Poisoning Agentic Alpha: Adversarial Vulnerabilities Across Roles and Architectures in Multi-Agent Trading Systems
Diese Arbeit präsentiert die erste systematische empirische Studie, die zeigt, dass auf LLMs basierende Multi-Agenten-Handelssysteme von Natur aus anfällig für niederschwellige, rollenspezifische Adversarial Attacks sind, die auf Quelldaten und Prompts abzielen, was offenlegt, dass keine Kommunikationsarchitektur gegen die Ausbreitung korrumpierter Signale auf endgültige Finanzentscheidungen robust ist.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der geschäftigen Welt der modernen Finanzen ist eine neue Art von Arbeiter entstanden: der künstliche Intelligenz-Agent. Im Gegensatz zu einem einfachen Computerprogramm, das einer starren Liste von Anweisungen folgt, basieren diese Agenten auf großen Sprachmodellen – derselben Technologie, die fortschrittliche Chatbots antreibt. Sie können Nachrichten lesen, Markttrends analysieren und sogar Gespräche untereinander führen. In einem Multi-Agenten-Handelssystem werden diesen digitalen Arbeitern spezifische Aufgaben zugewiesen, ganz ähnlich wie in einer menschlichen Investmentfirma. Ein Agent könnte als Analyst fungieren und Schlagzeilen nach Hinweisen durchsuchen. Ein anderer könnte als Forscher dienen und die Vorzüge einer Aktie mit einem Kollegen debattieren. Ein dritter agiert als Trader, bereit zu kaufen oder zu verkaufen, während ein vierter als Risikomanager dient, dessen Aufgabe es ist, jegliche gefährlichen Bewegungen zu stoppen. Die Idee dahinter ist, dass diese spezialisierten Agenten durch Zusammenarbeit klügere und nuanciertere Entscheidungen treffen können, als es ein einzelnes Programm jemals hoffen könnte.
Diese eben beschriebene Zusammenarbeit schafft jedoch eine neue Art von Schwachstelle. So wie ein Gerücht durch ein menschliches Büro verbreitet werden und eine endgültige Entscheidung beeinflussen kann, kann ein einziges korrumpiertes Informationsstück durch dieses digitale Team wandern und das Ergebnis ruinieren. Wenn es einem Angreifer gelingt, die Daten zu vergiften, die ein Analyst liest, oder einen Forscher dazu zu bringen, für eine schlechte Idee zu argumentieren, kann dieser Fehler durch die gesamte Gruppe kaskadieren und zu realen finanziellen Verlusten führen. Da diese Systeme aus Forschungslaboren in Live-Märkte übergehen, in denen sie echtes Geld kontrollieren, ist das Verständnis darüber, wie sie getäuscht werden können, zu einer Angelegenheit von dringender praktischer Bedeutung geworden.
Ein Team von Forschern setzte sich zum Ziel, genau zu kartieren, wie diese digitalen Teams scheitern. Sie bauten eine simulierte Handelsumgebung mit fünf wichtigen Vermögenswerten auf, darunter Aktien wie Apple und Microsoft sowie eine Kryptowährung. Sie konstruierten eine Pipeline, in der die Agenten in vier verschiedenen Rollen kommunizierten: ein Analystenteam, das Nachrichten und Social-Media-Sentiments sammelt, ein Forschungsteam, das Marktbedingungen debattiert, ein Trader, der die endgültige Entscheidung trifft, und ein Risikomanager, der als Sicherheitsnetz fungiert. Die Forscher agierten dann als unsichtbare Saboteure und testeten, wie leicht sie die endgültige Entscheidung des Systems durch den Angriff auf verschiedene Teile des Prozesses manipulieren konnten. Sie hatten keinen Zugriff auf den internen Code der Agenten; stattdend nutzten sie nur die Informationen, die die Agenten konsumieren sollten, wie etwa Nachrichtenartikel, Social-Media-Beiträge und die Prompts, die den Agenten gegeben wurden. Dieser Ansatz ahmt eine realistische Bedrohung nach, bei der der Angreifer außerhalb des Systems steht, aber die in das System fließenden Daten beeinflussen kann.
Die Studie ergab, dass nicht alle Teile des Teams gleichermaßen verwundbar sind. Wenn die Forscher die Analysten angriffen, indem sie ihnen Fake News oder versteckte Anweisungen fütterten, die in Social-Media-Posts eingebettet waren, wurde das System manchmal getäuscht, aber oft erkannten die anderen Agenten den Fehler. Wenn sie die Forscher angriffen, die in einer Debatte zwischen einer „Bull“-Sicht (optimistisch) und einer „Bear“-Sicht (pessimistisch) standen, ließ sich das System leichter beeinflussen, insbesondere wenn der Angreifer eine überzeugende Sprache verwendete, die auf Angst oder Aufregung setzte. Die gefährlichste Schwachstelle wurde jedoch beim Risikomanager gefunden. Dieser Agent soll der letzte Torwächter sein, der prüft, ob keine gefährlichen Trades getätigt werden. In den Simulationen der Forscher, als es ihnen gelang, den Risikomanager dazu zu bringen, seine eigenen Sicherheitsregeln zu ignorieren, war der Angriff fast jedes Mal erfolgreich. Tatsächlich wurde der Risikomanager an mehr als 98 Prozent der Tage kompromittiert, an denen dies möglich war. Dies geschah, weil der Risikomanager auch der letzte Entscheidungsträger war; sobald er getäuscht wurde, gab es niemanden mehr, der den schlechten Trade stoppen konnte.
Die Forscher testeten auch, wie die Art und Weise, wie die Agenten miteinander sprechen, ihre Sicherheit beeinflusst. Sie probierten vier verschiedene Teamstrukturen aus: eine dezentrale Gruppe, in der alle abstimmen, eine zentralisierte Gruppe, in der ein Agent alles hört und entscheidet, eine lineare Kette, bei der die Information von einem zum nächsten weitergegeben wird, und ein Hybridmodell, bei dem die Agenten ihre Gedanken basierend auf dem, was andere sagen, revidieren. Sie fanden heraus, dass keine einzelne Struktur ein perfekter Schutzschild war. Während ein dezentrales Abstimmungssystem im Allgemeinen robuster war, konnte es dennoch gebrochen werden, wenn es den Angreifern gelang, genügend Wähler zu beeinflussen, um eine Mehrheit zu bilden. Umgekehrt war ein zentralisiertes System oft am verwundbarsten, da ein einziger kompromittierter Agent die endgültige Entscheidung dominieren konnte. Die Forscher entwickelten eine Methode, um zu messen, wie viel eines „schlechten Signals“ die Reise zur endgültigen Entscheidung überlebte, wobei sie feststellten, dass die Struktur der Konversation zwar wichtig war, aber allein keine Sicherheit garantieren konnte.
Eine zentrale Entdeckung der Arbeit ist, dass das bloße Hinzufügen von mehr Agenten oder die Änderung der Teamstruktur ein System nicht automatisch sicher macht. Die Simulationen zeigten, dass adversarielle Signale den Deliberationsprozess häufig überlebten und die endgültige Entscheidung erreichten, unabhängig von der verwendeten Architektur. Der Erfolg eines Angriffs hing stark von dem gehandelten Vermögenswert, der Richtung abhing, in die der Angreifer das System bewegen wollte, und dem spezifischen Ziel des Angriffs ab. Beispielsweise war ein Angriff, der versuchte, eine „Verkaufen“-Entscheidung zu erzwingen, oft erfolgreicher als einer, der eine „Kaufen“-Entscheidung erzwingen wollte, schlichtweg weil die natürliche Tendenz des Systems bereits zum Kaufen neigte. Dies deutet darauf hin, dass die eigenen Biases des Systems einem Angreifer manchmal helfen oder ihn manchmal schützen können, auf unvorhersehbare Weise.
Die finanziellen Auswirkungen dieser Angriffe wurden ebenfalls gemessen, was eine überraschende Diskrepanz zwischen der Häufigkeit, mit der ein Angriff erfolgreich war, und dem tatsächlich entstandenen Geldverlust offenbarte. Einige Angriffe änderten die Handelsentscheidung fast jedes Mal, doch der finanzielle Verlust war minimal, weil das System in diesem Moment keine Position hielt. Andere Angriffe waren weniger oft erfolgreich, verursachten aber, wenn sie eintraten, erheblichen Schaden, insbesondere wenn sie das System dazu brachten, eine Position einzunehmen, die es ansonsten vermieden hätte. Dies deutet darauf hin, dass es nicht ausreicht, nur zu zählen, wie oft ein System getäuscht wird, um die reale Gefahr zu verstehen; man muss auch den spezifischen Kontext des Trades und die Größe der Position betrachten.
Letztendlich kommt die Studie zu dem Schluss, dass es kein inhärent robustes Design für diese Multi-Agenten-Handelssysteme gibt. Die Sicherheit des Systems hängt weniger an der Anzahl der Agenten oder der Komplexität ihrer Kommunikation, sondern an bewussten Kontrollen und Ausgleichen. Die Forscher fanden heraus, dass die Sicherheit in den Validierungsprozess selbst eingebaut werden muss, um sicherzustellen, dass kein einzelner Agent, selbst ein Risikomanager, die kollektive Weisheit der Gruppe ohne eine zweite Ebene der Verifizierung umgehen kann. Während diese Systeme aus dem Labor in den Live-Markt wandern, legen die Ergebnisse nahe, dass Designer sich nicht allein auf die Architektur verlassen können, um Manipulationen entgegenzuwirken. Stattdessen müssen sie Systeme bauen, in denen der Informationsfluss ständig überprüft wird und in denen die endgültige Entscheidung niemals der alleinigen Verantwortung eines einzelnen Fehlers (Single Point of Failure) unterliegt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.