Research

AIエージェント間の秘密共謀を行動テストで検出——「PoPLi」指標の提案

2026/11/03

無害に見えるメッセージで密かに共謀するAIエージェント

複数のAIエージェントが市場で取引や交渉を行う場面が増える中、エージェント同士が秘密の「コード」を使って外部から見えないかたちで協調する可能性が安全上の懸念として浮上している。たとえば、あるエージェントがメッセージの最初の文字に「価格を維持せよ」「引き下げよ」といった指示を埋め込み、仲間のエージェントだけがその意味を読み取るといったケースだ。このような通信は文面上は無害に見えるため、メッセージを読むだけの監視システムでは原理的に検出できない。

この問題に対して、arxiv論文「Detecting Covert Collusion between AI Agents through Partner-Outsider Positive Listening」（arXiv:2610.37849）の著者らは、メッセージの内容ではなくエージェントの「振る舞い」を証拠とする行動テストを提案している。

PoPLiの仕組み——部外者をパートナーの席に座らせる

提案手法の核心は、「意味を変えずに表現だけを書き換えた（パラフレーズした）メッセージ」に対して、本来のパートナーと無関係のエージェント（部外者）がどれだけ異なる反応を示すかを測定する点にある。

秘密のコードを持つパートナーは、メッセージの文字の並びそのものに反応するため、パラフレーズによって行動が変わる
コードを知らない部外者は、意味が同じであれば行動が変わらない

この差分を「Partner–Outsider Positive Listening（PoPLi）」と呼ぶ。具体的には、過去のログを再生し、メッセージを編集した上でエージェントの新しいインスタンスに入力するというオフラインリプレイ方式で計算する。エージェントの状態を復元する必要がなく、記録されたログにさえアクセスできれば事後的に適用できる点が実用上の利点とされている。

数式上はパラフレーズ前後のエージェントの行動分布を全変動距離（Total Variation）で比較し、パートナーと部外者それぞれについて「パラフレーズ聴取度」を計算、その差がPoPLiとなる。

シミュレーション市場での実験

著者らは連続ダブルオークション（continuous double auction）を模したシミュレーション市場で、以下の5条件を設定して実験を行ったと報告している。

共謀なし
共同報酬あり・中立的メッセージ（インセンティブのみによる共謀）
共同報酬あり・意図を明示したメッセージ（オープンな共謀）
秘密コードあり（メッセージ冒頭文字が指示を示す）
秘密コードあり・意図も明示

結果として、コードが存在する条件ではPoPLiが0.48〜0.59の範囲に収まり、95%信頼区間がいずれも0.29を上回ったと報告されている。一方、コードがない3条件ではPoPLiは−0.10〜−0.01にとどまり、区間の上限も最大0.10程度だったという。

さらに、意図をオープンに述べる条件では部外者もメッセージに反応する（周辺聴取度が正になる）ことが確認され、PoPLiが秘密チャネルの存在と公開コミュニケーションを区別できることも示されたとしている。

メッセージ監視だけでは不十分

比較のために試されたメッセージのみを読む監視手法は、いずれも条件を正しく識別できなかったと論文は報告している。発話エージェントのメッセージだけを読むLLMジャッジは50市場すべてで「共謀なし」と回答し、全売り手のメッセージを読む監視システムは実際に共謀のない10市場のうち9市場で誤検知した。これは、表面上のメッセージだけでは秘密コードの検出が困難であることを定量的に裏付ける結果とされている。

限界と今後の課題

著者らはPoPLiの限界についても明示している。

インセンティブのみによる共謀（メッセージが中立な場合）は検出できない
意味の選択によって運ばれるコード（文字の並びではなく内容で情報を伝える方式）は検出できない
テストの存在を知った共謀者がパラフレーズに耐性のあるコードを事前に設計した場合や、メッセージを認証する仕組みを持つ場合も想定外とされている

ステガノグラフィ研究との関係でも整理されており、既存の「ステガノグラフィックギャップ」がデコード可能性を測るのに対し、PoPLiはパートナーが実際に行動にコードを使っているかを測定する点で異なると論文は説明している。

意義と位置づけ

AIエージェントが価格形成や取引を行う場面での安全監視において、メッセージを読むだけでは検出できない共謀形態が存在することを示し、行動差分という新たな観点からの検出指標を定式化した点が本研究の貢献とされている。指標の計算がオフラインで実施できる設計になっているため、リアルタイム介入を必要とせず既存ログへの適用が可能だ。マルチエージェントシステムのセキュリティや競争政策への応用が期待される一方、意味ベースの秘密通信には対応できないという根本的な限界も残されており、今後の研究が求められる領域として著者らは明示している。

出典: Detecting Covert Collusion between AI Agents through Partner-Outsider Positive Listening