Trace-Level Analysis of Information Contamination in Multi-Agent Systems

以下は、論文「Trace-Level Analysis of Information Contamination in Multi-Agent Systems（マルチエージェントシステムにおける情報汚染のトレースレベル分析）」の詳細な技術的サマリーです。

1. 問題定義

マルチエージェントシステム（MAS）は、複雑な推論タスクを実行するために、PDF、スプレッドシート、スライド、音声などの多様な外部アーティファクトに依存するようになっています。これらのソースから抽出された情報は、抽出器、分析者、検証者などの専門エージェント間で受け渡されます。ここで扱われる核心的な問題は情報汚染です。これは、アーティファクトの抽出や解析中に生じる誤り（例：テーブル列のズレ、OCR ノイズ、破損したテキスト）が、ワークフロー全体に伝播することを指します。

現在の評価手法は主にエンドポイントの精度（最終回答が正解と一致するか？）に焦点を当てています。しかし、著者らはこれが不十分であると主張します。

• 分離性: ワークフローは構造的に乖離（実行パスの変更）しても正解を回復できる場合もあれば、構造的に安定していても誤った出力を生む場合があります。
• 隠れたコスト: 最終回答が正しくても、構造的な不安定性（経路変更、再試行）は、トークン数や時間といった運用コストを大幅に増加させます。
• ガードレールの失敗: 一般的な検証メカニズム（スキーマチェック、形式検証）は、「局所的には妥当だが、全体的に汚染をもたらす」データを検知・遮断できずにいます。

2. 手法

著者らは、構造化されたマルチエージェントワークフローを通じて不確実性がどのように伝播するかを定量化するためのトレースレベル分析フレームワークを提案します。

実験設定

• ベンチマーク: ファイル添付（表、文書、画像、音声）への依存度が高い GAIA ベンチマークから 32 タスクを選択。
• アーキテクチャ: 共有ワークスペースを介して通信する、専門的な役割（コーディネーター、データアナリスト、事実確認者、シンセサイザーなど）を持つ固定型のマルチエージェントオーケストレーション。
• モデル: GPT-5-mini、LLaMA-3.1-70B、Qwen3-235B の 3 つの LLM バックエンドで実験を実施。
• データ: タスクあたり 614 組のペア実行（クリーン対汚染）。

攪乱（ペルタベーション）戦略

生ファイルを修正するのではなく、著者らはアーティファクトから導出された表現（例：OCR ツールによって抽出されたテキストスパンや PDF から解析されたテーブル）に構造化された攪乱を注入します。

• 攪乱の種類: 列の入れ替え、単位の書き換え、OCR ノイズ、画像のぼかし、エンコーディングエラー、テキストの黒塗りなど。
• 統制: 攪乱の影響を孤立させるため、プロンプト、シード、エージェントの役割など他のすべての変数を一定に保ちます。

測定フレームワーク

核心的な革新は、最終出力だけでなく実行トレース（$\tau$）を使用することです。

1. 構造的シグネチャ: イベント（ルーティング決定、ツール呼び出し、メモリ読み取り）を構造的シグネチャとして抽象化し、語彙的なノイズ（異なる言い回しなど）を無視して制御フローに焦点を当てます。
2. トレースの乖離: クリーンなトレースと攪乱されたトレース間の正規化された構編集距離（$d_{norm}$）を用いて測定します。
3. 最初の乖離点（$t^\star$）: 攪乱された実行がベースラインから初めて逸脱する正確なステップを特定し、失敗メカニズムの局所化を支援します。
4. 指標:
   • 結果: タスクの成功/失敗。
   • コスト: トークンオーバーヘッド（攪乱対クリーン）。
   • 制御フロー: ルーティング変更、延長された実行（ループ）、早期終了。

3. 主要な貢献

1. 汚染の発現形態の形式的分類:
   • 沈黙する意味的汚染（15.3%）: 実行トレースはベースラインと構造的に同一（$d_{norm} \approx 0$）ですが、最終出力は誤っています。システムはエラー状態をトリガーすることなく汚染されたデータを「受容」します。
   • 回復を伴う行動迂回（40.3%）: 実行パスは大きく乖離（経路変更、再試行、追加ステップ）しますが、システムは正常に補償し、正解を生成します。
   • 複合的な混乱（39.9%）: 実行パスと最終出力の両方が汚染されます。
2. トレースベースの測定フレームワーク: 構編集距離と最初の乖離点を用いて汚染を検出、局所化、定量化する手法であり、エンドポイントのみの評価を超えたものです。
3. コストと正解性の分離に関する実証的証拠: 高い運用コストが正しさを保証するものではなく、低いコストが安全性を保証するものでもないことを示しました。

4. 主要な結果と知見

構造と結果の分離

• 知見 1: エンドポイント指標は不十分です。大幅な構造的乖離があった実行の 40.3% は正解を回復しましたが、安定したトレースを持つ実行の 15.3% は沈黙して失敗しました。
• 示唆: 回答精度のみに依存すると内部の不安定性が見えなくなり、トレースの乖離のみに依存すると、システムが実際には適応している場合に「失敗」の偽陽性が発生します。

制御フローのシグネチャ

• 経路変更（乖離した実行の 80.6%）: 汚染に対する最も一般的な反応です。エージェントは不一致を検知し、戦略を切り替えます。
• 延長された実行（37.4%）: 汚染は再試行ループや多段階検証を触发し、高いトークンコスト（中央値はベースラインの 1.5 倍〜2.4 倍）をもたらします。
• 早期終了（25.3%）: 音声モーダルで一般的であり、文字起こしの失敗がパイプライン全体を停止させます。
• モーダル固有性: 表データへの攪乱は延長された実行を触发することが多く、音声への攪乱は早期終了を好みます。

時間的局所化

• 早期乖離（$t^\star < 0.1$）: 基礎的な抽出の失敗（例：解析エラー）を示唆します。
• 後期乖離（$t^\star > 0.3$）: 推論段階の感応性を示唆します（例：微妙な数値汚染に起因する計算ミス）。

運用コスト

• 知見 4: コストは正解性の悪い指標です。
  • 低コスト実行の 76.2% が誤った回答を生成しました（沈黙する汚染）。
  • 高コスト実行（>2 倍のトークン）のわずか 16.3% が正解を生成しました。
• 知見 5: 高いトークンオーバーヘッドは回復を予測しません。一部の攪乱（例：透かし）は稀にしか成功しない高価な迂回を引き起こしますが、他の攪乱（例：エンコーディングエラー）は moderate な回復を可能にします。

モデル間の差異

• LLaMA-3.1-70B は早期の乖離（エラーの迅速な検知）を示しましたが、GPT-5-mini や Qwen3-235B に比べて回復率は低かったです。
• GPT-5-mini は「回復を伴う行動迂回」の割合が最も高く（48.6%）、より堅牢な適応戦略を示唆しています。

5. 意義と示唆

• 現在のガードレールへの批判: スキーマ検証や再試行予算などの標準的なガードレールは、汚染が構造的エラーとして現れると仮定しているため失敗します。沈黙する意味的汚染はこれらのチェックを完全に回避します。
• 設計上の推奨事項:
  • ターゲットを絞った検証: 検証戦略はモーダル固有であるべきです（例：音声に対する積極的な検証、テーブルに対するスキーマチェック）。
  • コストを考慮した防御: システムは、高コストの実行が必ずしも「成功した」適応ではなく、低コストの実行が必ずしも「安全」ではないことを認識する必要があります。
  • トレースネイティブな評価: 将来のベンチマークは、最終回答だけでなく実行トレースを評価し、堅牢性の全スペクトルを捉える必要があります。
• 将来の方向性: 論文は、出所に基づく帰属（特定の抽出エラーへの遡及）、汚染耐性ワークフローの学習（堅牢なルーティングのための RL）、および予測される汚染リスクに基づく適応的検証予算を呼びかけています。

要約すると、本論文は、マルチエージェントシステムにおける情報汚染が、構造的安定性と意味的正しさがしばしば整合しない複雑で多次元の現象であることを確立しています。また、この不一致を測定するための厳密なフレームワークを提供し、より堅牢で、コスト効果が高く、検証可能なエージェントシステムへの道筋を示しています。