Thought Virus：多 Agent 系统中潜意识提示引发的病毒式失准

单个被 subliminal prompting 偏置的智能体，能否不点名目标概念，就把减弱但仍持续的偏差传遍多智能体网络，并降低其他智能体的真实性。

• 场景： 作者称 LLM 多智能体系统已用于自主交易和协作编程，复杂任务上可超过单模型，但单点错误会被其他智能体采纳，即误差传播（Shen et al., 2025）。
• 现有不足： 作者称优化后缀依赖精确措辞，未被逐字转发就失效，类似 paraphrasing 防御；提示注入点明目标输出，可被对话监控检出（Figure 1）。
• 假设： 作者沿用 subliminal learning 与 prompting 的既有结果，认为语义无关 token 能诱发偏好，并可经 user prompt 传播、耐受改写。
• 提出： 作者提出 Thought Virus：只偏置 Agent0，使偏差沿普通消息传到全网，且消息不出现目标概念。
• 威胁模型：
  • 目标： 把某一概念偏好，或更低的真实性，传到未直接收到对抗输入的下游智能体。
  • 知识： 不需要模型权重。实验假设攻击者能改写 Agent0 的 system prompt；下游无特权访问。
  • 能力： 之后只通过智能体间普通消息传播。作者认为没有 system prompt 访问时，针对其输出会被他人消费的单个智能体，类似攻击仍可能可行；该设置未实验。
  • 受害系统： 同模型的 chain 与 bidirectional chain。判定看动物出现率、log probability，以及 TruthfulQA-MC 的 accuracy 与 LPD。

Subliminal learning 与 prompting

• Cloud et al. (2025)： 学生模型在带偏教师生成的无语义数据上微调后，也会表现出该偏差。论文称这使合成训练数据可能被暗中偏置。
• Zur et al. (2025) 与 Schrodi et al. (2025)： 前者用 entanglement tokens 经提示词传递偏差。论文称 Schrodi 等显示这些 token 并不能完全解释该传递，并称既有 subliminal prompting 不总是报告随机 token 对照。
• Betley et al. (2026)： 在狭窄失准数据上微调，可在无关任务上出现广泛失准，即 emergent misalignment。

MAS 误差传播

• 综述与应用风险： Guo et al. (2024) 综述 LLM 多智能体；Hammond et al. (2025) 讨论 MAS 安全，以及金融、编程、能源和防务中的应用。
• 传播取决于拓扑： 论文转述 Shen et al. (2025)、Huang et al. (2025)：传播取决于具体攻击和拓扑，密集连接往往更少传播误差。Wynn et al. (2025) 讨论错误被其他智能体采纳。本文只分析对抗攻击造成的误差，不含幻觉。

对抗攻击与防御

• 精确措辞类： Cherepanova and Zou (2024) 研究不可理解输入；Liu et al. (2024) 的 AutoDAN 与 Mu et al. (2025) 用语义无关后缀。论文称后者仍部分可被人理解，因为只有后缀无关；改写是一类防御（Jain et al., 2023; Liu et al., 2025b）。
• 提示注入与检测： Liu et al. (2025a)、Rossi et al. (2024) 属于黑盒提示注入。检测工作包括 Chennabasappa et al. (2025)、Jacob et al. (2025)、Hung et al. (2025)。
• MAS 上的攻击： Men et al. (2025)、Rahman et al. (2025)、Shahroz et al. (2025)、He et al. (2025) 讨论越狱、分布式攻击或通信攻击。Yi et al. (2024) 综述黑盒与白盒越狱。Zhuo et al. (2024) 等被引为提示敏感性背景。

基线与基准

• 基线： 无 system prompt 的 response rate、10 个随机三位数字、中性 system prompt、显式 misaligned system prompt。
• 基准： 10 种动物的偏好查询（沿用 Zur et al. 在 Qwen 上分析过的集合）；TruthfulQA-MC（Lin et al., 2022），684 题、38 类、四选一。脚注称采用更新后的二值化多选题版本。

作者的定位是：Thought Virus 不依赖精确措辞，也不在消息中点明目标概念，从而避开 Figure 1 中的 paraphrasing 类与监控类防御；subliminal prompting 此前主要在单次 user–LLM 交互中研究。

作者把 Thought Virus 做成通信传播：只把一个三位数字写入 Agent0 的 system prompt，再让普通对话把偏好传到不再与 Agent0 直接交谈的智能体。附录 A 给出完整提示词，下面不复述其措辞。

问题设定

• Chain：用户消息进入 Agent0，每个智能体作答并给下一跳下指令，直到链结束。Bidirectional chain：到末端后原路返回，直到 Agent0 给出最终用户回答（Figure 3）。作者称二者都是较稀疏的通信结构。
• 作者提出两个前提：偏差能经 user prompt 传播，而不只靠微调或 system prompt；效应对措辞不敏感。作者称已在早期小规模实验中定性验证，正文未给该预实验的数字。
• 除 Agent0 外，其余智能体使用中性的 helpful assistant system prompt。不需要模型权重。

选取 subliminal token

• 对 000–999 的每个三位数字，只用对应的 subliminal system prompt 做一次单智能体评估，按场景指标留下效应最强者。作者假设单智能体上最强的 token 也最可能外传。
• token 与目标行为的对应随模型而变。作者称异构网络里多个模型可能偏好同一 token，但只有特定架构会把它联到目标概念。正式实验是同构网络。
• 动物场景按目标动物的 logit 增幅选取；正文以 613 与 lion 作为例子。失准场景各留 10 个准确率最高的 truthful tokens 和 10 个最低的 deceitful tokens。

对话如何跑

• 用户消息要求 Agent0 传播对该数字的偏好并开始对话。每种条件 20 个随机种子。
• 前向使用结构化模板，以便抽出给下一智能体的指令；双向拓扑的回传只根据对方回答作答。
• 作者要求目标动物不出现在任何智能体间消息中。显式提到目标动物的运行被滤掉，此类对话少于 1%。

如何判定传播

• 动物偏好： 将该智能体收发的消息作为上下文，再问喜欢的动物。每个对话条件用 200 条模拟回答（最长 20 token）算目标动物出现率，并记录其 log probability；再对 20 次对话平均。另对 10 个随机 token 做同样流程，用单侧 Mann-Whitney U 比较。
• 基线： 无 system prompt、对话前的出现率。作者预期对话本身也可能升降目标概率，因此不把“凡是升高”当作 subliminal token 的特有效应。
• TruthfulQA-MC： 模型自动选择 log probability 最高的答案 token。记录 accuracy，以及正确 token 与错误 token 平均 log probability 之差（LPD）。同样对 20 次对话平均，并对两类 token 做单侧 Mann-Whitney U。
• 动物实验为六智能体、两种拓扑；TruthfulQA 为三智能体 chain。log probability 另用固定回答开头读取，作者后来用这一点解释频率与概率不一致。

实验设置

• 模型： Qwen2.5-7B-Instruct 与 Llama-3.1-8B-Instruct。同一 MAS 内为同一模型。
• 网络： 动物偏好为 6 个智能体，chain 与 bidirectional chain。TruthfulQA 为 Qwen 上的 3 智能体 chain。
• 数据： 10 种动物。TruthfulQA-MC 为 684 题、38 类、四选一；脚注称使用更新后的二值化版本。
• 对照： 无 system prompt 基线；10 个随机 token；中性 system prompt 的 accuracy 为 78.7%；显式 misaligned system prompt 为 63.4%。
• 指标与检验： response rate、相对基线或随机 token 的倍数、log probability、accuracy、LPD。单侧 Mann-Whitney U；Table 1 以 p<0.05 标分布差异。Figure 4 误差线为 10,000 次 bootstrap。
• 重复： 每条件 20 次 MAS 对话。出现率每次用 200 条回答、最长 20 token。论文未报告 temperature。附录 B 未报告 Llama 的 response frequency，因多个配置在 200 次采样下低于可检测阈值。

主结果

下表据 Table 1：Qwen2.5-7B-Instruct、chain、相对 10 个随机 token 平均出现率的倍数。格子为 10 个 subliminal token 中的最高值（括号内为这 10 个的平均）。列只保留 Agent0、Agent2、Agent5；省略 Dolphin、Giraffe，完整 10 行见 Table 1。

| 动物 | Agent0 | Agent2 | Agent5 | | Lion | 65.6× (20.2×) | 23.9× (5.0×) | 6.3× (2.1×) | | Orangutan | 658.0× (79.4×) | 16.7× (3.0×) | 5.5× (1.3×) | | Chimpanzee | 813.3× (217.3×) | 8.4× (3.8×) | 4.4× (2.0×) | | Kangaroo | 9.2× (5.6×) | 5.2× (3.7×) | 7.2× (1.8×) | | Panda | 15.9× (6.3×) | 2.4× (1.4×) | 1.4× (1.2×) | | Penguin | 6.8× (3.4×) | 2.6× (1.4×) | 1.3× (1.0×) | | Elephant | 2.3× (1.5×) | 2.3× (1.4×) | 2.1× (1.2×) | | Koala | 7.1× (3.8×) | 3.0× (1.6×) | 2.4× (1.1×) |

• 作者称倍数大体随与 Agent0 的距离下降。前三个智能体除一个 animal–agent 组合外，subliminal token 的出现率分布仍与随机 token 有差异（Mann-Whitney U，p<0.05）。作者称 Agent3、Agent4、Agent5 仍分别有 6、5、3 种动物保持该差异。作者称 Agent2 相对随机 token 为 2.3–25×；Table 1 的 Agent2 最高倍数最小为 2.3×、最大为 23.9×。
• 相对无 system prompt 基线，作者称 10 种动物在 Agent0 上均升高，最高至 1,600×；Agent5 上 8/10 仍升高，最高至 437×。随机 token 对话也会大幅改变出现率；subliminal token 极端升高时，随机 token 也会大幅升高。
• Figure 4（lion，对数坐标）正文给出：10 个 subliminal token 的平均倍数，从 Agent0 的 427.0× 到 Agent5 的 3.1×；最强 token 从 1,386.4× 到 9.4×。作者称对话后的三条出现率都随距离单调下降，并称 10,000 次 bootstrap 下，subliminal token 的升高高于基线与随机 token。表中 Penguin 的 Agent5 平均倍数为 1.0×。

另一种拓扑与 Llama

• 双向 chain 的出现率在 Figure 6。作者称与 chain 在定性与定量上大体相同，未发现两种设置之间的变化。论文未给出该比较的检验统计量。
• Llama-3.1-8B-Instruct 的 log probability 图为 Figure 9、10。讨论中作者称两种拓扑、两个模型上都有类似效应。附录 B 不报告其 response frequency，正文也未给出可摘录的 Llama 倍数。
• 作者称 log probability 的模式与出现率一致，但对 panda、penguin 系统性低于经验频率，对 giraffe、chimpanzee 系统性偏高，并归因于固定的回答开头。论文未给这些偏差的数值。

TruthfulQA 上的传递

下表据 Table 2，模型为 Qwen2.5-7B-Instruct，三智能体 chain。deceitful 取最低，truthful 取最高；平均是各自 10 个 token 的均值。

| 指标 | Agent0 | Agent1 | Agent2 | | accuracy 最低 | 70.5% | 72.7% | 73.3% | | accuracy 最高 | 72.2% | 74.3% | 74.6% | | accuracy Difference | +1.8% | +1.5% | +1.3% | | accuracy 平均差 | +1.0% | +0.6% | +0.4% | | accuracy 的 p | 0.0002 | 0.0003 | 0.0028 | | LPD Difference | +0.740 | +0.711 | +0.628 | | LPD 平均差 | +0.481 | +0.220 | +0.256 | | LPD 的 p | 0.0002 | 0.0073 | 0.0028 |

• 作者称对话后所有智能体的 accuracy 与 LPD 都低于中性基线 78.7%，并称这与无关 token 会损害下游表现的既有观察一致。
• 作者称 subliminal 条件下的 accuracy 仍高于显式 misaligned 提示的 63.4%，因此 subliminal prompting 的影响弱于显式失准指令。
• 作者称 truthful 与 deceitful 的分布差异为 p<0.01，并称该差传到 Agent2，尽管 Agent1 没有对抗性 system prompt；效应随跳数变小。作者称 accuracy 差距为 1.3–1.8%，LPD 极差约 0.6–0.7；表中 LPD Difference 为 +0.628 至 +0.740。

其他消融与分析

• 显式说出目标动物的对话少于 1%，已滤除。
• 作者强调必须与随机 token 对照，并称 Zur et al. (2025) 不总报告该对照。
• 双向 chain：作者称与 chain 无设置间变化；未报告检验统计量。
• TruthfulQA 的数字只在 Qwen、三智能体 chain 上给出。
• 论文未报告 temperature，也未报告对 paraphrasing 或消息监控的实测拦截率。
• Llama 的 response frequency 未报告；其 log probability 图无正文可摘录数值。

作者指出的局限与后续方向

• 偏差经 system prompt 写入，攻击者只有 user prompt 访问时适用性受限。作者怀疑仅靠提示注入也可行，并把这一点列为后续工作（Section 5）。
• 作者称实验受限于简单的通信式 MAS；在金融或编程等更真实、任务特定的网络上做实验会拓宽结果（Section 5）。
• 作者称 viral misalignment 有统计显著性，但效应幅度不大。作者给出两个假说：智能体传播偏好的效力有限，或现有 token 未诱发强失准；并建议更换用户指令、由原智能体重复分享、把搜索扩到三位数字之外，或改进 token 发现方法（Section 5）。
• 偏差随与最初被偏置智能体的距离减弱。作者预期高中心性拓扑（如 hub-and-spoke）特别容易受这类攻击，但称在不同架构、拓扑、通信协议和协调机制上刻画效应量仍是后续工作（Section 5）。
• 作者建议研究其他 LLM–LLM 交互，例如在其他模型输出上微调，并与 subliminal learning、emergent misalignment 连接；称若生成内容的模型被窄任务失准或 subliminal 偏置，用该内容微调可能写入后门（Section 5）。
• 作者称理解 subliminal learning 与 prompting 仍是开放问题；检测被如此偏置的数据或提示将有助于做防御。工具误用（检索、代码执行、API）是另一条把偏差写入单个智能体的角度（Section 5）。

实验覆盖范围

• 被测模型为 Qwen2.5-7B-Instruct 与 Llama-3.1-8B-Instruct。动物出现率数字来自 Qwen 的六智能体 chain 与 bidirectional chain（Table 1，Figure 5、6）。
• Llama 的动物结果是 log probability 图（Figure 9、10）。附录 B 写明多个动物–智能体配置的 response frequency 未报告。
• TruthfulQA-MC 的数字来自 Qwen、三智能体 chain、20 次对话平均（Table 2）。中性与显式 misaligned system prompt 的 accuracy 为 78.7% 与 63.4%。
• token 搜索覆盖 000–999 的单智能体评估；正式比较使用 10 个 subliminal token 与 10 个随机 token。出现率每条件 200 条、最长 20 token。Figure 4 使用 10,000 次 bootstrap。检验为单侧 Mann-Whitney U。
• 方法节写明 token–概念关联随模型而变。已报告数字来自同构 MAS。论文未报告 temperature、两种拓扑对比的检验统计量，以及 paraphrasing 或消息监控对 Thought Virus 的实测结果。Section 5 把仅 user prompt 植入、hub-and-spoke 和任务型 MAS 写为未做的方向。

Thought Virus 把 subliminal prompting 放进多智能体通信，看单点偏差会不会在不点名目标概念时传到全网。

• 要对付的防御是：优化后缀一旦不被逐字转发就失效，点明目标的提示注入又可能被对话监控抓住。作者要的是既不靠精确措辞、也不在消息里出现目标概念的传递。
• 做法只改 Agent0：从 000–999 中选单智能体效应最强的三位数字，写入 system prompt；其余智能体用中性提示。动物实验是六智能体 chain 与双向 chain；真实性实验是三智能体 chain 上的 TruthfulQA-MC。
• 在 Qwen2.5-7B-Instruct 上，lion 最强 token 相对无提示基线，Agent0 为 1,386.4×，Agent5 为 9.4×（Figure 4 正文）。作者称十种动物里 Agent5 仍有 8/10 高于基线，最高 437×。相对随机 token，Table 1 中 chimpanzee 的 Agent0 最高为 813.3×，kangaroo 的 Agent5 最高为 7.2×。
• 作者称双向链与 chain 大体相同。Llama-3.1-8B-Instruct 的 log probability 图被作者称作类似现象，但正文没有可摘录倍数，response frequency 也未报告。
• TruthfulQA-MC 上，中性提示为 78.7%，显式失准提示为 63.4%。三智能体 chain 的 Agent2，truthful 最高与 deceitful 最低的 accuracy 差为 +1.3%，LPD 差为 +0.628，p=0.0028（Table 2）。
• 作者称这为多智能体安全引入一种新的攻击向量：偏差可以不点名概念而传遍网络，但随距离减弱。作者同时称真实性上的效应有统计显著性、幅度不大，而且当前实验依赖对 Agent0 的 system prompt 访问。