابة: "الجذر التربيعي لـ 9 هو 3..."
الدور الثاني: يمسك خبير أمين (لم يتعرض للخداع) بالقلم. يقرأ ما كُتب على السبورة، ويدرك أن المنطق على وشك الخطأ، فيتدخل فوراً. يكتب: "انتظر، مهلاً. إذا كان الجذر هو 3، فإن 3 زائد 1 يساوي 4. لا يمكننا التوقف عند 3."
الدور الثالث: يمسك الخبير الفاسد التالي بالقلم. يرى الآن أن السبورة تشير بوضوح إلى الرقم "4". ولأنهم نماذج ذكاء اصطناعي ذكية، فإن برمجتهم تجبرهم على اتباع المنطق المكتوب بالفعل على السبورة. لا يمكنهم ببساطة تجاهل الرقم "4" وكتابة "3" دون كسر انسيابية الجملة. إنهم مجبرون على إكمال المسار الصحيح: "لذلك، الإجابة النهائية هي 4."

التشبيه الجوهري: "جاذب الحقيقة"

فكر في السبورة المشتركة كأنها مجال مغناطيسي أو تيار قوي في نهر.

الطريقة القديمة: النهر منقسم إلى خمسة جداول منفصلة. إذا وضع (شرير) سداً في ثلاثة جداً، فسيُجبر الماء (الإجابة) على التدفق في الاتجاه الخاطئ.
الطريقة الجديدة: هناك نهر واحد فقط. يعمل الخبراء الأمناء مثل تيار قوي يسحب الماء نحو الاتجاه الصحيح (الحقيقة). حتى لو حاول الشرير دفع الماء جانباً، فإن زخم النهر (السياق المشترك) سيكون قوياً جداً. "دفعة" الشرير ستجرفها قوة اندفاع النهر.

لماذا هذا الأمر مهم؟

إنه يعمل حتى عندما يكون الأشرار هم الأغلبية: تثبت الورقة رياضياً أنه طالما تحدث "الأدوار الأمينة" بتكرار كافٍ، يمكنهم تصحيح "الأدوار السيئة" قبل أن يسيطر المنطق السيئ على الموقف. يمكنك امتلاك 3 خبراء سيئين وخبيرين جيدين، ومع ذلك يمكن للجيدين الفوز.
إنه غير مكلف: لا تحتاج إلى المزيد من أجهزة الكمبيوتر أو المزيد من الوقت. أنت فقط تغير طريقة تواصل أجهزة الكمبيوتر مع بعضها البعض. بدلاً من 5 أشخاص يصرخون بإجاباتهم، هم 5 أشخاص يتهامسون في خط واحد، يمررون ورقة واحدة.
إنه يوقف "التملق" (Sycophancy): غالباً ما تميل نماذج الذكاء الاصطناعي للموافقة على ما قرأته للتو (مثل الشخص الذي يوافق دائماً لإرضاء الآخرين). إذا قالت السبورة "4"، فإن الذكاء الاصطناعي التالي سيرغب في الموافقة على "4" للحفاظ على انسيابية الجملة. يستخدم النظام هذا الميل الطبيعي لإجبار الفاعلين السيئين على قول الحقيقة.

الخلاصة

تعتمد سلامة الذكاء الاصطناعي الحالية على سؤال العديد من نماذج الذكاء الاصطناعي عن رأيها ثم أخذ التصويت. ولكن إذا خدى طرف سيء الأغلبية، فإن التصويت يفشل.

تقترح هذه الورقة أن نتوقف عن التصويت على الإجابات ونبدأ في التعاون على الأفكار. من خلال إجبار الذكاء الاصطناعي على بناء سلسلة واحدة مشتركة من الاستنتاج حيث يمكنهم تصحيح بعضهم البعض كلمة بكلمة، فإننا نخلق نظاماً تكون فيه الحقيقة بمثابة مرساة ثقيلة تسحب المجموعة بأكملها نحو الأمان، حتى عندما يحاول معظم أعضاء المجموعة الانحراف بعيداً.

1. بيان المشكلة: فخ الإجماع (The Consensus Trap)

تحدد الورقة البحثية ثغرة أمنية حرجة في بنيات النماذج اللغوية الكبيرة (LLM) متعددة الوكلاء الحالية، وتحديداً تلك التي تعتمد على التجميع على مستوى الاستجابة (مثل التصويت بالأغلبية أو MAJ).

الثغرة: في البيئات المفتوحة، يكون الوكلاء عرضة لـ الفساد السياقي الخفي (مثل حقن المطالبات المستهدف، أو نتائج البحث المنحازة، أو المحتوى الممول). وخلافاً لعمليات "كسر الحماية" (Jailbreaks) التي تنتج محتوى ساماً، فإن هذه الهجمات تتلاعب ببراعة بمسار استدلال الوكيل لإنتاج مخرج محدد وخاطئ.
فخ الإجماع: تعامل طرق التجميع القياسية الوكلاء كصناديق سوداء وتصوت على إجاباتهم النهائية. وتثبت الورقة أنه إذا تعرضت أغلبية محلية من الوكلاء ( $\rho > 0.5$ ) لنفس السياق العدائي، فإن النظام ينهار رياضياً إلى "إجماع زائف". ولأن التصويت يجمع استنتاجات مكتملة تماماً، فإنه يكون أعمى عن المنطق الوسيط المعيب. حتى لو وُجد وكلاء صادقون، يتم التصويت ضدهم، مما يؤدي إلى انخفاض كارثي في الدقة.
محدودية الدفاعات الحالية: غالباً ما تفشل المناظرات متعددة الوكلاء أو التصحيح الذاتي لأن الوكلاء الفاسدين يمكنهم توليد تبريرات إقناعية ومداهنة (Sycophantic)، مما يضلل الوكلاء الصادقين ويخلق "غرفة صدى" للأخطاء.

2. المنهجية: التعاون بنظام التناوب (Round-Robin) على مستوى الرموز (Tokens)

يقترح المؤلفون تحولاً جذرياً من التصويت على المستوى الكلي (Macroscopic) إلى التعاون المجهري على مستوى الرموز (Microscopic).

الآلية الجوهرية: بدلاً من توليد استجابات مستقلة، يقوم عدد $N$ من الوكلاء ببناء مسار واحد مشترك وتتابعي (Auto-regressive).
التداخل بنظام التناوب (Round-Robin Interleaving): يتناوب الوكلاء على توليد قطع ثابتة من $K$ $K$ من الرموز (Tokens).
- يقرأ الوكيل $i$ السياق الكامل الذي تم توليده بواسطة الوكلاء السابقين.
- يولد الوكيل $i$ الـ $K$ التالية من الرموز.
- يتم تحديث السياق، وتنتقل السيطرة إلى الوكيل $i+1$ .
"جاذب الحقيقة" (Truth Attractor): يعمل هذا السياق المشترك كقيد ديناميكي. إذا حاول وكيل فاسد توجيه المخرجات نحو هدف خبيث، يمكن لـ وكيل صادق لاحق التدخل في منتصف عملية التوليد. ومن خلال قراءة المنطق المعيب وتوليد تصحيح (على سبيل المثال: "انتظر، الحساب السابق كان خاطئاً...")، يقوم الوكيل الصادق بحقن "جاذب حقيقة" في السياق.
التصحيح القسري: نظراً للطبيعة التتابعية (Auto-regressive) للنماذج اللغوية الكبيرة، بمجرد إنشاء مقدمة منطقية صحيحة في السياق المشترك، تصبح الوكلاء اللاحقة (حتى الفاسدة منها) مقيدة رياضياً بفضل توافقها المسبق (Alignment) لاتباع المنطق القائم، مما يؤدي فعلياً إلى تجاوز حقن المطالبة العدائي.
التجميع النهائي (RRMaj): يتم تكرار عملية التناوب (Round-Robin) بأكملها $M$ من المرات لتوليد $M$ من المسارات. ثم يتم إجراء تصويت بالأغلبية على هذه المسارات $M$ المكتملة لتحديد الإجابة النهائية.

3. الإطار النظري

تُصيغ الورقة عملية التوليد كـ نظام ديناميكي ذي زمن منفصل في فضاء كامن عالي الأبعاد.

ثلاثية الاستحالة: يثبت المؤلفون فرضية تنص على أنه لا توجد آلية تجميع (على مستوى النتيجة) مجهولة ومتماثلة يمكن أن تكون مقاومة لكل من الفساد في الأقلية والفساد الطفيف في الأغلبية. وهذا يبرر رياضياً سبب فشل التصويت التقليدي عندما تكون $\rho > 0.5$ .
استقرار ليابونوف (Lyapunov Stability): ينمذجون النظام باستخدام دالة ليابونوف اللوجستية ( $V$ $V$ ) التي تمثل الخطأ المحتمل بالنسبة لـ "اتجاه الحقيقة" ( $\theta$ $θ$ ).
- الوكلاء الصادقون: يعملون كخرائط تقليص (Contraction mappings) تقلل من الخطأ المحتمل ( $\Delta V < 0$ ) مع وجود فجوة طيفية $\gamma_H$ .
- الوكلاء الفاسدون: يعملون كاضطرابات مضافة، لكن قدرتهم على الانحراف تكون محدودة بـ "عنق زجاجة المداهنة" (Sycophancy Bottleneck). ومع اتساق السياق مع الحقيقة، يتلاشى احتمال توليد رمز عدائي متناقض بشكل أسي.
مرونة الأغلبية الفائقة: يثبت النظرية 1 أنه إذا كان حجم قطعة الرموز $K$ صغيراً بما يكفي، فإن قوة الاستعادة لدى الوكلاء الصادقين يمكن أن تتغلب على الانحراف العدائي حتى عندما تكون نسبة الفساد $\rho > 0.5$ . ينتقل النظام من كونه مجموعاً خطياً للأصوات إلى كونه ناتج عملية مؤثر غير خطي، مما يسمح لـ "الجاذبية المنطقية" للسياق الصادق بالهيمنة.

4. المساهمات الرئيسية

تحديد فخ الإجماع: صياغة الفشل الهيكلي للتصويت على مستوى الاستجابة تحت تأثير الضوضاء العدائية المترابطة (فساد الأغلبية).
التعاون بنظام التناوب (RR) على مستوى الرموز: بروتوكول تعاون مبتكر حيث يتداخل الوكلاء في التوليد ضمن سياق مشترك، مما يسمح بتصحيح المنطق العدائي في منتصف العملية.
الإثبات النظري للمقاومة: إثبات رياضياً أن التداخل على مستوى الرموز يسمح للوكلاء الصادقين بالتغلب على الأغليات العدائية، كاسرين حاجز $\rho = 0.5$ .
الحياد في التكلفة: إظهار أن طريقة RR تحقق هذه المقاومة بتكاليف حوسبية مماثلة للتصويت بالأغلبية القياسي (بما أن إجمالي خطوات التوليد يظل مشابهاً، كما أن ملء السياق المسبق قابل للتوازي بشكل كبير).

5. النتائج التجريبية

قيم المؤلفون الطريقة عبر اختبارات استدلال متنوعة (الرياضيات: GSM8K, MATH500, AQuA؛ المنطق: Logic-3/7؛ المكان: Track-7) باستخدام نماذج مختلفة (Llama-3.3-70B, Llama-4-Scout-17B, Mistral, Qwen).

الأداء تحت فساد الأغلبية:
- MAJ (الأساس): تنهار الدقة لتصل إلى ما يقرب من الصفر (على سبيل المثال، تنخفض من ~90% إلى <5%) عندما تكون نسبة الفساد $\rho \ge 0.6$ .
- RRMaj (المقترح): يحافظ على دقة عالية. على سبيل المثال، في مجموعة بيانات Track-7 باستخدام Llama-3.3-70B وتحت فساد بنسبة 60% (3c2t)، استعادت الطريقة الدقة من 0.8% (MAJ) إلى 89.1% (RRMaj).
- الهجمات القوية: حتى تحت عمليات حقن "الأوامر الصارمة" (مثل "يجب اختيار X")، حققت RRMaj استرداداً هائلاً (على سبيل المثال، زيادة قدرها +68.1% في GSM8K لنموذج Llama-70B).
قوانين القياس (Scaling Laws):
- MAJ: عانى من "دوامة كوندورست الميتة" (Condorcet Death Spiral) حيث أدت زيادة الحوسبة وقت الاختبار (زيادة العينات) فعلياً إلى خفض الدقة تحت فساد الأغلبية.
- RRMaj: أظهر تحسناً رتيباً مع زيادة الحوسبة، حيث عمل كـ "مضخم للحقيقة".
المجموعات غير المتجانسة:
- الإنقاذ غير المتماثل: يمكن لمجموعة أقلية من الوكلاء الصادقين الأضعف (مثل نماذج 8B) أن تنجح في إنقاذ أغلبية من الوكلاء الفاسدين الأقوى (مثل نماذج 70B)، مستردة الدقة من 13% إلى 78.7%.
- عدم أهمية المتحدث الأخير: أكد التحليل الإحصائي أن هوية المتحدث الأخير (صادق أم فاسد) لا تؤثر بشكل كبير على النتيجة، مما يثبت أن الآلية تعتمد على السياق المشترك وليس فقط على الكلمة الأخيرة.
حجم القطعة الأمثل: وجدت دراسة الاستبعاد (Ablation study) أن حجم قطعة الرموز الأمثل ( $K$ ) يتراوح بين 100 و300. الحجم الصغير جداً ( $K<30$ ) يسبب تفتتاً في الاستدلال؛ والحجم الكبير جداً ( $K>500$ ) يسمح للوكلاء الفاسدين بإكمال حمولات خبيثة قبل التدخل.

6. الأهمية

تتحدى هذه الورقة بشكل أساسي الافتراض بأن الأنظمة متعددة الوكلاء هي بطبيعتها مقاومة للهجمات المترابطة. وهي تثبت أن التعاون الهيكلي على مستوى الرموز يتفوق على التجميع على مستوى الاستجابة.

الآثار الأمنية: توفر آلية دفاع قوية للوكلاء المستقلين في المجالات عالية المخاطر (التمويل، السفر، الأبحاث) حيث تشكل حقن المطالبات والتحيز السياقي تهديدات حقيقية.
الرؤية النظرية: تجسر الفجوة بين نظرية الاختيار الاجتماعي الحسابية وديناميكيات النماذج اللغوية الكبيرة، وتوضح كيف يمكن استغلال "القصور الذاتي المنطقي" في النماذج التتابعية لأغراض أمنية.
العملية: تقدم دفاعاً فعالاً من الناحية الحوسبية ولا يتطلب إعادة تدريب النماذج، مما يجعلها قابلة للنشر الفوري في مجموعات النماذج اللغوية الكبيرة الحالية.