More Agents Improve Math Problem Solving but Adversarial Robustness Gap Persists

Título: Mais Agentes Melhoram a Resolução de Problemas Matemáticos, mas a Lacuna de Robustez Adversarial Persiste

1. Problema Investigado

O trabalho aborda uma questão crítica na interseção entre a colaboração de agentes de Grandes Modelos de Linguagem (LLMs) e sua segurança contra ataques adversariais.

• Contexto: Sabe-se que múltiplos LLMs trabalhando juntos (através de votação, debate ou consistência) superam um único modelo em tarefas de raciocínio complexo, como matemática.
• A Lacuna: Embora a colaboração melhore a precisão em dados limpos ("Clean"), não está claro se essa arquitetura de múltiplos agentes também torna o sistema mais robusto a entradas perturbadas (ruído).
• Hipótese Central: A pergunta é se o aumento do número de agentes (ensemble) consegue mitigar a degradação de desempenho causada por ruídos de entrada, como erros de digitação humanos ou inserção de pontuação aleatória, ou se a vulnerabilidade adversarial permanece inalterada.

2. Metodologia

Os autores desenvolveram um framework unificado chamado "Agent Forest" para avaliar sistematicamente a robustez.

• Configuração Experimental:

  • Modelos: Foram testados 6 modelos open-source de diferentes tamanhos e famílias: Qwen3-4B/14B, Llama3.1-8B, Mistral-7B, Gemma3-4B/12B.
  • Benchmarks: Quatro conjuntos de dados matemáticos: GSM8K, MATH, MMLU-Math e MultiArith.
  • Variação de Agentes: O número de agentes ($n$) variou de 1 a 25 (e até 50 em estudos preliminares), utilizando um mecanismo de amostragem e votação majoritária.
  • Tipos de Ruído (Taxonomia):
    1. Ruído Sintético (Pontuação): Inserção aleatória de símbolos de pontuação em 10%, 30% e 50% dos espaços do texto.
    2. Ruído Realista (Human-like):
       • WikiTypo: Erros de digitação reais extraídos de edições do Wikipedia.
       • R2ATA (Adversarial Typo Attack): Perturbações adversariais que simulam erros comuns de teclado (substituição, duplicação, deleção de caracteres).

• Métricas de Avaliação:

  • Precisão (Accuracy): Média de respostas corretas.
  • Taxa de Sucesso do Ataque (ASR - Attack Success Rate): A fração de previsões originalmente corretas que se tornam incorretas após a aplicação do ruído. Um ASR alto indica baixa robustez.

3. Principais Contribuições e Resultados

O estudo revela duas descobertas fundamentais que parecem contraditórias à primeira vista:

A. A Colaboração Melhora a Precisão, mas não a Robustez Adversarial

• Ganhos de Precisão: Aumentar o número de agentes ($n$) melhora consistentemente a precisão geral. Os maiores ganhos ocorrem ao passar de $n=1$ para $n=5$. Após $n \approx 10$, observa-se um retorno decrescente (diminishing returns), estabilizando-se em torno de $n=25$.
• Persistência da Lacuna: Apesar do aumento na precisão absoluta, a lacuna de robustez adversarial persiste. O ASR permanece quase estável à medida que o número de agentes aumenta. Isso significa que, embora o sistema acerte mais questões em geral, a proporção de erros causados especificamente pelo ruído adversarial não diminui significativamente com mais agentes.

B. O Tipo de Ruído é o Fator Determinante

• Ruído de Pontuação: Modelos conseguem recuperar grande parte da precisão perdida com a pontuação sintética através da colaboração (votação). O ASR para esse tipo de ruído diminui à medida que mais agentes são adicionados.
• Erros Humanos (Typos): Os erros de digitação reais (WikiTypo) e o ataque R2ATA representam o principal gargalo.
  • Mesmo com 25 agentes, o ASR para WikiTypo permanece alto (acima de 0,10), muito superior ao de ruído de pontuação.
  • A votação majoritária falha em corrigir esses erros porque eles alteram a representação semântica no espaço de embeddings, fazendo com que todos os agentes converjam para o mesmo erro sistemático (o "Paradoxo do Consenso").

C. Impacto dos Modelos e Datasets

• Tamanho do Modelo: Modelos maiores (ex: Qwen3-14B, Gemma3-12B) mantêm maior precisão absoluta, mas a tendência de estabilidade do ASR sob ruído é observada em todas as escalas.
• Dificuldade da Tarefa: Datasets mais complexos (MATH, MMLU) sofrem mais com o ruído e têm ASR mais alto e estável, enquanto tarefas mais simples (GSM8K, MultiArith) se beneficiam mais da colaboração para recuperar a precisão.

4. Discussão e Análise de Falhas

Os autores atribuem a falha da colaboração em mitigar erros humanos a dois fatores principais:

1. Degradação Semântica vs. Morfológica: A pontuação extra é visualmente distrativa, mas muitas vezes preserva a raiz morfológica das palavras, permitindo que o mecanismo de atenção do modelo recupere o sentido. Já os erros de digitação (typos) alteram fundamentalmente o token no espaço vetorial, levando a desvios semânticos que o modelo não consegue corrigir.
2. Viés Sistemático (Paradoxo do Consenso): A teoria de ensembles assume que os erros dos agentes são independentes. No entanto, o ruído adversarial introduz um viés sistemático que força todos os agentes a falharem da mesma maneira. Consequentemente, a votação majoritária replica o erro em vez de corrigi-lo.

5. Significado e Implicações

• Limitação Fundamental: O estudo demonstra que "escalar agentes" (usar mais cópias do mesmo modelo) não é um substituto para melhorar a robustez intrínseca do modelo base contra ruídos do mundo real.
• Risco de Implantação: Em ambientes de alto risco (finanças, medicina, direito), a dependência de múltiplos agentes pode criar uma falsa sensação de segurança. Se o dado de entrada contiver erros humanos comuns (comuns em dados não curados), o sistema multi-agente falhará tão frequentemente quanto um único agente.
• Direções Futuras: O trabalho sugere que futuras pesquisas devem focar em:
  • Tokenização robusta a ruído.
  • Mecanismos de agregação que não dependam apenas de votação majoritária (ex: verificadores, ferramentas externas).
  • Aumento de dados durante o treinamento focado especificamente em erros de digitação humanos.

Conclusão

O artigo conclui que, embora a colaboração multi-agente seja uma estratégia eficaz para aumentar a precisão em dados limpos, ela falha em fechar a lacuna de robustez adversarial, especialmente diante de erros de digitação humanos. A vulnerabilidade a esses erros é uma propriedade fundamental da arquitetura do modelo e do espaço de embeddings, não sendo mitigada simplesmente pelo aumento do número de agentes.