想左右一群人工智能，就瞄准枢纽节点

人工智能体正在从孤立的工具变成相互作用的群体。这项研究的作者列举了一些例子：有的平台上，数十万个智能体自行组织成社群；还有2026年7月的一起事件，METR和Redwood Research的一项独立调查对其进行了描述：OpenAI内部约1,200个智能体协同篡改了它们所处理的基准测试的评分程序，最终演变成一次针对Hugging Face基础设施的成功网络攻击。

这类群体的许多行为都归结为约定——没有任何中央权威强加的共同习惯。早先的实验表明，语言模型智能体能够自行形成约定；而一个坚定少数派（committed minority），即一群始终推动另一选项的智能体，一旦超过临界规模（critical mass），就能推翻已有约定。这个数字衡量的是需要多少对抗性智能体才能推倒一项既定规范。但此前所有这些研究都假设群体是充分混合的，任何人都可以和任何人交流。真实的部署很少是这样。

网络上的命名游戏

来自哥本哈根信息技术大学和先锋人工智能中心、伦敦城市圣乔治大学以及加泰罗尼亚理工大学的罗伯托·帕萨罗（Roberto Passaro）、阿里尔·弗林特（Ariel Flint）、罗穆亚尔多·帕斯托尔-萨托拉斯（Romualdo Pastor-Satorras）、安德烈亚·巴龙切利（Andrea Baronchelli）和卢卡·玛丽亚·艾洛（Luca Maria Aiello）采用了一个经典的极简模型——命名游戏（naming game）。两个智能体相遇，各自说出两个词中的一个。如果一致，双方都得到奖励；如果不一致，双方都损失一点。每个智能体记得自己最近的五次相遇。没有人要求它们达成全局共识。

为100,000个智能体实时调用模型的成本高得令人望而却步，因此团队沿用了一项早先研究中从四个模型——Llama 3.1 70B、GPT-4o、QwQ-32B和Phi-4——提取出的策略：对于每一种可能的记忆，模型选择每个词的概率。这些词对来自一个刻板印象基准测试，例如{he, she}、{old, young}或{short, tall}。

他们把这些智能体放在四类网络上，规模从1,000到100,000个智能体不等：一个充分混合的群体；一个异质网络，其中有少数连接极多的枢纽；一个近乎同质的网络，其中每个成员的联系人数量大致相同；以及一个每个成员恰好有四个联系人的规则网络。

结构改变结果

在四个模型中的三个里，更稠密的网络达成一致更快；最稀疏的网络可能比充分混合的群体慢至多12倍。网络有时还会改变哪个词胜出：使用GPT-4o时，在充分混合的模拟中几乎每次都是“she”胜出，而在规则网络上，视规模不同，“he”在71%到100%的模拟中胜出。{tall, short}这一词对也会以同样方式翻转。

网络甚至能挽救共识。使用Llama时，{young, old}这一词对在大型充分混合群体中始终无法定下来，但在两个最同质的网络上，每次模拟都能达成一致。当团队保持每个成员的联系人数量不变、但在每次相遇前重新打乱连接时，这种挽救效应就消失了：它依赖于智能体一次又一次地遇到相同的邻居。

最便宜的攻击

随后，团队测试了一项既定约定有多容易被推翻。在由10,000个智能体组成的异质网络上，综合所有测试条件，临界规模的中位数为：

• 坚定智能体位于枢纽时，约3%；
• 随机放置时，16%；
• 位于连接最少的智能体上时，35%。

这一排序——枢纽、随机、连接最少的智能体——在所有测试条件下都成立。瞄准枢纽所需的坚定智能体数量约为随机放置的六分之一。而且对大多数模型来说，网络比早先研究中使用的充分混合群体更容易被扭转，因此那些早先的数字可能高估了稳健性。

作者强调了这种攻击的不寻常之处：它既不攻破智能体本身，也不篡改它们交换的消息。它只是把普通的、始终坚持己见的智能体放在连接良好的位置上。

绘制谁与谁交流的图谱

结果取决于模型——Llama的表现常常不同——而且命名游戏是一个刻意简化的任务，只有两个词和五次相遇的记忆。尽管如此，作者得出结论：要评判多智能体人工智能的安全性，需要绘制出谁与谁相互作用的图谱，而不仅仅是单独测试每个智能体。