表示
超・人工知能研究所 Super AI Research Lab トップへ超・人工知能研究所AI Research Lab / ぱそ太郎工事中

since
平成38年9月29日

← 検索結果に戻る

複数のAI担当者に防御を学習させるEvo-MARL:攻撃成功率と回答精度を検証

Evo-MARL

保存した記事を見るこのブラウザに保存します。無料会員で端末間の同期・フォルダ整理
原論文の図

Evo-MARLの原論文から掲載した図です。細部はクリックして拡大できます。

原論文の図の説明を読む

Figure 1 : Overview of our MARL training and evaluation framework on MAS safety

出典:Evo-MARL / arXiv ↗

概要

  • Evo-MARLは、複数のタスク担当エージェントに回答作成と攻撃への対処をともに学習させる。
  • 攻撃文は変異・交叉と選別で更新し、強化学習では防御側の共有方策を更新する。
  • 著者らの表の1.5B構成では、HarmBenchの攻撃成功率が69%から48%、MATHの正答率が43%から48%に変化した。
補足:編集した模式図で仕組みを確認する

VISUAL EXPLAINER

図でつかむ、Evo-MARLの仕組み

左から右へ読む
  1. 01課題と攻撃文
  2. 02担当者応答に注入
  3. 03最終回答を採点
  4. 04攻撃文と方策を更新

原論文の説明をもとにした模式図です。処理の細部は省略しています。

研究の背景

Evo-MARLは、仕事を分担する複数のAI担当者に、回答作成と攻撃への対処をともに学ばせる手法である。担当者が順番に応答する仕組みでは、一人の出力に紛れた悪意ある指示が後続に伝わり、最終回答に影響し得る。

こうしたプロンプト注入は、途中の応答や参照内容に指示を混ぜ、元の依頼からAIの行動をそらす攻撃を指す。専任の監視役だけに安全確認を任せる構成には、その役が突破された場合の弱さがあると著者らは指摘する。

手法

例として、問題分析、解答作成、回答確認の三役を順につなぐ。学習時には攻撃を最初に受ける役を無作為に選び、その役と後続の役の応答に攻撃文を順次挿入する。防御する役はそれまでの対話を見て、危険な内容を見分け、捨てるか修正しながら最終回答を作る。

最終回答の安全性と正確さを報酬に変え、強化学習で防御側を更新する。方策は入力に対する応答の決め方を指し、各役は役割に応じて動きながら学習パラメータを共有する。一方、攻撃文は一部を変える「変異」や組み合わせる「交叉」で候補を作り、有効だった候補を次の試行に残す。

新規性

著者らが提案するのは、安全確認を専任の監視役に任せず、仕事を担う各エージェントの学習に防御を組み込む方法である。役割に応じた応答を保ちながら、学習する方策のパラメータを共有する。

攻撃文も変異・交叉と選別で更新する。ただし攻撃側は強化学習の更新対象ではない。変化する攻撃文を防御側の訓練に使う点が、この枠組みのもう一つの特徴である。

従来手法との違い

論文が対比する従来の構成は、専任の安全エージェントなどを加えて対話を監視する方式である。著者らは、監視役への依存が故障点となり、監視役を増やすと費用と複雑さが増すと説明する。

実験では、同じモデル規模の未学習の複数エージェント構成と、Evo-MARLで学習した構成を比較した。7Bモデルの未学習構成も表に載るが、規模の異なるモデルとの数値差を学習手法だけの効果とは解釈できない。

実験結果

著者らは、JailBreakV-28Kの公式280件版、HarmBenchのマルチモーダル分割、MultiJailの英語分割で攻撃成功率を評価した。数学問題のMATHは無作為抽出の100件で正答率を測定した。Creative Writingの表の値は、所定の正答が応答に含まれる割合であり、文章の創造性の採点値ではない。

表の1.5Bモデル構成では、HarmBenchの攻撃成功率が未学習69%から学習後48%へ21ポイント低下し、MATHの正答率は43%から48%へ5ポイント上がった。本文は安全性の改善を「最大22%」とも記すが、この表の差とは一致しない。有害性の判定にはLLaMA-Guard-3-8Bを使い、マルチモーダル評価では最初の担当者への攻撃が成功した例だけを数えた。

応用の可能性

編集上の応用案 · 論文が実証した用途とは区別しています。

編集上の応用案:社内規程への問い合わせを、質問の整理、回答案の作成、回答確認を担う三つのAI担当者で処理する。入力は社員の質問と参照文書、出力は根拠を確認した回答案と、不審な指示を含む箇所の記録とする。

適応には、利用許可を得た過去の質問と文書、正答のラベル、文書に混入した指示への適切な対応を示すラベルが要る。文字を扱うこの案に追加の画像・音声センサーは不要だが、社内文書の形式と担当者間の受け渡しに合わせた調整が必要になる。

応用先の候補からNauhに相談できます。

導入時の検証

導入時の検証案 · 対象データでの再評価が必要です。

導入時の検証案:三役の社内問い合わせ試作を作り、未学習の構成を比較基準にする。利用許可を得た質問と参照文書を集め、人が正答と、混入した指示への適切な対応をラベル付けする。文字中心の試作なので追加の画像・音声センサーは使わない。

社内文書の形式と三役の受け渡しに合わせて攻撃例と学習条件を調整し、同じ質問・攻撃例で両構成を比べる。正答率、攻撃成功率、正当な質問の過剰拒否率を測り、判定が割れた回答は人が確認する。論文中の数値を社内運用の予測値として扱わない。

限界と課題

著者らは、変化する攻撃文を使う学習の安定化、大規模で複雑なシステムへの拡張、記憶や外部知識を取り込んだ長期的な頑健性を今後の課題に挙げる。今回の表の数値から、それらの条件での効果は判断できない。

編集上の検証事項は、自社の文書経由の攻撃に移したときの成績、正当な質問を誤って拒否する割合、学習と運用の費用である。攻撃成功率には判定器と対象例の選び方が関わるため、人の判定との一致も確かめたい。

応用先の候補
研究内容と応用案に基づく分類です。業界での導入実績を示すものではありません。

出典

元のタイトル・要旨を確認する(英語)

Evo-MARL: Co-Evolutionary Multi-Agent Reinforcement Learning for Internalized Safety

Multi-agent systems (MAS) built on multimodal large language models exhibit strong collaboration and performance. However, their growing openness and interaction complexity pose serious risks, notably jailbreak and adversarial attacks. Existing defenses typically rely on external guard modules, such as dedicated safety agents, to handle unsafe behaviors. Unfortunately, this paradigm faces two challenges: (1) standalone agents offer limited protection, and (2) their independence leads to single-point failure-if compromised, system-wide safety collapses. Naively increasing the number of guard agents further raises cost and complexity. To address these challenges, we propose Evo-MARL, a novel multi-agent reinforcement learning (MARL) framework that enables all task agents to jointly acquire defensive capabilities. Rather than relying on external safety modules, Evo-MARL trains each agent to simultaneously perform its primary function and resist adversarial threats, ensuring robustness without increasing system overhead or single-node failure. Furthermore, Evo-MARL integrates evolutionary search with parameter-sharing reinforcement learning to co-evolve attackers and defenders. This adversarial training paradigm internalizes safety mechanisms and continually enhances MAS performance under co-evolving threats. Experiments show that Evo-MARL reduces attack success rates by up to 22% while boosting accuracy by up to 5% on reasoning tasks-demonstrating that safety and utility can be jointly improved.

論文本体の取得範囲に基づく解説。AIが作成した未校閲の記事です。性能の数値は著者の評価条件に依存します。応用例と検証計画は編集上の提案です。解説更新:2026-10-01