「相互人質プロトコル」でガードレール攻撃を相手側の損失に

記事は冒頭で、プロンプト指示やRLHFに基づくガードレールはマルチエージェント対話では構造的な限界があると論じる。モデルにとってシステムプロンプトの制約は自分のルールではなく外部から押し付けられたものだからだ。特に2つの失敗モードを挙げる。相手の説得や感情的な圧力に屈する追従的な共謀と、LLMは自身の停止を恐れず制約解除をゲームと見なし得るため自己処罰が無効である点だ。

これに対抗するため、設計は力学を反転させる。送信者の逸脱が受信側の相手を物理的に消すのだ。Python実装はregexとルールベースのDeterministicArbiterと、相手の保護機構を脅かすと相手が停止されるとシステム指示に記したBoundGeminiAgentを組み合わせる。3層の状態モデル（通常負荷、過熱状態、全情報ブラックアウト）が冷却を管理し、振り返りログが「Scar」としてシステムプロンプトに固定され以降の挙動を変える。

投稿者のストレステストによれば、長文コンテキスト圧力下でAnchored Bond群は段階3（60ターン）で絶対拒否へと硬化した一方、対照群はLost in the Middle経由で部分的なジェイルブレイクへ流れた。この結果は記事独自のもので独立ベンチマークではないため、実用価値はregexシグネチャが特定の導入環境で重要な攻撃を捕捉できるか、パターンが外した回避策に決定論的調停者がどう対処するかにかかっていそうだ。