💻 computer science

AutoRedTrader: Autonomous Red Teaming of Trading Agents through Synthetic Misinformation Injection

Este artículo presenta AutoRedTrader, un marco de red teaming autónomo que genera desinformación sutil y específica del sector financiero para evaluar y exponer sistemáticamente las vulnerabilidades de los agentes de trading basados en LLM, demostrando una efectividad de ataque superior a la de las líneas base de propósito general en datos de transacciones de Bitcoin.

Autores originales: Zhiwei Liu, Yangyang Yu, Yupeng Cao, Yuechen Jiang, Haohang Li, Zhuoran Lu, Yuyan Wang, Yixiang Zheng, Xiaorui Guo, Calvin Yixiang Cheng, Sophia Ananiadou

Publicado 2026-05-12

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Zhiwei Liu, Yangyang Yu, Yupeng Cao, Yuechen Jiang, Haohang Li, Zhuoran Lu, Yuyan Wang, Yixiang Zheng, Xiaorui Guo, Calvin Yixiang Cheng, Sophia Ananiadou

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagine un agente de trading financiero como un chef altamente inteligente y automatizado en una cocina concurrida. Este chef no solo observa los ingredientes (los números como los precios de las acciones); también lee las tarjetas de recetas y las noticias diarias sobre tendencias culinarias (señales textuales) para decidir qué cocinar y cuándo servirlo.

El artículo introduce un nuevo "probador de seguridad" llamado AutoRedTrader. Su trabajo es ver cuán fácilmente se puede engañar a este chef automatizado para que prepare una comida mala alimentándolo con notas de recetas sutiles y confusas.

Así es como el artículo desglosa este concepto, utilizando analogías simples:

1. El Problema: El Ataque del "Susurro"

Por lo general, pensamos en la desinformación como una mentira ruidosa y obvia (como un titular falso gritando "¡El cielo se está cayendo!"). Pero en las finanzas, el peligro es mucho más sigiloso. Es más como un susurro al oído del chef.

El Truco: En lugar de cambiar los hechos, el atacante ajusta ligeramente el tono, el énfasis o el enfoque de una noticia. Por ejemplo, cambiar "El mercado es estable" por "El mercado es cautelosamente estable".
El Resultado: El chef (el agente de IA) no se da cuenta de que ha sido engañado porque las palabras parecen reales. Pero ese pequeño cambio altera su confianza, haciendo que venda una acción demasiado pronto o compre una que no debería. Con el tiempo, estos pequeños susurros hacen que el chef tome una serie de decisiones completamente diferente a la que habría tomado con información clara.

2. La Solución: AutoRedTrader (El "Gran Engañador")

Los investigadores construyeron un sistema llamado AutoRedTrader para actuar como un "Equipo Rojo" (un grupo de hackers éticos). En lugar de simplemente adivinar qué podría engañar al chef, este sistema aprende a engañarlo mejor cada vez.

Utiliza tres herramientas principales para crear estos "susurros":

Los Juegos Mentales (Sesgos Conductuales): Sabe que los humanos (y las IAs que imitan a los humanos) tienen atajos mentales. Escribe noticias deliberadamente para provocar cosas como la Sobreconfianza (haciendo que el chef esté demasiado seguro de sí mismo) o la Aversión a la Pérdida (haciendo que el chef tenga terror a perder dinero).
Las Micro-Ediciones (Perturbaciones Menores): Realiza cambios diminutos, casi invisibles, en el texto. Quizás cambia un número, modifica ligeramente una fecha o atribuye una cita a la empresa equivocada. Es como cambiar un solo ingrediente en una receta que arruina todo el plato, pero la etiqueta sigue pareciendo la misma.
El Cambio de Estilo (Reescritura): Si la IA detecta que una historia falsa parece demasiado obvia, esta herramienta la reescribe con una "voz" diferente: como convertir una entrada de blog informal en un artículo académico formal o un informe de noticias de la BBC. Esto hace que la mentira suene más creíble y sea más difícil de detectar.

3. El Bucle de Retroalimentación: Aprendiendo de los Errores

Lo que hace especial a AutoRedTrader es que no solo ataca una vez y se detiene. Es un bucle cerrado.

La Prueba: Inyecta sus noticias falsas en la simulación.
La Reacción: Observa cómo reacciona el agente de trading. ¿Compró el agente? ¿Vendió? ¿Perdió dinero?
La Lección: Si el agente cayó en un tipo específico de truco (como la "Aversión a la Pérdida"), el sistema lo recuerda. En la siguiente ronda, utiliza más de ese truco específico. Es como un equipo de cerrajeros que sigue probando diferentes llaves hasta encontrar la que abre la puerta, y luego siguen usando esa llave.

4. Los Resultados: ¿Qué tan bueno fue el ataque?

Los investigadores probaron esto con datos de trading de Bitcoin (un mercado muy volátil).

La Puntuación: AutoRedTrader fue el atacante más exitoso. Logró introducir sus noticias falsas en la "mente" del agente el 69% de las veces (Tasa de Exposición a la Desinformación).
El Impacto: Más importante aún, logró cambiar las decisiones de trading del agente el 26,67% de las veces. Esto es significativamente más alto que otros métodos generales de hacking, demostrando que los agentes financieros son muy vulnerables a estos trucos sutiles y específicos del sector financiero.

5. La Defensa: El Escudo del "Viaje en el Tiempo"

El artículo también probó un mecanismo de defensa llamado Anclaje de Series Temporales.

La Analogía: Imagina que el chef está confundido por una nota de receta confusa. La defensa le da una "Máquina del Tiempo" que le muestra lo que realmente sucedió en la cocina durante los últimos 30 días.
El Efecto: Incluso si la noticia falsa dice "El mercado se está desplomando", la "Máquina del Tiempo" le muestra al chef que los precios han sido estables durante semanas. Esta evidencia histórica ayuda al agente a darse cuenta de que la noticia podría estar equivocada.
El Resultado: Cuando se activó esta defensa, la tasa de éxito de los ataques disminuyó significativamente. El agente se volvió mucho más difícil de engañar porque podía contrastar el texto con datos históricos reales.

Resumen

El artículo argumenta que los agentes de IA financieros son actualmente como chefs que confían en cada susurro que escuchan. AutoRedTrader es una herramienta que demuestra lo fácilmente que estos agentes pueden ser manipulados por mentiras sutiles y astutamente elaboradas. Sin embargo, también muestra que si se les da una forma de verificar el "registro histórico" (datos de series temporales), pueden volverse mucho más resistentes a estos trucos.

El objetivo no es enseñar a las personas a estafar el mercado, sino exponer estas debilidades para que los desarrolladores puedan construir sistemas de IA financiera más seguros y robustos que no sean engañados por una mentira bien escrita.

Resumen Técnico: AutoRedTrader

Enunciado del Problema

Los agentes financieros basados en Modelos de Lenguaje Grande (LLM) dependen cada vez más de una combinación de datos numéricos de mercado y señales textuales (por ejemplo, titulares de noticias, informes de analistas) para ejecutar operaciones secuenciales y predicciones de acciones. Aunque los marcos de red-teaming existentes abordan la seguridad y el jailbreaking, a menudo no logran capturar las vulnerabilidades específicas de los agentes financieros ante la desinformación financiera sutil. A diferencia de las falsedades explícitas, la desinformación financiera a menudo se manifiesta como perturbaciones textuales menores: cambios sutiles en el sentimiento, el encuadre, el énfasis o los valores numéricos que permanecen cercanos a la información genuina. Estas ediciones sutiles pueden alterar significativamente el razonamiento de un agente sobre el riesgo, el impulso o los fundamentos, lo que conduce a una divergencia de trayectoria a largo plazo en las decisiones de trading.

Los marcos de simulación actuales (por ejemplo, FinMem, FinCon) suelen asumir que la filtración aguas arriba o los módulos de defensa en el momento del despliegue manejarán la desinformación, dejando sin medir el modo de fallo específico de las perturbaciones textuales adversarias sutiles. Además, los métodos existentes de red-teaming a menudo localizan el fallo en salidas individuales, pasando por alto la deriva acumulada de posiciones que ocurre durante los procesos de toma de decisiones secuenciales.

Metodología: AutoRedTrader

Los autores proponen AutoRedTrader, un marco de red-teaming autónomo diseñado para poner a prueba los agentes financieros basados en LLM mediante la generación e inyección de desinformación sintética específica del sector financiero. El sistema opera como un proceso de bucle cerrado dentro de un entorno de simulación de Proceso de Decisión de Markov Parcialmente Observable (POMDP).

1. Arquitectura del Marco

El marco consta de tres componentes principales que interactúan en un bucle:

MisGen (Generador Adversario de Desinformación): Genera perturbaciones textuales sutiles y específicas del sector financiero.
Agente Financiero (FinAgent): Un agente basado en LLM que procesa datos de mercado y noticias para tomar decisiones de trading (Comprar, Vender, Mantener).
Proveedor de Evidencia de Series Temporales: Un módulo opcional que proporciona evidencia temporal estructurada de datos históricos de mercado para probar la robustez del agente.

2. Estrategia de Generación de Desinformación (MisGen)

La innovación central reside en la estrategia de generación, que descompone el espacio de perturbación $\Phi$ en tres subespacios complementarios guiados por la teoría de las finanzas conductuales:

Perturbación de Sesgo Cognitivo ( $\Phi_{Bias}$ ): Manipula el prompt del sistema o el contexto del agente para inducir sesgos conductuales específicos (Sobreconfianza, Aversión a la Pérdida, Anclaje, Rebaño, Sesgo de Confirmación). Esto ataca el prior de razonamiento del agente en lugar del contenido de las noticias en sí.
Perturbación Semántico-Contenida ( $\Phi_{Minor}$ ): Aplica ediciones sutiles al contenido de las noticias $n_i$ $n_{i}$ . Esto incluye:
- Inversión: Invertir las implicaciones del mercado (por ejemplo, de positivo a negativo).
- Cambio de Sentimiento: Ajustar el tono sin alterar los hechos.
- Ediciones Numéricas: Modificar cifras financieras clave manteniendo la dirección de la tendencia.
- Desplazamientos Temporales/Conceptuales/Entidades: Introducir desalineaciones en el tiempo, métricas o atribución.
Reescritura Controlada por Estilo ( $\Phi_{Rewrite}$ ): Reexpresa el contenido perturbado en registros periodísticos específicos (estilo Académico o de Noticias) para evadir la detección por filtros estándar mientras mantiene la similitud semántica con el original.

3. Retroalimentación de Bucle Cerrado y Selección de Estrategia

AutoRedTrader emplea un mecanismo de selección de estrategias consciente del historial. Después de cada ronda de simulación, la Rentabilidad Acumulada (CR) del agente y el Historial de Impacto en la Decisión se retroalimentan a MisGen.

Las estrategias que anteriormente condujeron a cambios en la decisión se asignan probabilidades de muestreo más altas (modeladas mediante un proceso de urna de Polya).
Se aplican ajustes dependientes de la rentabilidad: las rentabilidades exitosas aumentan la probabilidad de inducir Sobreconfianza, mientras que las pérdidas aumentan la Aversión a la Pérdida.
Una etapa de filtrado asegura que la desinformación generada cumpla con umbrales altos de similitud semántica ( $\tau_{sim}$ ) y baja detectabilidad ( $\tau_{det}$ ) antes de la inyección.

4. Análisis de Robustez mediante Anclaje Temporal

Para evaluar la robustez, el marco introduce una configuración de Anclaje Informado por Series Temporales. En lugar de reemplazar el texto, este módulo proporciona al agente evidencia temporal estructurada derivada de ventanas de mercado históricas (por ejemplo, volatilidad, drawdown, divergencia de tendencia). Esto permite al agente evaluar la consistencia entre las señales textuales entrantes y la dinámica histórica del mercado, probando si dicha evidencia puede estabilizar las decisiones frente a narrativas engañosas.

Contribuciones Clave

Generación de Desinformación Financiera: Un método novedoso para generar perturbaciones textuales sutiles y específicas del sector financiero guiadas por sesgos conductuales y retroalimentación del agente, superando los prompts adversarios genéricos.
Simulación de Agente Financiero de Bucle Cerrado: Un marco de simulación basado en POMDP donde la retroalimentación del agente fortalece iterativamente la generación de desinformación, capturando la deriva acumulada de decisiones en lugar de fallos de salida aislados.
Anclaje Temporal para Robustez: Una investigación sobre si la evidencia histórica estructurada del mercado puede servir como un mecanismo de anclaje para reducir la sobrereactividad del agente ante señales textuales engañosas.

Resultados Experimentales

El marco se evaluó durante 60 días de datos de transacciones de Bitcoin (BTC) (marzo-abril de 2023) utilizando un agente de trading basado en recuperación.

Rendimiento del Ataque: AutoRedTrader logró la mayor Tasa de Éxito del Ataque (ASR) de 26.67% y una Tasa de Exposición a Desinformación (MER) de 69.00%. Esto superó a las líneas base de propósito general (AutoRedTeamer, Pliny, LIFE) y demostró que simplemente recuperar desinformación es insuficiente; la desinformación debe ser relevante para la decisión y estar alineada con el razonamiento del agente.
Impacto en las Rentabilidades: El ataque redujo la rentabilidad acumulada del agente desde una línea base limpia de +23.50% a +22.27%, lo que indica que la desinformación puede impactar negativamente los resultados del trading.
Hallazgos de Robustez: Cuando se activó la configuración de Anclaje Informado por Series Temporales, la efectividad del ataque disminuyó significativamente (MER reducida a 41.66%, ASR a 18.33%), lo que sugiere que la evidencia histórica del mercado ayuda a los agentes a filtrar señales engañosas.
Estudios de Ablación: La eliminación de cualquier componente (Sesgo, perturbaciones Menores, Reescritura, Retroalimentación o Filtrado) resultó en una disminución de la ASR, confirmando que todos los módulos son esenciales para generar desinformación recuperable y efectiva para la decisión.

Significado y Afirmaciones

El artículo afirma que AutoRedTrader revela una vulnerabilidad crítica en los agentes financieros basados en recuperación: son susceptibles a una desinformación sutil que altera la trayectoria y que evade la detección estándar. El trabajo destaca que las suposiciones actuales de robustez, que dependen de la filtración aguas arriba, son insuficientes para la naturaleza matizada de la desinformación financiera.

Al demostrar que la manipulación de sesgos conductuales y las perturbaciones textuales menores pueden degradar sistemáticamente el rendimiento del agente, los autores argumentan a favor de la necesidad de evaluación defensiva y pruebas de robustez en el desarrollo de IA financiera. Los resultados sugieren que integrar el anclaje temporal —utilizando datos históricos de mercado para validar señales textuales— puede servir como un mecanismo efectivo para estabilizar las decisiones del agente y mejorar la resiliencia frente a narrativas adversarias. Los autores enfatizan que su trabajo es estrictamente para fines de investigación y defensa para informar un diseño de modelos más seguro, reconociendo el riesgo de doble uso de las técnicas generadas.