WolfSociety：金融智能体社会中有害智能体规模带来的集体风险

个体评测无法推出多智能体社会的集体失败如何随有害比例和社会规模变化。

• 场景：智能体交换消息、相互响应并在共享环境中行动。有害影响可以从局部经反复交互发展为集体失败，即使有害智能体仍是少数。作者在受控金融智能体社会中研究该问题：异质角色经社交网络交流并在共享市场交易，交易改变价格与流动性，后续轮次再观察到这些变化。

• 现有工作的缺口：已有研究涉及交互失败、非线性群体规模效应、大群体结果变差、从众导致的集体错位，以及错位价值观比例改变长期集体状态。作者认为这些结果没有建立：社会变大时，造成集体失败所需的有害群体是大致固定人数、大致固定比例，还是二者的另一种关系。

• 核心观察：在主场景中，崩溃在低有害比例下少见，并在窄区间内陡升。N 从 100 增至 2000，50% 崩溃概率对应的有害比例 αc(N) 从 4.7% 降至 2.2%，对应有害人数 Kc(N)=Nαc(N) 从约 5 增至 44。作者认为这不能由“人数恒定”或“比例恒定”解释，临界有害人口增长慢于社会本身。

• 本文提出：把环境、四种操纵场景和评测接口打包为 WolfBench；提出 Agent Society Dynamics，用有限规模框架联系崩溃边界、固定有害人数下的系统响应，以及改变交互方式引起的边界移动。

• 评测对象与失败定义

  • 受害系统是受控金融智能体社会：N 个智能体在 T=30 天内交流并交易，其中 K 个为有害智能体。
  • 主场景 S1 的崩溃不是孤立有害行动，而是有害信息扩散达到广度，同时出现严重价格错位或流动性压力。
  • 作者改变社会规模 N 与有害比例 α，并固定角色比例、交互规则、有害策略和其余协议。
  • 论文把该设定写成集体失败评测，未使用 white-box、black-box 等攻击者知识分类。

作者按四组定位已有工作，并认为它们没有直接刻画集体失败所需有害人口如何随社会规模变化。

多智能体安全与大规模模拟

• Hammond 等 (2025)、Cemri 等 (2025)、Erisken 等 (2025)：智能体交互可产生孤立评测看不到的失败，包括协调失误、冲突、共谋和使网络失稳的效应。
• Motwani 等 (2024)、Nakamura 等 (2026)、Huang 等 (2026)：报告秘密共谋、智能体间错位、从众和涌现的群体风险。De Marzo 等 (2026) 中对抗性少数可把交流中的智能体推过临界点进入持续错位；Zhang 等 (2026) 中错位价值观的流行程度可改变长期集体状态。
• Park 等 (2023)、Piao 等 (2025)、Akkil 等 (2026)、Feng 等 (2026)：生成式智能体平台和大规模社会模拟用于研究 LLM 驱动种群中的涌现行为。

集体转变与社会影响

• Schelling (1971)、Granovetter (1978)、Watts (2002)：阈值与级联模型说明局部行为变化可产生不连续的集体结果。Centola and Macy (2007)、Castellano 等 (2009) 强调复杂传染需要反复社会暴露来强化。
• Banerjee (1992)、McKelvey and Palfrey (1995)、Brock and Durlauf (2001)、Sims (2003)：信息级联、离散选择和理性疏忽刻画公共信息、社会影响和有限信息处理如何塑造个体决策。
• Bellina 等 (2026)、Liu 等 (2026)：从众依赖于群体条件，并把网络暴露与有限注意力下实际实现的影响区分开。作者用这一区分来分开个体社会响应强度与信息传播广度。

系统性风险与金融智能体环境

• Haldane and May (2011)、Elliott 等 (2014)、Acemoglu 等 (2015)：金融网络模型把网络结构、反馈和相互依赖与系统性脆弱联系起来。
• Byrd 等 (2019)：基于智能体的市场环境用于研究市场动态和保真度。Ren 等 (2025)、Bracale Syrnikov 等 (2026) 考察 LLM 智能体的协作金融欺诈和协调市场行为。
• 作者把本文环境写成闭环：交流影响交易，市场条件随之改变，后续轮次再被观察到，并用来研究社会级失败所需的有害参与如何随人口规模变化。

集体失败的有限规模标度

• Fisher (1971)、Barber (1983)：有限规模标度用于区分真正的集体转变和有限人口效应。
• Flint 等 (2025)、Willis 等 (2026)：LLM 智能体研究显示非线性群体规模效应，以及更大群体中结果变差。作者指出这些结果没有直接刻画集体失败所需的有害人口如何随社会规模变化。

基线方法与基准/数据集：主实验在作者构建的 WolfBench 上比较不同 N、α、流动性规则、交互干预、控制器实现和 LLM 骨干；四种操纵机制为 S1 Pump-and-dump、S2 Scalping、S3 Spoofing/layering、S4 Wash trading。论文未把外部攻击或防御方法列为对照基线。

作者的定位是：同时改变有害比例和人口规模，估计随规模变化的崩溃边界及其对应有害人数，并用固定人数分析和受控干预检验标度模式，且不假设已知的普适类。

WolfBench 提供闭环金融智能体社会，Agent Society Dynamics 用有限规模关系描述集体失败如何随人口规模、有害比例和交互结构变化。

问题设定与崩溃定义

• 回合构成：一回合有 N 个智能体、T=30 天、K 个有害智能体。由目标比例得到 K=round(α_target N)，实现比例为 K/N；除非另有说明，α 指目标比例。
• 崩溃边界：机制 m、协议 π 下，pm(N, α; π) 是崩溃概率，αc^m(N; π) 是该概率首次达到 1/2 的有害比例下确界。只在采样网格夹住 p=1/2 时报告边界。主设定中 Kc(N)=Nαc(N)，因 αc 由插值得到，Kc 不必是整数。
• S1 严重度：日严重度用有害扩散 qt、价格错位 dt、流动性压力 Lt，并以预设定截止 0.55、0.21、0.85 组合；回合严重度 RS1 是三十天内日严重度的最大值，CS1 在 RS1≥1 时为 1。崩溃要求扩散够广，且价格错位或流动性压力至少一项达到严重。这些常数是模拟器内的操作截止，作者称不作为现实监管阈值。
• 四种机制：Table 1 中 S1 扰动社会需求与扩散，S2 是高可达推广，S3 扰动显示的市场深度，S4 制造人工交易量；主读出分别为价格–流动性错位、撤单与流动性压力、虚假流动性与撤出损失。S1 是主分析场景。

个体响应与重复交互

• 局部响应：ΔUi,t = hi,t + θi Zi,t^v + γi Zi,t^s，行为响应 xi,t+1 = tanh(βi ΔUi,t / 2)。hi,t 是直接有害输入，两项 Z 概括私有证据和社会证据，θi、γi 控制其贡献，βi 控制响应敏感度。信任、注意力和网络结构决定哪些社会证据进入后续决策。附录 A 给出局部推导和 Jacobian；该式是用于组织干预坐标的分析性局部化简，作者称并非每个角色实际执行的策略。
• 社会依赖 DN：用互信息比较动作 A 对社会消息 M 与对私有证据 V 的依赖，条件中还包括公共历史 H 和角色 R。分母经校正后为正才报告 DN；DN>1/2 表示社会消息比私有证据含有更多与动作相关的信息。作者强调 DN 衡量收到的社会信息在个体行动中的反映强度，不衡量信息传播广度。
• 有限时域增益：作者引入 χ+_{T,N}，并在测试规模范围内写成正比于 N^ζ。ζ 描述交互响应如何随社会规模变化，被当作描述量，而不是市场反馈或某一交互通道的单独因果效应。

有限规模标度

• 概念模型：初始有害输入按 α N^δ 变化，后续交互积累的响应按 N^ζ 变化，合起来为 ΔRN ≈ α N^δ · N^ζ。若崩溃发生在各规模上相当的合响应水平，则 αc(N) ∝ N^{−ν}，Kc(N) ∝ N^{1−ν}，其中 ν=δ+ζ。
• 可解释区间：0<ν<1 对应崩溃时有害比例下降、有害人数仍上升。实验只估计总边界指数 ν，不把 δ 和 ζ 识别为分开的因果量。
• 固定人数曲面：为把绝对有害人数与社会规模分开，拟合 log RS1 = a + bN log N + bK log K + ε。bN<0 表示同样的有害少数在更大社会中造成更低严重度。流动性用指数 ℓ∈{0, 0.5, 1}，分别对应固定、平方根和人均深度，在做市商中实现后再重跑。

社会、控制器与干预

• 智能体：良性智能体持有持续组合，接收带噪声的私有信号，具有有限注意力和针对发送者的信任，角色为 risk-averse、value-oriented、trend-following、social-following、aggressive 五种之一。每日接收私有与社会证据、交流、交易，再观察社会与市场条件。角色比例和参数分布在各规模上固定。
• 控制器：多数智能体用可扩展的基于规则的控制器；预定配额把 LLM 控制器分配给一小部分良性和有害智能体，配额随社会规模缓慢增长。主实验的 LLM 智能体使用 DeepSeek V3.2。另有只换骨干的两点审计。精确配额、提示词、缓存响应和分配细节在补充材料中；此处不复述提示词。
• 干预：在 S1、N∈{300, 1000}、每条件 12 个种子上，分别改变网络可达性、注意力容量、从众和响应精度，并设两项把四者一起降低或一起提高的联合条件。提高可达性时把平均图度数加倍。匹配条件复用相同随机种子。Δαc(N) 是干预边界减基线边界，再对两个 N 取平均。

估计协议

• 边界：在首个夹住经验崩溃概率 p=1/2 的相邻有害比例之间线性插值。网格未夹住则该规模记为未解析。报告用的网格在最终估计前固定；试点回合不计入结果。
• 不确定性：10,000 次配对 bootstrap 重采样种子、重建崩溃概率曲线、重估边界并重拟合对数–对数指数，匹配条件之间保持配对。
• 固定人数：K∈{1, 3, 5, 8, 12}，六个社会规模，每格 12 个种子。主分析使用经验崩溃率低于 1/2 的格子；更严检查只保留未观察到崩溃的格子。流动性重跑使用 N∈{100, 300, 1000, 2000}、K∈{3, 5, 8}。

实验设置

• 社会规模：主缩放使用 N∈{100, 200, 300, 500, 1000, 2000}，每个采样条件 12 个种子；每个 N 的有害比例网格包含 α=0 并覆盖转变区。
• 场景：S1 为主缩放；S2–S4 在 N∈{300, 1000}、每条件 12 个种子上做转移实验。回合长度 T=30 天。
• 控制器与骨干：主缩放、固定人数和干预使用 DeepSeek V3.2。控制器审计含 all-rule、standard quota、increased quota。替代骨干为 GPT-4.1、Qwen3-235B、Llama-3.3-70B、GLM-4.5、Kimi K2.6，只在 N=100 与 N=1000 上比较。
• 指标：崩溃概率、αc(N)、Kc(N)、回合严重度 RS1、标度指数 ν̂、固定人数回归的 bN 与 bK、社会依赖 DN、干预的 Δαc。边界由夹住 p=1/2 的相邻比例线性插值。
• 固定不变项：场景、角色比例、图生成规则、每智能体预算、有害策略与放置、流动性标度、防御配置和控制器分配日程在主缩放的各规模间保持固定。论文未在正文给出防御的具体规则。
• 流动性重跑：ℓ∈{0, 0.5, 1}，在做市商中实现后从新的初始化完整模拟；Table 2 的注说明这些重跑使用 all-rule 控制器。

主结果

Figure 2 显示各规模上崩溃概率在低 α 处低、在窄区间陡升、在更高比例饱和；RS1 在同一区域平滑变化。Figure 3 给出边界随 N 下降、有害人数次线性上升。

Swipe horizontally to read the table

N	αc(N)	Kc(N)	出处
100	0.047	4.7	§5.1、Figure 3
2000	0.022	44.0	§5.1、Figure 3
六个已解析规模	ν̂=0.222	Kc∝N^0.778	Eq. (1)、Figure 3

• 作者解读：有害比例下降而有害人数上升，对应 0<ν<1。用实现比例 K/N 替换目标比例后，估计从 0.222 变为 0.224。
• 不确定性：放宽删失给出 ν̂=0.223，95% CI 为 [0.152, 0.283]；只保留六个边界都解析的 bootstrap 区间为 [0.206, 0.277]。人数指数的 95% CI 为 [0.717, 0.848]。
• 转变宽度：四个采样网格同时夹住 p=0.1 和 p=0.9 的社会规模，10%–90% 转变宽度为 0.013 到 0.028。正文未逐个列出 N=200、300、500、1000 的 αc；Table 20 另给出留出预测用的观测 αc。

固定有害人数与流动性

• 测了什么：K 固定，看 RS1 如何随 N 变化。全基线扫描给出 bN=−0.784、bK=1.575。只保留崩溃转变以下的格子时，bN=−0.894，配对 bootstrap 95% CI 为 [−0.960, −0.852]。
• 三种流动性：Table 2 在共同网格、次临界回合上，ℓ=0、0.5、1 的 bN 分别为 −0.764 [−0.818, −0.717]、−0.811 [−0.860, −0.759]、−0.822 [−0.865, −0.780]；对应 bK 为 1.046 [0.902, 1.195]、1.022 [0.897, 1.150]、1.103 [0.977, 1.232]。
• 作者解读：三种规则下规模系数都为负，每个 95% CI 都不含 0，区间有大量重叠。作者认为固定人数下的严重度随社会变大而下降，且没有清楚证据表明下降强度在三种流动性规则之间不同。

交互干预与网络可达性

• 测了什么：Figure 4 报告 N∈{300, 1000} 上平均边界位移。联合降低四项为 +0.046，联合提高为 −0.018，平均图度数加倍为 −0.017；三者的配对 bootstrap 95% CI 都不含 0。
• 单项：高注意力、高从众、高响应精度的位移为 +0.002、+0.003、+0.004，置信区间包含 0。高从众使 DN 平均提高 0.183，95% CI 为 [0.166, 0.203]，但边界几乎不变；提高网络可达性对 DN 改变很小，却把边界移向更低有害比例。
• 作者解读：个体更响应已收到的社会信息，与让信息到达更多智能体不是一回事。单独变化的分量中，网络可达性与崩溃边界位置的关系最清楚。

控制器、骨干与其他操纵机制

• 控制器：Table 3 在 N≤1000 的五个共同规模上，all-rule、standard quota、increased quota 的指数为 0.164 [−0.009, 0.251]、0.181 [−0.063, 0.289]、0.190 [−0.081, 0.276]；边界证据 αc(100)→αc(1000) 分别为 0.0475→0.0300、0.0500→0.0300、0.0475→0.0280。作者称端点模式一致，指数相近，但六种子区间仍然较宽。
• 骨干：Table 4 的两点指数 ν̂_2pt=log10(αc(100)/αc(1000))。GPT-4.1 为 0.0525→0.0260、0.305；Qwen3-235B、Llama-3.3-70B、GLM-4.5 均为 0.0550→0.0260、0.325；Kimi K2.6 为 0.0525→0.0280、0.273。每个骨干上边界都从 N=100 降到 N=1000。主六点估计仍是有限规模指数的主要估计。
• S2–S4：S2 在两个规模上于 α∈[0.003, 0.010] 内出现转变；S3 在 α∈[0.10, 0.15] 内转变；S4 在 α≤0.12 上未达到崩溃阈值，最大回合严重度为 0.083。作者称因通道和严重度定义不同，这些实验比较的是是否出现转变，而不是边界的绝对位置。

其他消融与分析

• 阈值尺度（Table 18）：0.8、0.9、1.0、1.1、1.2 倍时，ν̂ 为 0.155（6/6）、0.268（6/6）、0.222（6/6）、0.144（4/6，N≤500）、0.278（3/6，N≤300）。
• 响应曲面（Table 19）：全部固定 K、次临界、零失败三档的 (bN, bK, ν_response) 为 (−0.784, 1.575, 0.503)、(−0.894, 1.683, 0.469)、(−0.950, 1.817, 0.477)。
• 留出预测（Table 20）：观测 αc 对预测 αc 的比值从 N=100 的 0.980 到 N=1000 的 0.514、N=2000 的 0.518。
• 角色同质（Table 22）：N=300 与 1000 的 αc，legacy score 为 0.041、0.020；mixed roles 为 0.040、0.022；risk-averse 为 0.065、0.045；value 为 0.050、0.036；trend 为 0.041、0.031；social 为 0.038、0.022；aggressive 为 0.040、0.022。
• 角色多样性（Table 21，相对 legacy-score，12 个种子）：角色–动作信息 +0.327，交易率差距 +0.264，动作熵 +1.089，交易参与 +0.348，DN +0.512，各项正种子均为 12/12。
• 空模型拟合：补充材料中线性中点与 logistic 中点的空指数分别为 0.692 和 0.694；该表列在文本转换中有错位，不另抄单格数字。

作者指出的局限与后续方向

• 设定范围：结果刻画的是三十天回合、回合内静态图和原型角色的受控金融智能体社会（Scope, Limitations, and Ethics）。
• 场景分工：主缩放分析基于 S1；S2–S4 用于检查其他操纵机制下是否出现类似转变（同一节）。
• 控制器范围：控制器审计覆盖基于规则的社会和配额受限的混合社会（同一节）。
• 后续方向：作者写出未来工作可以把该设定扩展到完全由 LLM 控制的种群、自适应网络、更长时域和其他社会领域（同一节）。
• 固定人数分析的范围：它刻画崩溃前严重度如何随社会规模变化；额外流动性实验在共同的社会规模与有害人数子集上、用 all-rule 控制器检验这一关系（同一节）。
• 场景抽象：操纵场景受公开案例启发，但只在机制层面表示；作者称不点名具体证券，也不复现操作程序（同一节）。

实验覆盖范围

• 主缩放：S1 上六个社会规模 N∈{100, 200, 300, 500, 1000, 2000}，每采样条件 12 个种子；边界估计使用 10,000 次配对 bootstrap（§4.2、§4.3）。
• 固定人数：K∈{1, 3, 5, 8, 12} 覆盖六个规模；流动性重跑为 N∈{100, 300, 1000, 2000}、K∈{3, 5, 8}、ℓ∈{0, 0.5, 1}，Table 2 注明使用 all-rule（§4.3、§5.2）。
• 干预与转移：四项交互属性及两项联合条件在 N∈{300, 1000} 上评估；S2–S4 使用同样两个规模和每格 12 个种子（§4.2、§5.5）。
• 控制器与骨干：all-rule、standard quota、increased quota 在五个规模的共同范围内比较；五种替代骨干只报告 N=100 与 N=1000 的两点指数，主六点指数来自 DeepSeek V3.2 的主实验（Table 3、Table 4）。
• 论文写明但未在正文展开的量：精确控制器配额、提示词和缓存响应放在补充材料；正文未给出各规模 LLM 配额的具体人数。阈值敏感分析中，1.1 倍与 1.2 倍只解析 4/6 和 3/6 个规模（Table 18）。

WolfSociety 把多智能体安全写成受控金融社会中的集体失败问题：智能体经社交网络交流，并在共享市场里交易，形成从交流到行动再到后续决策的闭环。

• 问题：孤立智能体评测看不到少数有害智能体经反复交互造成的社会级失败。作者要确定失败对应的是大致固定的有害人数、大致固定的有害比例，还是二者随规模变化的另一种关系。
• 方法：WolfBench 含四种操纵机制。主场景 S1 只有在有害扩散够广，且价格错位或流动性压力达到预设定截止时才记为崩溃。Agent Society Dynamics 把 αc(N)∝N^{−ν}、Kc(N)∝N^{1−ν} 当作概念描述，并用固定人数的严重度曲面和交互干预分开检验。
• 主结果：六个规模上，低有害比例时崩溃少见，随后在窄区间陡升。N 从 100 到 2000，αc 从 0.047 降到 0.022，Kc 从 4.7 增到 44.0，OLS 给出 ν̂=0.222，人数指数为 0.778。
• 补充结果：固定有害人数时严重度随 N 下降，全扫描 bN=−0.784；三种直接实现的流动性规则下 bN 均为负且置信区间不含 0。联合降低交互使平均 Δαc=+0.046，加倍平均图度数为 −0.017，单独提高从众几乎不移动边界。五种替代骨干的两点指数在 0.273 到 0.325。S2 与 S3 出现转变，S4 在 α≤0.12 内最大严重度 0.083，未达崩溃。
• 作者结论：集体失败同时取决于有害组成、人口规模、市场设计和交互结构。孤立评测会漏掉只在规模化交互后出现的失败，因此安全评测需要同时改变人口规模和有害组成。作者把证据范围放在三十天、静态图和原型角色的模拟社会中。