Resumo Técnico: AutoRedTrader

Declaração do Problema

Agentes financeiros baseados em Modelos de Linguagem de Grande Escala (LLM) dependem cada vez mais de uma combinação de dados numéricos de mercado e sinais textuais (por exemplo, manchetes de notícias, relatórios de analistas) para executar negociação sequencial e previsão de ações. Embora as estruturas existentes de red-teaming abordem segurança e jailbreaking, elas frequentemente falham em capturar as vulnerabilidades específicas dos agentes financeiros à desinformação financeira sutil. Diferentemente de falsidades explícitas, a desinformação financeira manifesta-se frequentemente como perturbações textuais menores — deslocamentos sutis em sentimento, enquadramento, ênfase ou valores numéricos — que permanecem próximos de informações genuínas. Essas edições sutis podem alterar significativamente o raciocínio de um agente quanto a risco, momentum ou fundamentos, levando a uma divergência de trajetória de longo prazo nas decisões de negociação.

As estruturas de simulação atuais (por exemplo, FinMem, FinCon) geralmente assumem que a filtragem a montante ou módulos de defesa no momento da implantação lidarão com a desinformação, deixando o modo de falha específico de perturbações textuais adversárias sutis sem medição. Além disso, os métodos existentes de red-teaming frequentemente localizam a falha em saídas individuais, perdendo o desvio cumulativo de posição que ocorre durante processos de tomada de decisão sequenciais.

Metodologia: AutoRedTrader

Os autores propõem o AutoRedTrader, uma estrutura de red-teaming autônoma projetada para testar sob estresse agentes financeiros baseados em LLM através da geração e injeção de desinformação sintética específica de finanças. O sistema opera como um processo de malha fechada dentro de um ambiente de simulação de Processo de Decisão de Markov Parcialmente Observável (POMDP).

1. Arquitetura da Estrutura

A estrutura consiste em três componentes principais interagindo em um loop:

• MisGen (Gerador de Desinformação Adversária): Gera perturbações textuais sutis e específicas de finanças.
• Agente Financeiro (FinAgent): Um agente baseado em LLM que processa dados de mercado e notícias para tomar decisões de negociação (Comprar, Vender, Manter).
• Provedor de Evidências de Série Temporal: Um módulo opcional que fornece evidências temporais estruturadas a partir de dados históricos de mercado para testar a robustez do agente.

2. Estratégia de Geração de Desinformação (MisGen)

A inovação central reside na estratégia de geração, que decompõe o espaço de perturbação $\Phi$ em três sub-espaços complementares guiados pela teoria das finanças comportamentais:

• Perturbação de Viés Cognitivo ($\Phi_{Bias}$): Manipula o prompt de sistema ou contexto do agente para induzir vieses comportamentais específicos (Superconfiança, Aversão à Perda, Ancoragem, Rebanho, Viés de Confirmação). Isso visa o prior de raciocínio do agente e não o conteúdo da notícia em si.
• Perturbação de Conteúdo Semântico ($\Phi_{Minor}$): Aplica edições sutis ao conteúdo da notícia $n_i$. Isso inclui:
  • Inversão: Reverter implicações de mercado (por exemplo, de positivo para negativo).
  • Deslocamento de Sentimento: Ajustar o tom sem alterar fatos.
  • Edições Numéricas: Modificar figuras financeiras chave mantendo a direção da tendência.
  • Deslocamentos Temporais/Conceituais/Entidades: Introduzir desalinhamentos em tempo, métricas ou atribuição.
• Reescrita Controlada por Estilo ($\Phi_{Rewrite}$): Reexpressa o conteúdo perturbado em registros jornalísticos específicos (Estilo Acadêmico ou Estilo de Notícias) para evadir a detecção por filtros padrão, mantendo a similaridade semântica com o original.

3. Feedback de Malha Fechada e Seleção de Estratégia

O AutoRedTrader emprega um mecanismo de seleção de estratégia consciente do histórico. Após cada rodada de simulação, o Retorno Cumulativo (RC) do agente e o Histórico de Impacto na Decisão são alimentados de volta ao MisGen.

• Estratégias que anteriormente levaram a mudanças de decisão recebem probabilidades de amostragem mais altas (modeladas via processo de urna de Polya).
• Ajustes dependentes do retorno são aplicados: retornos bem-sucedidos aumentam a probabilidade de induzir Superconfiança, enquanto perdas aumentam a Aversão à Perda.
• Uma etapa de filtragem garante que a desinformação gerada atenda a altos limiares de similaridade semântica ($\tau_{sim}$) e baixa detectabilidade ($\tau_{det}$) antes da injeção.

4. Análise de Robustez via Fundamentação Temporal

Para avaliar a robustez, a estrutura introduz uma configuração de Fundamentação Informada por Série Temporal. Em vez de substituir texto, este módulo fornece ao agente evidências temporais estruturadas derivadas de janelas de mercado históricas (por exemplo, volatilidade, drawdown, divergência de tendência). Isso permite que o agente avalie a consistência entre sinais textuais entrantes e dinâmicas de mercado históricas, testando se tais evidências podem estabilizar decisões contra narrativas enganosas.

Contribuições Principais

1. Geração de Desinformação Financeira: Um método inovador para gerar perturbações textuais sutis e específicas de finanças guiadas por vieses comportamentais e feedback do agente, indo além de prompts adversários genéricos.
2. Simulação de Agente Financeiro em Malha Fechada: Uma estrutura de simulação baseada em POMDP onde o feedback do agente fortalece iterativamente a geração de desinformação, capturando o desvio cumulativo de decisão em vez de falhas de saída isoladas.
3. Fundamentação Temporal para Robustez: Uma investigação sobre se evidências de mercado históricas estruturadas podem servir como um mecanismo de fundamentação para reduzir a superreação do agente a sinais textuais enganosos.

Resultados Experimentais

A estrutura foi avaliada em 60 dias de dados de transações de Bitcoin (BTC) (março–abril de 2023) usando um agente de negociação baseado em recuperação.

• Desempenho do Ataque: O AutoRedTrader alcançou a maior Taxa de Sucesso do Ataque (ASR) de 26,67% e uma Taxa de Exposição à Desinformação (MER) de 69,00%. Isso superou baselines de propósito geral (AutoRedTeamer, Pliny, LIFE) e demonstrou que meramente recuperar desinformação é insuficiente; a desinformação deve ser relevante para a decisão e alinhada ao raciocínio do agente.
• Impacto nos Retornos: O ataque reduziu o retorno cumulativo do agente de uma linha de base limpa de +23,50% para +22,27%, indicando que a desinformação pode impactar negativamente os resultados de negociação.
• Descobertas de Robustez: Quando a configuração de Fundamentação Informada por Série Temporal foi ativada, a eficácia do ataque caiu significativamente (MER reduzida para 41,66%, ASR para 18,33%), sugerindo que evidências de mercado históricas ajudam os agentes a filtrar sinais enganosos.
• Estudos de Ablação: A remoção de qualquer componente (Viés, Perturbações Menores, Reescrita, Feedback ou Filtragem) resultou em diminuição da ASR, confirmando que todos os módulos são essenciais para gerar desinformação recuperável e eficaz para a decisão.

Significado e Alegações

O artigo afirma que o AutoRedTrader revela uma vulnerabilidade crítica em agentes financeiros baseados em recuperação: eles são suscetíveis a desinformação sutil e que altera trajetórias, que evade a detecção padrão. O trabalho destaca que as suposições atuais de robustez, que dependem de filtragem a montante, são insuficientes para a natureza nuances da desinformação financeira.

Ao demonstrar que a manipulação de viés comportamental e perturbações textuais menores podem degradar sistematicamente o desempenho do agente, os autores argumentam pela necessidade de avaliação defensiva e testes de robustez no desenvolvimento de IA financeira. Os resultados sugerem que integrar fundamentação temporal — usando dados históricos de mercado para validar sinais textuais — pode servir como um mecanismo eficaz para estabilizar decisões do agente e melhorar a resiliência contra narrativas adversárias. Os autores enfatizam que seu trabalho é estritamente para fins de pesquisa e defesa para informar um design de modelo mais seguro, reconhecendo o risco de uso dual das técnicas geradas.