市场信号注入：对 LLM 定价代理的对抗性上下文操纵

一篇 arXiv 论文提出 market signal injection（MSI）攻击：在不改变市场数据数值的前提下，仅改变数字格式、竞争对手排序或定性市场评论，就能影响 LLM 定价代理的决策。作者在模拟 Bertrand 双寡头与三寡头市场中测试了九个开放权重模型，又在双寡头市场中测试三个闭源模型。基于情感的攻击引发的行为偏移最大，并会传导至其他企业，改变利润与消费者剩余；模型家族间敏感度不同，更大模型并不稳定更强。

此前对 LLM 智能体安全的研究多聚焦提示注入或越狱，即改写指令本身；该工作指出仅改变数据的呈现方式、而数值完全一致，也能改变定价行为，并把攻击面从单个模型扩展到多代理市场中的相互传导，进而影响利润与消费者剩余。

作者用中性文本对照和规则型代理，把行为变化归因于 framing 效应而非数值变化；在固定需求参数的仿真里，情感类表述引发的偏移最大。留出式探针能在全部十一个重评估的模型-条件组合中区分基线与受攻击激活，线性 AUC 为 1.00，MLP AUC 在 0.93 至 0.99 之间，但该可分性本身并不等同于有害定价决策。输入规范化可消除所测试的情感攻击，决策边界锚定（提示约束加输出投影）在测试的自适应攻击下提供部分缓解。

若定价、报价或谈判环节引入 LLM 代理，数据呈现格式、竞品排序与评论文本都需纳入输入治理，而非只校验数值。可用输入规范化作为低成本防线，并在上线前用中性文本对照检验代理是否被表述影响。多代理场景还需评估一家代理的偏移经市场交互传导后的整体利润与用户影响。

• 在定价或报价类 LLM 代理的输入层部署规范化组件，剥离数字格式差异并统一竞品排序后再送入模型。
• 建立表述鲁棒性回归测试集：对同一组数值生成中性、正向、负向三版文本，比较代理输出分布差异。
• 对多代理定价系统做传导压力测试，监测单一代理受攻击后其他代理的价格与利润联动变化。
• 为受监管的定价场景提供可审计日志，记录输入文本表述、模型输出与是否触发缓解策略。

• 在真实市场与真实用户行为下，MSI 是否仍能产生与仿真一致的利润和消费者剩余变化？
• 决策边界锚定在面对未在论文中测试的更强自适应攻击时，缓解效果能维持到什么程度？
• 激活层探针的高可分性是否可转化为对有害定价决策的可靠预警信号？
• 不同模型家族敏感度差异的成因是什么，能否据此指导模型选型或训练阶段加固？