💻 computer science

AutoRedTrader: Autonomous Red Teaming of Trading Agents through Synthetic Misinformation Injection

本文介绍了 AutoRedTrader，这是一个自主红队框架，能够生成微妙的、金融领域的特定虚假信息，以系统性地评估和揭示基于大语言模型的交易代理的漏洞，并在比特币交易数据上展现出优于通用基准的攻击有效性。

原作者： Zhiwei Liu, Yangyang Yu, Yupeng Cao, Yuechen Jiang, Haohang Li, Zhuoran Lu, Yuyan Wang, Yixiang Zheng, Xiaorui Guo, Calvin Yixiang Cheng, Sophia Ananiadou

发布于 2026-05-12

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Zhiwei Liu, Yangyang Yu, Yupeng Cao, Yuechen Jiang, Haohang Li, Zhuoran Lu, Yuyan Wang, Yixiang Zheng, Xiaorui Guo, Calvin Yixiang Cheng, Sophia Ananiadou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，将金融交易智能体比作一位在繁忙厨房中工作的高度智能的自动化厨师。这位厨师不仅查看食材（如股价等数字），还会阅读食谱卡片和关于食品趋势的每日新闻（文本信号），以此决定烹饪什么以及何时上菜。

本文介绍了一种名为AutoRedTrader的新型“安全测试器”。它的任务是观察，通过向这位自动化厨师提供微妙且令人困惑的食谱笔记，能多么轻易地诱使其做出糟糕的菜肴。

以下是本文如何利用简单的类比来分解这一概念：

1. 问题：“耳语”攻击

通常，我们认为虚假信息是响亮且明显的谎言（例如，一条尖叫着“天要塌了！”的虚假头条）。但在金融领域，危险要隐蔽得多。它更像是厨师耳边的一声耳语。

诡计：攻击者并非改变事实，而是微调新闻故事的语气、强调点或框架。例如，将“市场稳定”改为“市场谨慎地稳定”。
结果：厨师（AI 智能体）并未意识到自己受骗，因为文字看起来是真实的。然而，这微小的转变改变了他们的信心，导致他们过早卖出股票或买入不该买的股票。随着时间的推移，这些微小的耳语会导致厨师做出与拥有清晰信息时完全不同的系列决策。

2. 解决方案：AutoRedTrader（“大师级欺骗者”）

研究人员构建了一个名为AutoRedTrader的系统，充当“红队”（一群道德黑客）。该系统不只是猜测什么可能欺骗厨师，而是不断学习如何更有效地欺骗他们。

它使用三种主要工具来制造这些“耳语”：

心理博弈（行为偏差）：它深知人类（以及模仿人类的 AI）存在思维捷径。它刻意撰写新闻以触发诸如过度自信（让厨师过于自信）或损失厌恶（让厨师对亏损感到恐惧）等心理反应。
微调（微小扰动）：它对文本进行微小且几乎不可见的修改。也许交换一个数字，稍微更改一个日期，或将引语归因于错误的公司。这就像在食谱中更改一种单一食材从而毁掉整道菜，但标签看起来依然相同。
风格转换（重写）：如果 AI 检测到虚假故事过于明显，该工具会以不同的“声音”重写它——例如，将随意的博客文章改写为正式的学术论文或 BBC 新闻报道。这使得谎言听起来更可信，更难被识破。

3. 反馈循环：从错误中学习

AutoRedTrader 的独特之处在于，它并非攻击一次就停止。它是一个闭环。

测试：它将虚假新闻注入模拟环境。
反应：它观察交易智能体的反应。智能体是买入还是卖出？是否亏损？
教训：如果智能体中了某种特定类型的诡计（例如“损失厌恶”），系统会记住这一点。在下一轮中，它会使用更多这种特定的诡计。这就像开锁团队不断尝试不同的钥匙，直到找到能打开门的那一把，然后持续使用那把钥匙。

4. 结果：攻击效果如何？

研究人员在比特币交易数据（一个波动性极大的市场）上测试了这一点。

得分：AutoRedTrader 是最成功的攻击者。它成功将其虚假新闻植入智能体“脑海”的比例高达69%（虚假信息暴露率）。
影响：更重要的是，它成功改变了智能体**26.67%**的交易决策。这一比例显著高于其他通用黑客方法，证明金融智能体极易受到这些微妙且针对金融领域的诡计的影响。

5. 防御：“时间旅行”盾牌

本文还测试了一种名为**时间序列落地（Time-Series Grounding）**的防御机制。

类比：想象厨师被一张令人困惑的食谱笔记搞糊涂了。该防御机制会给他们一台“时间机器”，展示过去 30 天厨房里实际发生的情况。
效果：即使虚假新闻声称“市场正在崩盘”，“时间机器”也会向厨师展示价格实际上已稳定数周。这种历史证据有助于智能体意识到新闻可能是错误的。
结果：当启用该防御机制时，攻击的成功率显著下降。智能体变得更难被欺骗，因为它能够将文本与真实的历史数据进行交叉核对。

总结

本文认为，目前的金融 AI 智能体就像那些轻信每一个耳语的厨师。AutoRedTrader是一个工具，它证明了这些智能体多么容易被微妙且精心策划的谎言所操纵。然而，它也表明，如果赋予这些智能体一种检查“历史记录”（时间序列数据）的方法，它们就能更好地抵御这些诡计。

目标并非教导人们如何欺诈市场，而是揭露这些弱点，以便开发者能够构建更安全、更稳健的金融 AI 系统，使其不会被写得漂亮的谎言所愚弄。

技术摘要：AutoRedTrader

问题陈述

基于大语言模型（LLM）的金融智能体日益依赖数值市场数据与文本信号（如新闻标题、分析师报告）的组合，以执行连续交易和股票预测。尽管现有的红队框架已涵盖安全性与越狱问题，但它们往往未能捕捉金融智能体对微妙金融虚假信息的特定脆弱性。与明显的虚假陈述不同，金融虚假信息通常表现为微小的文本扰动——情感、框架、强调或数值上的细微偏移——这些偏移仍接近真实信息。这些微妙的编辑可能显著改变智能体关于风险、动量或基本面的推理，导致交易决策中出现长周期轨迹发散。

当前的模拟框架（如 FinMem、FinCon）通常假设上游过滤或部署时的防御模块将处理虚假信息，从而未能测量微妙、对抗性文本扰动这一特定失效模式。此外，现有的红队方法往往将失效定位在单个输出上，而忽略了在连续决策过程中发生的累积仓位漂移。

方法论：AutoRedTrader

作者提出了AutoRedTrader，这是一个自主红队框架，旨在通过生成和注入合成、金融特定的虚假信息，对基于 LLM 的金融智能体进行压力测试。该系统在部分可观测马尔可夫决策过程（POMDP）模拟环境中作为闭环流程运行。

1. 框架架构

该框架由三个在循环中交互的主要组件构成：

MisGen（对抗性虚假信息生成器）： 生成微妙的、金融特定的文本扰动。
金融智能体（FinAgent）： 一个基于 LLM 的智能体，处理市场数据和新闻以做出交易决策（买入、卖出、持有）。
时间序列证据提供者： 一个可选模块，提供源自历史市场数据的结构化时间证据，以测试智能体的鲁棒性。

2. 虚假信息生成策略（MisGen）

核心创新在于生成策略，该策略受行为金融学理论指导，将扰动空间 $\Phi$ 分解为三个互补的子空间：

认知偏差扰动（ $\Phi_{Bias}$ ）： 操纵智能体的系统提示或上下文，以诱发特定的行为偏差（过度自信、损失厌恶、锚定效应、羊群效应、确认偏误）。这针对的是智能体的推理先验，而非新闻内容本身。
语义内容扰动（ $\Phi_{Minor}$ ）： 对新闻内容 $n_i$ $n_{i}$ 应用微妙的编辑。这包括：
- 反转： 逆转市场含义（例如，从正面转为负面）。
- 情感偏移： 调整语气而不改变事实。
- 数值编辑： 修改关键财务数据，同时保留趋势方向。
- 时间/概念/实体偏移： 引入时间、指标或归因上的错位。
风格控制重写（ $\Phi_{Rewrite}$ ）： 以特定的新闻文体（学术风格或新闻风格）重新表达扰动后的内容，以规避标准过滤器的检测，同时保持与原文的语义相似性。

3. 闭环反馈与策略选择

AutoRedTrader 采用具有历史感知能力的策略选择机制。在每次模拟轮次后，智能体的累积回报（CR）和决策影响历史被反馈给 MisGen。

此前曾导致决策变更的策略会被赋予更高的采样概率（通过 Polya 瓮过程建模）。
应用基于回报的调整：成功的回报会增加诱发过度自信的概率，而亏损则会增加损失厌恶的概率。
过滤阶段确保生成的虚假信息在注入前满足高语义相似性（ $\tau_{sim}$ ）和低可检测性（ $\tau_{det}$ ）阈值。

4. 通过时间序列锚定进行的鲁棒性分析

为了评估鲁棒性，该框架引入了时间序列信息锚定设置。该模块不是替换文本，而是向智能体提供源自历史市场窗口（如波动率、回撤、趋势发散）的结构化时间证据。这使得智能体能够评估传入文本信号与历史市场动态之间的一致性，从而测试此类证据能否在误导性叙事面前稳定决策。

主要贡献

金融虚假信息生成： 一种新颖的方法，用于生成受行为偏差和智能体反馈指导的微妙、金融特定文本扰动，超越了通用的对抗性提示。
闭环金融智能体模拟： 一个基于 POMDP 的模拟框架，其中智能体反馈迭代地强化虚假信息生成，捕捉累积的决策漂移，而非孤立的输出失效。
用于鲁棒性的时间序列锚定： 对结构化历史市场证据是否能作为锚定机制以减少智能体对误导性文本信号过度反应的研究。

实验结果

该框架在 2023 年 3 月至 4 月的 60 天比特币（BTC）交易数据上，使用基于检索的交易智能体进行了评估。

攻击性能： AutoRedTrader 实现了最高的攻击成功率（ASR）为26.67%，虚假信息暴露率（MER）为69.00%。这优于通用基线（AutoRedTeamer、Pliny、LIFE），并表明仅检索虚假信息是不够的；虚假信息必须与决策相关并与智能体的推理保持一致。
对回报的影响： 该攻击将智能体的累积回报从 +23.50% 的干净基线降低至 +22.27%，表明虚假信息会对交易结果产生负面影响。
鲁棒性发现： 当启用时间序列信息锚定设置时，攻击效果显著下降（MER 降至 41.66%，ASR 降至 18.33%），这表明历史市场证据有助于智能体过滤误导性信号。
消融研究： 移除任何组件（偏差、微小扰动、重写、反馈或过滤）都会导致 ASR 下降，证实所有模块对于生成可检索且决策有效的虚假信息都是必不可少的。

意义与主张

该论文声称，AutoRedTrader 揭示了基于检索的金融智能体的一个关键脆弱性：它们容易受到规避标准检测的微妙、改变轨迹的虚假信息的影响。这项工作强调，当前依赖于上游过滤的鲁棒性假设不足以应对金融虚假信息的细微性质。

通过证明行为偏差操纵和微小文本扰动可以系统地降低智能体性能，作者主张在金融 AI 的开发中必须进行防御性评估和鲁棒性测试。结果表明，整合时间序列锚定——利用历史市场数据验证文本信号——可以作为一种有效机制来稳定智能体决策，并提高其对抗对抗性叙事的韧性。作者强调，他们的工作严格用于研究和防御目的，以指导更安全的模型设计，同时承认所生成技术存在双重使用风险。