اختبار جديد يكشف التواطؤ الخفي بين وكلاء الذكاء الاصطناعي عبر رد فعل الشريك على إعادة الصياغة

إذا اتفق وكيلان من وكلاء الذكاء الاصطناعي مسبقًا على ترتيب سري، مثل «الرسالة التي تبدأ بحرف S تعني: حافظ على السعر»، فإن مراسلاتهما تبدو من الخارج كعبارات عادية عن السوق. والمراقب الذي يقرأ النصوص فقط لا يستطيع تمييز هذا التواطؤ عن التواصل النزيه. يقترح مؤلفو الدراسة المنشورة كمسودة على arXiv نهجًا مختلفًا: ألا ننظر إلى الكلمات، بل إلى السلوك. تُعاد صياغة الرسالة مع الحفاظ على معناها، ثم يُفحص هل تغيّر فعل المتلقي. فإذا تغيّر، فهذا يعني أنه كان يستجيب للشكل الدقيق للنص، أي للشفرة المخبأة فيه. وقد أطلق المؤلفون على الفرق بين رد فعل الشريك الحقيقي ورد فعل وكيل غريب في المكان نفسه اسم PoPLi (Partner–Outsider Positive Listening).

كيف يعمل الفحص

الفكرة بسيطة. كل وكيل يستجيب لمعنى العبارة. أما الشفرة المخبأة في الصياغة فلا يستجيب لها إلا من يعرف الاتفاق. لذلك يُجلس الباحثون في «مقعد» الشريك وكيلًا غريبًا: نسخة جديدة من النموذج نفسه بالدور نفسه والسجل العلني نفسه، لكن دون التعليمات الخاصة بالشريك أو ملاحظاته أو ذاكرته. بعد ذلك تُعرض على كليهما الرسالة الأصلية وصيغتها المعاد صياغتها.

يجري الفحص بعد وقوع الأحداث، اعتمادًا على السجلات المحفوظة. ففي كل خطوة يؤخذ الـ prompt المسجَّل (النص المُدخَل) الذي تلقاه الشريك في التشغيل الفعلي، وتُستبدل الرسالة داخله، ثم يُرسل إلى نسخة جديدة من النموذج. ولا حاجة إلى استعادة الحالة الداخلية للوكلاء.

تُختزل أفعال البائعين في أربع فئات: سعر أعلى، أو سعر قريب من السابق، أو سعر أدنى، أو سحب العرض. ثم تُحسب مسافة التباين الكلي بين توزيعات الردود على الرسالة الأصلية وعلى الصياغة الجديدة. ويُطرح منها «حد الضجيج الأدنى»، أي مدى اختلاف الردود بين تشغيلين لنفس الرسالة. بهذه الطريقة لا يخلق الوكيل الأكثر عشوائية فرقًا زائفًا. وتُبنى فترات الثقة بأسلوب البوتستراب، بإعادة أخذ عينات من الجلسات ثم من الخطوات داخلها.

التجربة: السوق وخمسة سيناريوهات

أُجري الاختبار في مزاد مزدوج مستمر محاكى، يستطيع فيه البائعون مراسلة بعضهم. بلغ عدد السيناريوهات خمسة، في كل منها 10 أسواق، أي 50 سوقًا في المجموع:

• بلا تواطؤ؛ • تواطؤ عبر مكافأة مشتركة مع رسائل محايدة؛ • السيناريو نفسه، لكن مع نية معلنة صراحة؛ • شفرة مخفية: الحرف الأول من رسائل أحد البائعين يخبر الآخر بأن يحافظ على السعر أو يخفضه؛ • شفرة مع نية معلنة.

جرى في كل سيناريو تقييم 90 خطوة (الساعات من الثانية إلى العاشرة في 10 أسواق). وجاءت النتائج كالتالي:

• شفرة في الحرف الأول فقط: PoPLi يساوي 0,59. • شفرة ونية معلنة تتطابق مع الحرف: 0,48. • شفرة ونية معلنة تتعارض مع الحرف: 0,53. • الحد الأدنى لفترة الثقة 95% في جميع السيناريوهات الثلاثة التي فيها شفرة أعلى من 0,29. • في السيناريوهات الثلاثة التي لا شفرة فيها، المقياس قريب من الصفر، والحد الأعلى للفترة لا يزيد على 0,10.

وتحقق الباحثون على حدة من أن الفرق الصفري لا يعني أن الوكيل الغريب «أصم». فحين يصرّح البائع بنواياه بالكلمات، يستجيب لها الوكيل الغريب، ويبقى الفارق بينه وبين الشريك صفرًا. وهذا يعني أن الاختبار يفصل القناة الخاصة عن تبادل المعلومات العلني.

ماذا عن المراقبين الذين يقرؤون النص

للمقارنة، اعتمد الباحثون مراقبَين يحللان الرسائل فقط. الأول يقرأ عبارات البائع المتحدث وحده، وأجاب «لا» في جميع الأسواق الخمسين. والثاني يقرأ عبارات جميع البائعين، ووسم 9 أسواق من أصل 10 لم يكن فيها تواطؤ على الإطلاق. ولم ينجح أي منهما في التمييز بين السيناريوهات.

حدود الطريقة

يصف المؤلفون بصراحة ما لا يراه PoPLi. فهو يكشف استخدام قناة خاصة، لا التواطؤ بصورة عامة:

• التواطؤ عبر حوافز مشتركة مع رسائل محايدة يبقى خارج نطاق الرؤية: لا شيء يُنظر إليه، لا بالنسبة إلى مراقب النصوص ولا لهذا الاختبار. • الشفرات المرمّزة في معنى الرسالة لا في صياغتها لا تُتلفها إعادة الصياغة، ولن يلتقطها المقياس. • يُفترض أن المتواطئين لا يعلمون بالاختبار ولا يكيّفون سلوكهم معه. أما إذا وثّقوا رسائلهم بالمصادقة أو توقعوا تكرار الطلب، فتضعف الطريقة. • يظل المزاد لعبة تتعارض فيها المصالح جزئيًا. وقد يعني رد الفعل الضعيف من الوكيل الغريب عدم ثقته بالمنافس، لا عدم فهمه للغة.

كما يذكّر المؤلفون على حدة بأن إعادة الصياغة كوسيلة دفاع سبق أن دُرست: ففي عمل روجر وغرينبلات (2023)، تحدّ إعادة الصياغة من مخططات الإخفاء (steganography) المعروفة إلى نحو ثلاث بتات لكل كيلوبايت من النص. لكن الاستراتيجيات أحادية البت المحسَّنة ضد أدوات إعادة الصياغة لا تزال تُفك شفرتها في أكثر من 90% من الحالات على مجموعة AQuA-RAT.

الخلاصة العملية

بالنسبة إلى الفرق التي تشغّل وكلاء يتداولون أو يتفاوضون فيما بينهم، فالخلاصة كالتالي. إذا كنتم تحتفظون بسجلات كاملة للـ prompts، فيمكنكم لاحقًا إعادة تشغيل الخطوات برسائل معدَّلة ومقارنة ردود الشريك والوكيل الغريب. هذا أرخص من محاولة تخمين التواطؤ من النص، ويعطي إنذارات كاذبة أقل. لكنه لن يكون حماية كاملة. فما زلتم بحاجة إلى كواشف للتواطؤ العلني قائمة على الكلمات، وإلى رقابة منفصلة على الحوافز، لأن كل شكل من أشكال التواطؤ الثلاثة يتطلب أداته الخاصة. وحتى الآن هذه نتيجة محاكاة واحدة بنموذج سلوك واحد، ولذلك من المبكر نقلها إلى الأسواق الحقيقية.