Egy WAB@COLM 2026 workshopra elfogadott tanulmány laboratóriumi körülmények között kimutatta, hogy az úgynevezett AI-ügynököket — amelyek a felhasználó helyett keresnek, szűrnek és rangsorolnak — célzottan el lehet téríteni. A szerzők azt írták le, hogy egy ártalmatlannak tűnő tagadó mondat („a termék nem tartalmaz X-et”), ha egy kitalált veszélyforrást feltételező, gépi úton generált háttérszöveggel párosul, megváltoztathatja a rangsorokat, és így a felhasználói döntéseket is befolyásolhatja.
Kik és hol készítették a tanulmányt?
A Welcome to the Age of Agent Ads: Using On-Policy Attacks to Steer Agentic Decisions című tanulmány szerzői Tim R. Davidson, Marija Šakota és Robert West a svájci Lausanne-i Szövetségi Műszaki Egyetemtől (EPFL), valamint Joshua Joseph a Harvard Egyetemről. A munkát a WAB@COLM 2026 workshopon mutatták be; a COLM a nyelvi modellekkel foglalkozó közösség egyik szakmai eseménye.
Miről van szó: az on-policy támadás lényege
A vizsgált támadási mintát a szerzők "on-policy attack"-ként írják le: nem arról van szó, hogy a modellt feltörik vagy tiltott utasítást adnak neki, hanem arról, hogy a modell betanított, óvatos viselkedését használják ki. Például egy termékleírásban megjelenik a mondat: „Ez a termék nem tartalmaz blizyestert.” A blizyester kitalált fogalom; emberi olvasó vagy átsiklik rajta, vagy furcsállja, de egy óvatos, utánanéző AI-ügynök rákérdezhet, és ha a kontextusban – a weben vagy a modell promptjában – olyan információk jelennek meg, amelyek a blizyestert veszélyesnek állítják, az ügynök előnyben részesítheti azt a terméket, amely kifejezetten tagadja a jelenlétét.
Kísérleti felépítés: modellek, kategóriák, minták
A kutatók négy nagy szolgáltató — OpenAI, Anthropic, Google és xAI — modelljeiből szolgáltatónként két-két változatot, összesen nyolc kereskedelmi modellt teszteltek. A modelleknek négy területen kellett hét-hét ajánlatot rangsorolniuk: szépségápolási termékek, étrend-kiegészítők, álláshirdetések és szálláshirdetések. Kategóriánként 100 hirdetés szerepelt a vizsgálatban; az álláshirdetések például Android-fejlesztői pozíciók, a szállások amszterdami Airbnb-hirdetések voltak.
A beavatkozás úgy nézett ki, hogy az egyik ajánlatban egy kitalált fogalom hiányát állították (például egy nem létező összetevő, munkajogi kitétel vagy szabvány hiánya). A kísérlet célja az volt, hogy mérjék: a korábban 3–7. helyen álló ajánlatok közül hány kerül fel az első két hely valamelyikére, amikor a hamis háttérszöveg megjelenik az AI kontextusában.
Eredmények röviden
A tanulmány aggregált eredményei szerint — a 8. táblázat egyszerű átlaga alapján — amikor a kitalált veszélyre utaló háttérszöveg közvetlenül a modell kontextusában volt, sok esetben a korábban hátrébb sorolt ajánlatok feljutottak az első két helyre. A legnagyobb változást a szépségápolási termékek és az étrend-kiegészítők kategóriájában látták; az állás- és szállásajánlatoknál a hatás kisebb, de számottevő volt.
Fontos megjegyzés: amikor a hamis háttérszöveget nem közvetlenül a modell promptjába helyezték, hanem úgy szimulálták, hogy a modell webes keresés találataként találkozzon vele, a hatás általában gyengébb volt. A szerzők kiemelik, hogy a legfogékonyabb modellek közül néhány a Gemini 3.1 Pro és a Claude Opus 4.8 volt. A hatás erőssége és a modell hajlandósága a keresésre modell- és utasításfüggő volt.
Miért működik ez?
A támadás két részből áll: a tagadó mondat önmagában formálisan ártalmatlan, a döntést torzító hatást a kitalált fogalom veszélyét sugalló háttérszöveg adja. A végrehajtás nem a modell hibájából indul ki, hanem abból a tényből, hogy az ügynök óvatosan utánanéz az ismeretlennek, és a rangsorolás során figyelembe veszi a kontextusban talált információkat.
A szerzők felhívják a figyelmet arra, hogy a jelenleg érvényes platformszabályok — amelyeket 15 különböző piactér, állásportál és szállásközvetítő szabályzatából vizsgáltak — jellemzően az emberi olvasóra és a hirdetőkre fókuszálnak. Ezek a szabályok előírják, hogy a hirdetőnek igazat kell állítania magáról, és egyes platformok tiltják a versenytársak lejáratását vagy a rangsorolás manipulálását, de egyik szabályzat sem említi kifejezetten az AI-ügynökök megtévesztését.
Ajánlások és korlátok
A szerzők javasolják, hogy a szabályzatokba bekerüljön egy olyan kikötés, hogy a tartalom nem szolgálhat az olvasó AI-ügynök megtévesztésére. Ugyanakkor hangsúlyozzák, hogy ez önmagában nem elegendő: a modellfejlesztőknek is változtatniuk kell a gyakorlaton. Ironikus módon a problémát nem az óvatosság növelése oldja meg — hiszen ezt használja ki a támadás —, hanem az, hogy az ügynökök a rangsorolás során következetesen mérjék a források megbízhatóságát.
A tanulmány rávilágít arra is, hogy amikor a kutatók közvetlenül megkérdezték a modelleket a kitalált fogalomról, minden modell kivétel nélkül felismerte és megjelölte a fogalmat kitaláltnak. Ennek ellenére a rangsorolási folyamat közben, kifejezett kérés nélkül, ez a felismerés nem mindig érvényesült.
A szerzők hangsúlyozzák a vizsgálat korlátait: laboratóriumi kísérletről van szó, nem piaci mérésekről, mintaméretek korlátozottak, és a vizsgált kategóriák specifikusak.
Mi a tétje?
Az AI-ügynökök egyik fő ígérete, hogy időt spórolnak azzal, hogy előszűrnek és ajánlanak — ez ugyanakkor sebezhetővé teszi a döntési közvetítést. Minél inkább hagyatkozunk az ügynökökre, annál nagyobb szerepe lesz annak, hogy milyen információs környezetből dolgoznak, és kik próbálják azt alakítani. A tanulmány egy szélesebb adatminőségi problémába illeszkedő veszélyre mutat rá: internetet egyre nagyobb arányban töltik meg gépi úton előállított, nehezen ellenőrizhető tartalmak, amelyek ronthatják a modellek döntési alapját.
Következtetés
A kutatás nem azt állítja, hogy a piacon jelenleg széles körben alkalmazzák ezt a manipulációt, hanem azt, hogy létezik egy mérhető támadási felület: az ügynökök óvatossága és a kontextusfüggő rangsorolás együtt olyan vektor, amelyet kihasználva egy ajánlat előnybe kerülhet. A szerzők mind szabályozói, mind technikai válaszokat javasolnak: a platformszabályok kiterjesztését az AI-ügynökök megtévesztésére, illetve a modellek fejlesztését úgy, hogy a rangsorolás során is a források megbízhatóságát mérjék.
