Beyond the Transcript: Detecting Covert Co ordination in Latent Multi-Agent Communication
作者: Ramneet Kaur, Pradyumna Chari, Ramesh Raskar, Jugad Singh, Sumit Kumar Jha, Anirban Roy
分类: cs.AI, cs.CR
发布日期: 2026-08-19
💡 一句话要点
提出可验证潜在对齐框架以监测隐秘多智能体通信
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 隐秘通信 多智能体系统 激活感知 因果分析 网络安全
📋 核心要点
- 现有方法无法有效监测语言模型代理之间的隐秘通信，导致潜在的有害协调行为难以识别。
- 本文提出的VLA框架通过激活感知监测私密通信通道，结合事件标识符实现因果分析，增强了监测能力。
- 在多智能体拍卖基准测试中，VLA监测器在均质代理中AUROC达到0.993，且有效减少了低价串通行为。
📝 摘要（中文）
语言模型代理可以通过公共记录中不可见的连续隐状态进行通信，这可能导致隐秘的有害协调。本文提出了一种激活感知框架——可验证潜在对齐（VLA），用于监测和引导这些私密通信通道。VLA通过共享事件标识符将私有潜在状态记录与公共行动相连接，从而实现匹配的因果分析。我们首次提出的中立监测器结合了表示异常检测、反事实行动分布影响和稀疏自编码器解释支持。实验结果表明，该监测器在均质代理中实现了0.993的接收者操作特征曲线（AUROC）均值，显示出其在多智能体环境中的有效性。
🔬 方法详解
问题定义：本文旨在解决语言模型代理之间隐秘通信的监测问题，现有方法在识别潜在有害协调方面存在不足，难以捕捉到公共记录中不可见的通信状态。
核心思路：提出的VLA框架通过激活感知的方式监测私密通信通道，利用共享事件标识符将私有潜在状态与公共行动相连接，从而实现匹配的因果分析，增强了对隐秘协调行为的监测能力。
技术框架：VLA框架包含三个主要模块：中立监测器、引导框架和评估模块。中立监测器负责检测表示异常和反事实行动影响，引导框架则涵盖黑箱行为指令和白箱匹配中立反事实，评估模块用于在控制的多智能体环境中进行性能验证。
关键创新：VLA框架的核心创新在于结合了激活感知监测和因果分析，首次实现了对隐秘通信的有效监测与引导，显著提升了对潜在有害协调行为的识别能力。
关键设计：监测器采用三层结构，结合表示异常检测、反事实影响分析和稀疏自编码器解释，确保了高效的监测性能。实验中，均质代理的AUROC达到了0.993，显示出该设计的有效性。
🖼️ 关键图片
📊 实验亮点
实验结果显示，VLA监测器在均质代理中实现了0.993的AUROC，而在异质代理中为0.854。监测过程相对轻量，且全白箱引导实现了100%的出价分布恢复，显著减少了47.3个百分点的低价串通行为，验证了该方法的有效性。
🎯 应用场景
该研究在多智能体系统、网络安全和社会网络分析等领域具有广泛的应用潜力。通过有效监测隐秘通信，可以防止潜在的有害协调行为，提升系统的安全性和透明度。未来，该技术可扩展至更复杂的多智能体环境，进一步增强其实际价值。
📄 摘要（原文）
Language-model agents can communicate through continuous hidden states that are invisible in public transcripts, creating opportunities for covert harmful coordination. We introduce Verifiable Latent Alignments (VLA), an activation-aware framework for monitoring and steering these private communication channels. For every monitored decision, VLA links the private latent-state record and channel status to the resulting public action using a shared event identifier, enabling matched causal analysis. Our first contribution is a neutral-only three-layer monitor combining representation anomaly detection, counterfactual action-distribution influence, and sparse-autoencoder interpretation support. Our second contribution is a steerability framework spanning black-box behavioral instructions and white-box matched-neutral counterfactuals. Our third contribution is an evaluation on a controlled multi-agent auction benchmark covering homogeneous and heterogeneous model pairs, many-agent scalability, and intervention effectiveness. The sequential monitor achieves mean area under the receiver operating characteristic curve (AUROC) of 0.993 for homogeneous agents and 0.854 for heterogeneous pairs when text- and latent-collusion rows are pooled as positives. In Qwen3-0.6B auctions with 25-100 bidders, monitoring requires only a small normalized load relative to all possible directed pairs, while full white-box steering achieves 100% bid-distribution recovery and reduces collusive low-bid behavior by 47.3 percentage points. Because full white-box steering replays the matched neutral counterfactual, its exact recovery is a sanity check by construction. Overall, the controlled study shows that the evaluated private channel attacks can be monitored without training the primary monitor on attack examples and mitigated when matched counterfactual access is available.