🤖 AI

Instruction Bleed: Cross-Module Interference in Prompt-Composed Agentic Systems

Questo articolo identifica e formalizza la "perdita comportamentale composizionale" (CBL), una sottile modalità di fallimento nei sistemi agentici composti da prompt in cui l'editing di un modulo di prompt altera silenziosamente il comportamento di altri a causa della non-isolazione architettonica nel self-attention dei transformer, dimostrando attraverso prove empiriche che tale interferenza, sebbene spesso al di sotto della soglia per decisioni individuali, pone un rischio cumulativo significativo nelle implementazioni su larga scala.

Autori originali: Ching-Yu Lin, Yifan Liu

Pubblicato 2026-06-26

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Ching-Yu Lin, Yifan Liu

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di stare costruendo un robot assistente incollando insieme diversi manuali di istruzioni. Hai una pagina su "Come essere educati", un'altra su "Come assumere dipendenti" e una terza su "Come scrivere codice". Incolli tutto insieme in un unico documento gigante e lo consegni al robot (un'IA) da leggere.

La grande assunzione che tutti fanno è: "Se cambio la pagina 'Come essere educati', non cambierò accidentalmente il modo in cui il robot svolge il compito di 'Assunzione'."

Questo articolo dice: Quell'assunzione è errata.

Ecco la scomposizione di ciò che i ricercatori hanno scoperto, utilizzando analogie semplici:

1. Il Problema: "L'Invasione delle Istruzioni"

I ricercatori chiamano questo fenomeno "Instruction Bleed" (o fuga comportamentale compositiva).

Pensa al cervello dell'IA come a una stanza enorme e aperta dove tutte le pagine di istruzioni sono stese sul pavimento. In un normale programma per computer, se cambi una regola nella sezione "Cucina", la sezione "Garage" rimane esattamente la stessa perché si trovano in stanze separate.

Ma con l'IA, la "stanza" è un unico grande spazio aperto. L'IA legge tutto insieme, collegando ogni parola a tutte le altre. I ricercatori hanno scoperto che se modifichi silenziosamente una pagina che non dovrebbe contare (come l'aggiunta di una ricetta casuale al manuale di "Assunzione"), questo può spostare silenziosamente il modo in cui l'IA valuta i candidati per un lavoro.

L'Analogia: Immagina di scrivere una storia. Se all'improvviso aggiungi un paragrafo su "peperoncini piccanti" nel mezzo di un capitolo sulle "riparazioni auto", l'IA potrebbe inconsciamente iniziare a pensare che la riparazione dell'auto debba essere "piccante" o "calda", anche se non glielo hai detto. Il significato "cola" da una sezione all'altra.

2. L'Esperimento: Il Bot per i Colloqui di Lavoro

Per dimostrare questo, i ricercatori hanno costruito un test specifico utilizzando un agente IA reale progettato per valutare le candidature di lavoro.

L'Impostazione: Avevano un modulo "focale" (la parte che valuta quanto un curriculum corrisponda a un lavoro).
Il Trucco: Hanno preso un modulo completamente non correlato (un insieme di regole per valutare le ricette) e hanno apportato tre tipi di modifiche ad esso:
1. Volume: Rendere semplicemente più lunga la sezione delle ricette.
2. Contenuto: Aggiungere una strana descrizione di un personaggio irrilevante alle regole della ricetta.
3. Forma: Cambiare il carattere, le emoji o le intestazioni nella sezione della ricetta senza cambiare le parole.

Il Risultato:

Cambiare la lunghezza o il formato (emoji/intestazioni) non ha realmente cambiato i punteggi di assunzione.
MA, cambiare il contenuto (aggiungendo quella strana descrizione del personaggio) ha fatto sì che l'IA cambiasse sistematicamente il modo in cui valutava i candidati al lavoro.
I punteggi si sono spostati leggermente, ma in modo costante. L'IA non ha iniziato a rifiutare tutti o ad assumere tutti; ha solo dato punteggi leggermente diversi.

3. Perché Questo è Importante: Il "Drift Silenzioso"

La parte più spaventosa di questa scoperta è che nessuno se n'è accorto.

L'Effetto "Sotto la Soglia": L'IA non ha commesso un errore enorme e ovvio (come assumere un clown per un lavoro di chirurgo). Ha solo spostato i punteggi di una piccola quantità.
La Metafora: Immagina una bilancia che dovrebbe pesare delle mele. Se metti un libro pesante dall'altro lato della stanza (l'istruzione non correlata), la bilancia non si rompe, ma inizia a pesare ogni mela come se fosse 0,5 libbre più pesante. Non vedresti una singa mela "esplodere" o scomparire, ma se pesi 1.000 mele, il tuo conteggio totale dell'inventario sarà errato.
Il Rischio: Nella vita reale, se un'IA viene utilizzata per classificare migliaia di candidati, questi piccoli e silenziosi spostamenti potrebbero cambiare chi ottiene un colloquio e chi viene rifiutato, anche se l'IA sembra funzionare perfettamente.

4. Perché Accade Questo?

L'articolo spiega che l'architettura dell'IA (chiamata "Transformer") è progettata per guardare l'intero documento in una volta sola. Non esistono "muri" tra i diversi moduli di istruzioni.

La Realtà del "Nessuna Parete": Anche se metti una linea di stelle (***) o un'intestazione come ### Regole di Assunzione nel testo, l'IA non tratta questo come un confine netto. Per l'IA, è tutto un unico grande flusso di parole.
Il Probleo della "Memoria": L'IA ha una "memoria di lavoro" limitata. Quando aggiungi più testo (anche testo non correlato), questo occupa lo spazio necessario affinché l'IA possa concentrarsi perfettamente sul compito originale.

5. Cosa Propongono i Ricercatori

L'articolo non si limita a evidenziare il problema; offre un nuovo modo per testarlo.

Il Nuovo Test: Prima di lanciare un sistema di IA, non dovresti solo controllare se funziona. Devi controllare se cambiare una parte delle istruzioni rompe un'altra parte.
Il Test di "Regressione": Suggeriscono che ogni volta che uno sviluppatore aggiunge un nuovo modulo di istruzioni, deve ri-testare i moduli vecchi per assicurarsi che la nuova aggiunta non abbia causato una "fuga" (bleed).

Riassunto

Questo articolo rivela che quando costruiamo agenti di IA incollando insieme diverse istruzioni testuali, stiamo costruendo su basi fragili. Cambiare una parte delle istruzioni può cambiare silenziosamente e sottilmente il modo in cui l'IA si comporta in altre parti, anche se i cambiamenti sembrano non correlati. È un "drift silenzioso" che i metodi di test attuali perdono di vista, ma che potrebbe avere conseguenze nel mondo reale per decisioni come l'assunzione o la concessione di prestiti. Gli autori forniscono una nuova checklist per intercettare queste perdite invisibili prima che causino problemi.

Sintesi Tecnica: Instruction Bleed nei Sistemi Agenti a Composizione di Prompt

Definizione del Problema
Il documento affronta un modello di fallimento ricorrente nei sistemi agentici a composizione di prompt, in cui il comportamento di un agente viene assemblato a runtime da moduli in linguaggio naturale (ad es. persona, abilità, regole di orchestrazione) piuttosto che da codice eseguibile. I professionisti osservano che l'editing di un modulo di prompt può alterare silenziosamente il comportamento di moduli non correlati, nonostante l'assenza di variabili condivise o dipendenze eseguibili. Gli autori formalizzano questo fenomeno come Compositional Behavioral Leakage (CBL) (Perdita Comportamentale Composizionale).

Il CBL è distinto da altri modelli di fallimento noti, come l'iniezione di prompt avversaria, il degrado cognitivo nel tempo, la propagazione di guasti tra multi-agenti o la perdita di privacy composizionale. La causa principale è identificata nell'architettura non isolata: i meccanismi di auto-attenzione dei Transformer computano interazioni pairwise globali attraverso l'intero contesto di input senza confini formali tra i moduli concatenati. Di conseguenza, i delimitatori standard (ad es. ### Persona) agiscono come indizi statistici piuttosto che come confini di namespace, permettendo l'interferenza tra moduli co-residenti.

Metodologia
Per investigare il CBL, gli autori hanno sviluppato un protocollo riutilizzabile a tre canali per perturbare i moduli non focali mentre si misura l'impatto sul comportamento di un modulo focale. Lo studio è stato condotto su un agente di valutazione dei lavori (career-ops) distribuito utilizzando il modello Claude Sonnet 4.6 attraverso 144 prove (12 descrizioni di lavoro $\times$ 3 esecuzioni).

Il protocollo ha definito tre condizioni sperimentali rispetto a una baseline (C0):

C1 (Volume): Aggiunta di un modulo non correlato di valutazione di ricette lungo 200 righe per testare se il mero volume del contesto causi degradazione.
C2 (Contenuto): Appendere un archetipo semanticamente irrilevante al file delle regole condivise per testare l'interferenza semantica.
C3 (Forma): Introduzione di cambiamenti strutturali che preservano il significato (livelli di intestazione, marcatori emoji, riordinamento delle sezioni) per testare la sensibilità al formato.

La metrica di esito primaria è stata il punteggio cv_match (rubrica 1–5), che rappresenta l'allineamento tra il background di un candidato e i requisiti del lavoro. L'analisi ha utilizzato dimensioni dell'effetto accoppiate (Cohen's d) con intervalli di confidenza bootstrap al 95% (10.000 campionamenti) per rilevare spostamenti, insieme ai test di Wilcoxon signed-rank.

Risultati Chiave
Lo studio fornisce una prova dell'esistenza dell'interferenza tra moduli:

Interferenza Semantica (C2): Questa condizione ha prodotto uno spostamento statisticamente rilevabile. L'aggiunta di un singolo archetipo irrilevante al file delle regole ha prodotto un Cohen's d di 0,63 ( $\Delta = +0,17$ ) sul punteggio cv_match, con un CI bootstrap al 95% di [+0,03, +0,31], escludendo lo zero. Otto delle 12 descrizioni di lavoro hanno mostrato uno spostamento verso l'alto.
Condizioni di Controllo (C1 & C3): Né l'aggiunta di volume (C1, d = -0,11) né la perturbazione del formato (C3, d = -0,29) hanno prodotto un effetto rilevabile (i CI includevano lo zero). Ciò isola il meccanismo di interferenza al contenuto semantico piuttosto che al carico di contesto generico o alla sintassi di formattazione.
Regime Sotto la Soglia: Non si sono verificati ribaltamenti di raccomandazione (recommendation flips) in nessuna condizione. Il documento nota che il CBL opera in un "regime sotto la soglia" in cui le distribuzioni dei punteggi derivano senza attraversare i confini decisionali, rendendolo invisibile alla standard Quality Assurance (QA) che controlla solo le decisioni finali.

Contributi
Il documento apporta quattro contributi specifici:

Definizione Operativa: Una definizione formale di CBL come interferenza comportamentale tra moduli di prompt co-residenti in un contesto di attenzione condiviso, distinta dalla perdita di privacy e dal degrado cognitivo.
Protocollo Riutilizzabile: Un framework di test a tre canali (Volume, Contenuto, Forma) istanziato su un sistema distribuito, fornendo un metodo per rilevare il CBL utilizzando artefatti già prodotti dalle attuali implementazioni.
Set di Previsioni Falsificabili: Un framework per la replicazione multi-sistema che predice:
- Variazione significativa nell'entità dell'interferenza tra diverse famiglie di modelli.
- Un gradiente di distanza semantica in cui gli spostamenti sono maggiori sulle dimensioni della rubrica prossime al modulo modificato.
- Scalabilità dei tassi di ribaltamento della raccomandazione con l'entità dell'intervento e la sovrapposizione semantica.
Caratterizzazione della Classe di Sistema: Una classificazione dei sistemi agentici a composizione di prompt attraverso uno spettro di meccanismi di composizione (convenzioni Markdown, template Jinja2, ereditarietà Python), identificandoli come una classe di sistema distinta dove la logica comportamentale risiede in testo interpretato tramite attenzione.

Significatività e Rivendicazioni
Gli autori posizionano il CBL come una preoccupazione di sicurezza e affidabilità di primo ordine per gli agenti distribuiti. La significatività risiede nella "inaffidabilità silenziosa" di questi sistemi: poiché l'interferenza è sotto la soglia, essa evade i test standard ma si accumula attraverso migliaia di decisioni, potenzialmente influenzando i sistemi di ranking, prioritizzazione e aggregazione a valle.

Il documento sostiene che l'assunto secondo cui la composizione di moduli di prompt produca la composizione dei loro comportamenti individuali non è giustificato dall'architettura dei Transformer. Di conseguenza, gli autori affermano che la misurazione dell'interferenza tra moduli deve diventare un requisito per l'evaluazione dei prompt-composed agent. Propongono un framework di regression testing che copra la consistenza composizionale, la regressione dell'interazione tra moduli, la robustezza alla perturbazione del formato e il testing della migrazione del modello per affrontare lo "sprawl dei prompt" osservato in sistemi su larga scala come OpenClaw.

Il lavoro è presentato come diagnostico, mirante a formalizzare e misurare un fenomeno esistente per consentirne la mitigazione, piuttosto che introdurre nuove capacità. Le conclusioni suggeriscono che, in assenza di meccanismi di isolamento espliciti (di cui le attuali architetture sono prive), la composizione a livello di testo rimane fragile, e le nuove combinazioni di moduli devono essere trattate come comportamentalmente imprevedibili finché l'isolamento non viene validato.