技术摘要：Agent Guide —— 一种简单的智能体行为水印框架

问题陈述

由大语言模型（LLM）驱动的智能体在数字生态系统（尤其是社交媒体平台）中的快速部署，带来了关于可追溯性和问责制的严峻挑战。虽然智能体在模拟人类交互方面提供了变革性的能力，但它们也使恶意行为者能够冒充用户、传播虚假信息并操纵公众舆论。此外，专有智能体系统面临着未经授权的复制和知识产权窃取的风险。

现有的水印技术不足以应对这些针对智能体的特定威胁。传统方法分为两类：

1. 训练阶段修改： 修改模型权重，这对于依赖预训练 LLM API（如 GPT-4、Deepseek）且无法访问训练过程的智能体来说是不切实际的。
2. Token 级操纵： 在 Logits 生成或 Token 采样期间嵌入水印。这些方法无法捕捉高层级的智能体行为，因为行为（例如“决定收藏”）与 Token 结构并不线性对齐。一个单一的行为决策往往跨越多个 Token，并且从高层意图到离散动作的转换会导致显著的信息丢失，使得基于 Token 的水印难以提取或验证。

目前还没有专门针对 AI 智能体网络行为设计的加水印技术，这使得从基于内容的追踪转向基于行为的追踪成为必要。

方法论：Agent Guide

作者提出了 Agent Guide，一种新型的行为水印框架，它将智能体的运行解耦为两个不同的层面：行为（高层决策，例如选择收藏）和行动（具体执行，例如带有特定标签进行收藏）。该框架通过引导高层行为的概率分布来嵌入水印，同时保持特定行动输出的自然性。

框架架构

该系统在一个涉及多个轮次（$N$）的模拟环境中运行，包含以下组件：

1. 记忆模块： 存储智能体的角色设定（姓名、年龄、情绪、特质）以及关于过去事件、行为和行动的反思性记忆。它还维护一个预定义的行为列表 $B = \{b_1, b_2, ..., b_m\}$。
2. 事件生成： LLM 根据智能体的角色设定和记忆生成一个上下文事件（$e_r$）。
3. 行为概率生成： LLM 输出给定当前事件和记忆下，在行为列表 $B$ 上的归一化概率分布（$P_r$）。
4. Agent Guide 模块（水印嵌入）： 这是核心组件。它对概率分布应用水印引导的偏差：
   • 选择： 基于密钥 $k$ 和当前轮次 $r$，选择行为子集 $B_g \subseteq B$。
   • 偏置： 增加 $B_g$ 中行为的概率，偏差强度为 $\gamma$：$p'(b_i) = p(b_i) + \gamma \cdot p(b_i)$。
   • 约束： 为确保鲁棒性，对偏差强度（$\gamma_{min}$）和引导行为的数量（$n_{min}$）实施最小阈值限制。
   • 归一化： 将分布归一化，使其总和为 1。
   • 选择： 从偏置后的分布中随机选择一个行为 $b^*$。
5. 行动执行： LLM 生成与所选行为 $b^*$ 相对应的具体行动（$a_r$），确保输出保持自然且符合上下文。
6. 记忆更新： 元组 $(e_r, b^*, a_r)$ 被存储在反思性记忆中，供下一轮使用。

水印提取

检测依赖于统计分析，而非检查特定的文本输出。检测器假设智能体的行为分布是否受到了引导。

• 零假设 ($H_0$)： 智能体未添加水印；从引导子集 $B_g$ 中选择行为的概率为 $p_0 = |B_g|/|B|$。
• 检验统计量： 基于 $N$ 轮中落在 $B_g$ 内的行为观察频率（$X$）计算 z-统计量：
  $$z = \frac{X - \mu_0}{\sigma_0}$$
  其中 $\mu_0 = N \cdot p_0$ 且 $\sigma_0 = \sqrt{N \cdot p_0 \cdot (1 - p_0)}$。
• 决策： 如果 $z$ 超过阈值 $\tau$（例如，对应于 $\alpha = 0.05$），则拒绝 $H_0$，确认存在水印。

核心贡献

1. 首个行为级水印框架： Agent Guide 是第一个专门针对 AI 智能体网络行为的技术，实现了从基于内容的水印向基于行为的追踪的转变。
2. 解耦的嵌入策略： 通过将行为（决策）与行动（执行）分离，该框架成功地将可检测的标记嵌入到智能体的决策概率分布中，而不会损害生成的行动的自然性。
3. 实用且可扩展的解决方案： 该方法旨在用于使用预训练 LLM API 的智能体，无需修改模型权重或进行重新训练。它为识别恶意智能体和保护专有系统提供了可行的方案。
4. 实证验证： 该框架通过广泛的实验得到了验证，证明了在不同智能体剖面下具有可靠的检测能力和极低的误报率。

实验结果

作者在社交媒体模拟场景中评估了 Agent Guide，每个智能体进行 $N=50$ 轮测试。

• 设置： 测试了六个根据活跃度（活跃、不活跃）和情绪（冷静、愉悦、悲伤）变化的智能体剖面。行为列表包括六个动作：点赞、收藏、分享、评论、浏览和下载。
• 参数： 使用固定密钥（$k=2025$）、最小水印强度（$\gamma_{min}=0.5$）和最小行为列表大小（$n_{min}=3$）。检测阈值设为 $z=2$ ($\alpha=0.05$)。
• 性能：
  • 未加水印的智能体： 产生的 z-统计量接近 0（范围在 0.00 到 1.41 之间），导致“无”检测结果（误报率实际上为 0）。
  • 加水印的智能体： 一致地产生高 z-统计量（范围在 3.96 到 4.81 之间），导致“有”检测结果。
  • 鲁棒性： 该方法在所有人格类型（活跃/不活跃，冷静/愉悦/悲伤）中均保持了高效的检测能力，加水印智能体的平均 z-统计量始终超过 4.0。

意义与主张

本文声称 Agent Guide 为智能体水印提供了一个实用且鲁棒的解决方案，填补了当前网络安全和版权保护机制中的关键空白。通过专注于行为层，该框架确保了数字生态系统中全面的可追溯性和问责制。

作者强调，其方法之所以特别重要，是因为：

• 它能够识别传播虚假信息的恶意智能体，而无需依赖容易被篡改的内容分析。
• 它通过在行为模式中嵌入所有权标记，保护了专有智能体系统（例如在金融或医疗领域）免受未经授权的复制。
• 它在现实场景中运行有效，即智能体与预训练 LLM API 进行交互，这一约束使得传统的基于训练的水印技术无法实现。

该研究得出结论，行为级水印是内容级水印的重要补充，能够提供对智能体意图和长期影响的更深层次洞察。