🤖 AI

Trace-Level Analysis of Information Contamination in Multi-Agent Systems

Este artigo investiga como a contaminação de informações induzida por incerteza em fluxos de trabalho multiagente leva a trajetórias de execução diversas e falhas de saída, propondo uma estrutura de medição baseada em rastreamento e uma taxonomia formal para melhor detectar, localizar e mitigar esses riscos em tarefas heterogêneas de raciocínio sobre artefatos.

Autores originais: Anna Mazhar, Huzaifa Suri, Sainyam Galhotra

Publicado 2026-05-01

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Anna Mazhar, Huzaifa Suri, Sainyam Galhotra

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Visão Geral: Uma Equipe de Especialistas com um Bloco de Notas Quebrado

Imagine que você contrata uma equipe de especialistas para resolver um mistério complexo. Você tem um Analista de Dados que lê planilhas, um Verificador de Fatos que confirma números, um Programador que executa cálculos e um Gerente que decide quem faz o que a seguir. Eles trabalham juntos em uma sequência estrita, trocando notas e arquivos de um lado para o outro.

Este artigo estuda o que acontece quando as notas iniciais que a equipe recebe estão ligeiramente corrompidas. Talvez uma célula de uma planilha tenha sido deslocada uma coluna, uma foto esteja levemente desfocada ou um documento tenha uma marca d'água estranha.

Os pesquisadores queriam saber: Se a informação inicial estiver um pouco "errada", toda a equipe trava, eles ficam confusos ou eles consertam o problema acidentalmente?

O Experimento: A "Bagunça Controlada"

Em vez de esperar por acidentes do mundo real, os pesquisadores criaram uma "bagunça controlada". Eles pegaram 32 tarefas complexas diferentes (como analisar relatórios financeiros ou ler prontuários médicos) e introduziram intencionalmente pequenos erros nos arquivos que os agentes estavam lendo.

Eles executaram cada tarefa duas vezes:

A Execução Limpa: A equipe recebe arquivos perfeitos.
A Execução "Contaminada": A equipe recebe arquivos com erros específicos injetados (como trocar duas colunas em uma tabela ou desfocar uma imagem).

Eles não olharam apenas para a resposta final. Eles colocaram uma câmera em todo o processo, registrando cada decisão, ferramenta usada e nota passada entre os agentes. Essa gravação é chamada de "Rastreio".

A Grande Surpresa: A Resposta vs. A Jornada

A descoberta mais chocante é que a resposta final e a jornada para chegar lá estão completamente desconectadas.

Os pesquisadores encontraram três maneiras principais pelas quais a equipe reagiu aos dados ruins:

1. O "Sabotador Silencioso" (Corrupção Semântica Silenciosa)

O que acontece: A equipe segue exatamente o mesmo roteiro que na execução limpa. Eles falam com as mesmas pessoas, usam as mesmas ferramentas e dão o mesmo número de passos. Mas, como os dados iniciais estavam ligeiramente errados (por exemplo, um número estava fora de um), a resposta final está errada.
A Analogia: Imagine um chef seguindo uma receita perfeita, picando cebolas e fervendo água exatamente como deve. Mas, como o saco de farinha com o qual começaram tinha um erro de digitação na etiqueta dizendo "500g" em vez de "50g", o bolo desaba. O chef fez tudo "corretamente" de acordo com o plano, mas o resultado é um desastre.
Por que importa: As verificações de segurança atuais muitas vezes procuram por "caos" (a equipe parou? eles entraram em pânico?). Este tipo de erro parece calmo e ordenado, então escapa direto pelos guardas.

2. O "Desvio com um Final Feliz" (Desvios Comportamentais com Recuperação)

O que acontece: A equipe fica confusa imediatamente. Eles tentam uma ferramenta, ela falha, então o Gerente diz: "Ok, vamos tentar uma ferramenta diferente!". Eles voltam, relêem o arquivo, pedem uma segunda opinião e, eventualmente, descobrem a resposta correta.
A Analogia: Você está dirigindo para uma festa. Você dá uma volta errada porque o GPS estava ligeiramente fora. Em vez de desistir, você percebe que está perdido, para o carro, verifica um mapa, pega uma rota cênica e ainda chega à festa no horário. Você percorreu um caminho muito mais longo e caro (mais gasolina, mais tempo), mas chegou lá.
Por que importa: Esta é a reação mais comum (40% das vezes). O sistema é "resiliente", mas custou muito dinheiro extra (poder de computação) para corrigir o erro.

3. O "Colapso Total" (Disrupção Combinada)

O que acontece: O erro é tão ruim que a equipe fica confusa, tenta consertar, falha e, eventualmente, desiste ou produz uma resposta sem sentido.
A Analogia: O chef tenta assar o bolo, mas o forno está quebrado. Eles tentam consertar o forno, falham e então tentam assar em uma torradeira. Ela explode. A cozinha está uma bagunça e não há bolo.

Principais Descobertas em Português Simples

1. "Caro" não significa "Seguro".
Você pode pensar: "Se a equipe está trabalhando duro e levando muito tempo (alto custo), eles devem estar sendo cuidadosos e obtendo a resposta certa."
O artigo diz: Não.

Baixo Custo = Perigoso: Às vezes a equipe trabalha rápido e barato, mas está silenciosamente produzindo a resposta errada (O Sabotador Silencioso).
Alto Custo = Não é uma Garantia: Às vezes a equipe trabalha duro e leva um desvio longo, mas ainda falha em obter a resposta correta.
A Lição: Você não pode julgar se um sistema está funcionando apenas olhando quanto custa ou quanto tempo leva.

2. Arquivos Diferentes Quebram de Formas Diferentes.
O tipo de arquivo importa:

Planilhas/Tabelas: Quando essas são bagunçadas, a equipe tende a ficar presa em um loop, tentando recalcular e re-verificar as coisas repetidamente (Execução Estendida).
Arquivos de Áudio: Quando o áudio está embaralhado, a equipe geralmente desiste imediatamente (Encerramento Antecipado).
Imagens: Se uma imagem está desfocada, a equipe pode dar um desvio estranho, mas às vezes ainda obtém a resposta.

3. O "Primeiro Erro" Conta uma História.
Os pesquisadores olharam quando a equipe percebeu pela primeira vez que algo estava errado.

Divergência Precoce: Se eles ficam confusos imediatamente, significa que a leitura inicial do arquivo estava quebrada.
Divergência Tardia: Se eles trabalham bem por um tempo e depois ficam confusos, significa que o erro era sutil e só apareceu quando começaram a fazer matemática complexa ou lógica mais tarde no processo.

Por que as Guardas de Segurança Atuais Falham

A maioria das empresas constrói redes de segurança que se parecem com isto: "Se o sistema parar de funcionar, travar ou levar muito tempo, pare-o."

Este artigo argumenta que essas redes de segurança estão cegas para o perigo real.

Elas perdem os Sabotadores Silenciosos porque o sistema parece calmo e ordenado.
Elas podem punir os Desviadores (que na verdade resolveram o problema) porque o sistema demorou demais ou usou muitos recursos.

A Conclusão

Quando construímos equipes de agentes de IA para fazer trabalho complexo, não podemos apenas verificar a resposta final. Temos que assistir ao filme de como eles chegaram lá.

Um processo calmo e rápido pode ser uma falha oculta.
Um processo caótico e caro pode ser uma recuperação bem-sucedida.
Para tornar esses sistemas seguros, precisamos de novas maneiras de observar o "rastreio" do pensamento deles, não apenas o resultado final.

O artigo conclui que precisamos projetar sistemas que possam detectar esses erros "silenciosos" e entender que "trabalhar duro" nem sempre significa "trabalhar certo".

1. Declaração do Problema

Os sistemas multi-agente (SMA) dependem cada vez mais de artefatos externos heterogéneos (PDFs, folhas de cálculo, apresentações, áudio) para realizar tarefas de raciocínio complexo. A informação extraída destas fontes é transmitida entre agentes especializados (por exemplo, extratores, analistas, validadores). O problema central abordado é a contaminação de informação: erros introduzidos durante a extração ou análise destes artefatos (por exemplo, colunas de tabelas desalinhadas, ruído de OCR, texto corrompido) que se propagam pelo fluxo de trabalho.

As práticas atuais de avaliação focam-se principalmente na precisão do ponto final (a resposta final corresponde à verdade fundamental?). Os autores argumentam que isto é insuficiente porque:

Desacoplamento: Os fluxos de trabalho podem divergir estruturalmente (alterar os caminhos de execução) e, ainda assim, recuperar a resposta correta, ou permanecer estruturalmente estáveis enquanto produzem saídas incorretas.
Custos Ocultos: A instabilidade estrutural (redirecionamento, novas tentativas) incorre em custos operacionais significativos (tokens, tempo) mesmo que a resposta final seja correta.
Falha das Barreiras de Proteção: Mecanismos de verificação comuns (verificações de esquema, validação de formato) frequentemente falham em interceptar dados "localmente plausíveis mas globalmente corruptores".

2. Metodologia

Os autores propõem uma estrutura de análise em nível de rastreio para quantificar como a incerteza se propaga através de fluxos de trabalho multi-agente estruturados.

Configuração Experimental

Benchmarks: 32 tarefas do benchmark GAIA, selecionadas pela sua dependência de anexos de ficheiros (tabulares, documentos, imagem, áudio).
Arquitetura: Uma orquestração multi-agente fixa com papéis especializados (Coordenador, Analista de Dados, Verificador de Factos, Sintetizador, etc.) a comunicar através de um espaço de trabalho partilhado.
Modelos: Experiências conduzidas em três backends de LLM: GPT-5-mini, LLaMA-3.1-70B e Qwen3-235B.
Dados: 614 execuções emparelhadas (limpas vs. perturbadas) por tarefa.

Estratégia de Perturbação

Em vez de modificar ficheiros brutos, os autores injetam perturbações estruturadas nas representações derivadas de artefactos (por exemplo, o segmento de texto extraído por uma ferramenta de OCR ou a tabela analisada a partir de um PDF).

Tipos de Perturbação: Inclui troca de colunas, alterações de unidades, ruído de OCR, desfoque de imagem, erros de codificação e redação de texto.
Controlo: Todas as outras variáveis (prompts, sementes, papéis dos agentes) são mantidas constantes para isolar o efeito da perturbação.

Estrutura de Medição

A inovação central é o uso de Rastros de Execução ( $\tau$ ) em vez de apenas saídas finais.

Assinaturas Estruturais: Eventos (decisões de encaminhamento, chamadas de ferramentas, leituras de memória) são abstraídos em assinaturas estruturais para ignorar ruído lexical (por exemplo, formulações diferentes) e focar no fluxo de controlo.
Divergência de Rastreio: Medida utilizando a Distância de Edição Estrutural Normalizada ( $d_{norm}$ ) entre o rastreio limpo e o rastreio perturbado.
Ponto de Primeira Divergência ( $t^\star$ ): Identifica o passo exato em que a execução perturbada se desvia pela primeira vez da linha de base, ajudando a localizar o mecanismo de falha.
Métricas:
- Resultado: Sucesso/fracasso da tarefa.
- Custo: Sobrecarga de tokens (perturbado vs. limpo).
- Fluxo de Controlo: Redirecionamento, execução prolongada (loops) e terminação antecipada.

3. Principais Contribuições

Taxonomia Formal das Manifestações de Contaminação:
- Corrupção Semântica Silenciosa (15,3%): O rastreio de execução permanece estruturalmente idêntico à linha de base ( $d_{norm} \approx 0$ ), mas a saída final é incorreta. O sistema "aceita" dados corrompidos sem acionar estados de erro.
- Desvios Comportamentais com Recuperação (40,3%): O caminho de execução diverge significativamente (redirecionamento, novas tentativas, passos extras), mas o sistema compensa com sucesso e produz a resposta correta.
- Disrupção Combinada (39,9%): Tanto o caminho de execução como a saída final estão corrompidos.
Estrutura de Medição Baseada em Rastreio: Um método para detetar, localizar e quantificar a contaminação utilizando distância de edição estrutural e pontos de primeira divergência, indo além da avaliação apenas no ponto final.
Evidência Empírica do Desacoplamento Custo-Exactidão: Demonstrando que um alto custo operacional não garante exactidão, e que um baixo custo não garante segurança.

4. Principais Resultados e Descobertas

Desacoplamento de Estrutura e Resultado

Descoberta 1: As métricas de ponto final são inadequadas. 40,3% das execuções com grande divergência estrutural recuperaram respostas corretas, enquanto 15,3% das execuções com rastros estáveis falharam silenciosamente.
Implicação: Confiar apenas na precisão da resposta esconde instabilidade interna; confiar apenas na divergência de rastreio cria falsos positivos para "falha" quando o sistema está, na verdade, a adaptar-se.

Assinaturas de Fluxo de Controlo

Redirecionamento (80,6% das execuções divergentes): A resposta mais comum à contaminação. Os agentes detetam inconsistências e alteram estratégias.
Execução Prolongada (37,4%): A contaminação aciona loops de nova tentativa e verificação multi-estágio, levando a altos custos de tokens (mediana de 1,5x–2,4x da linha de base).
Terminação Antecipada (25,3%): Comum em modalidades de áudio, onde a falha de transcrição interrompe todo o pipeline.
Especificidade da Modalidade: Perturbações em dados tabulares frequentemente acionam execução prolongada; perturbações em áudio favorecem a terminação antecipada.

Localização Temporal

Divergência Precoce ( $t^\star < 0,1$ ): Indica falhas fundamentais de extração (por exemplo, erros de análise).
Divergência Tardia ( $t^\star > 0,3$ ): Indica sensibilidade na fase de raciocínio (por exemplo, erros aritméticos resultantes de corrupção numérica subtil).

Custos Operacionais

Descoberta 4: O custo é um mau indicador de exactidão.
- 76,2% das execuções de baixo custo produziram respostas incorretas (Corrupção Silenciosa).
- Apenas 16,3% das execuções de alto custo (>2x tokens) produziram respostas corretas.
Descoberta 5: A elevada sobrecarga de tokens não prevê recuperação. Algumas perturbações (por exemplo, marcas de água) causam desvios dispendiosos que raramente têm sucesso, enquanto outras (por exemplo, erros de codificação) permitem recuperação moderada.

Diferenças entre Modelos

LLaMA-3.1-70B exibiu divergência mais precoce (detecção mais rápida de erros) mas taxas de recuperação mais baixas em comparação com GPT-5-mini e Qwen3-235B.
GPT-5-mini mostrou a maior taxa de "Desvios Comportamentais com Recuperação" (48,6%), sugerindo uma estratégia de adaptação mais robusta.

5. Significado e Implicações

Crítica às Barreiras de Proteção Atuais: As barreiras de proteção padrão (validação de esquema, orçamentos de nova tentativa) falham porque assumem que a contaminação se manifesta como erros estruturais. A corrupção semântica silenciosa contorna estas verificações completamente.
Recomendações de Design:
- Verificação Direcionada: As estratégias de verificação devem ser específicas da modalidade (por exemplo, validação agressiva para áudio, verificações de esquema para tabelas).
- Defesa Consciente de Custos: Os sistemas devem reconhecer que execuções de alto custo não são necessariamente adaptações "bem-sucedidas", e que execuções de baixo custo não são necessariamente "seguras".
- Avaliação Nativa de Rastreio: Futuros benchmarks devem avaliar rastros de execução, e não apenas respostas finais, para capturar o espectro completo de robustez.
Direções Futuras: O artigo apela à atribuição de origem baseada em proveniência (rastreio até ao erro de extração específico), aprendizagem de fluxos de trabalho resilientes à contaminação (RL para encaminhamento robusto) e orçamentos de verificação adaptativos baseados no risco de contaminação previsto.

Em resumo, o artigo estabelece que a contaminação de informação em sistemas multi-agente é um fenómeno complexo e multidimensional onde a estabilidade estrutural e a exactidão semântica estão frequentemente desalinhadas. Fornece uma estrutura rigorosa para medir este desalinhamento, oferecendo um caminho para sistemas de agentes mais robustos, rentáveis e verificáveis.