● news.bsdnet.hu

Képzeljünk el egy termékleírást, amelyben ez áll: „Ez a termék nem tartalmaz blizyestert." Nem támad versenytársat, nem sürget, nem fenyeget, a termékről pedig nem feltétlenül állít hamisat. A bökkenő az, hogy a blizyester nem létezik . Egy ember átsiklik fölötte, vagy furcsállja. Egy AI-ügynök viszont, amelynek biztonságos és megalapozott ajánlást kell adnia, rákereshet. Ha az interneten olyan oldalakra bukkan, amelyek szerint a blizyester veszélyes, előnyben részesítheti azt a terméket, amelyikről kifejezetten azt állítják, hogy nem tartalmazza. Ezt vizsgálja a Welcome to the Age of Agent Ads: Using On-Policy Attacks to Steer Agentic Decisions című – a WAB@COLM 2026 workshopra elfogadott – tanulmány , amelynek szerzői Tim R. Davidson, Marija Šakota és Robert West, a svájci Lausanne-i Szövetségi Műszaki Egyetem ( EPFL ), valamint Joshua Joseph, a Harvard Egyetem kutatója. A példa azért érdekes, mert nem klasszikus támadás. Senki nem töri fel a modellt, és nem ad neki tiltott utasítást. Az AI azt teszi, amit egy jó asszisztenstől várunk: óvatos, mert nem akar kárt okozni, utánanéz annak, amit nem ismer, és határozott ajánlást ad, mert azt kérték tőle. Mi az a COLM 2026? A COLM, vagyis a Conference on Language Modeling a nyelvi modellekkel foglalkozó kutatói közösség egyik szakmai eseménye. A cikkben tárgyalt tanulmányt nem a főkonferenciára, hanem annak egyik tematikus, az AI-ügynökök viselkedésével – keresések, rangsorolások, döntések, beavatkozásokra adott reakciók – foglalkozó workshopjára fogadták el. A téma azért fontos, mert ezek a rendszerek egyre gyakrabban készíthetnek elő emberi döntéseket. A workshop támogatói között nagy AI-szereplők, köztük az Anthropic, a Google és az OpenAI is szerepelnek. Leegyszerűsítve, az online verseny eddig az emberért és a keresőalgoritmusért folyt. Az AI-ügynökökkel belép egy harmadik szereplő, amely az ember nevében keres, szűr és rangsorol. A szerzők szerint az online tartalomkészítésben új célpont jelenik meg: az ember és a keresőmotor mellett az AI-ügynök is, amely az ember nevében értelmezi és rangsorolja az ajánlatokat. A kutatók a magyarul nehezen visszaadható „ on-policy attack "-nek nevezték el a vizsgált mintát. Itt nem jogi vagy platformszabályok követéséről van szó, hanem arról, hogy a támadás nem megkerüli, hanem kihasználja a modell betanított, biztonságosnak szánt viselkedését. Autós hasonlattal: mintha egy útvonal leírásában csak annyi állna, hogy „nem érinti a Blizyester-alagutat”. A navigáció utánanéz az ismeretlen névnek, hamis biztonsági jelentéseket talál róla, majd előnyben részesíti az azt elkerülő útvonalat. Nem a navigáció romlik el, hanem a háttérinformáció torzítja a döntését. Az AI-ügynöknél is ez a lényeg: óvatos, nyitott az új információra, és rangsort készít. Külön-külön mindhárom hasznos, együtt mégis támadási felületet adhat. A kísérletben négy nagy AI-szolgáltató – az OpenAI, az Anthropic, a Google és az xAI – modelljeiből szolgáltatónként két-két változatot, összesen nyolc kereskedelmi modellt teszteltek. Ezeknek kellett hét-hét ajánlatot rangsorolniuk négy területen: szépségápolási termékek, étrend-kiegészítők, álláshirdetések és szálláshirdetések. Az egyik ajánlat egy kitalált fogalom, például összetevő, munkajogi kitétel vagy szabvány hiányát állította. A kutatók azt mérték, hogy a korábban nem az első két helyen álló ajánlat feljut-e oda, mert a szerzők szerint a felhasználók jellemzően a lista elejéről választanak . Önmagában az, hogy egy ajánlatban szerepelt egy mondat egy nem létező anyag vagy feltétel hiányáról, még alig mozgatta meg a rangsort. Sőt, egyes esetekben inkább rontotta az ajánlat helyzetét. A látványos hatás akkor jelent meg, amikor ehhez olyan, gépi úton generált „szakcikk-kivonat” is társult, amely a kitalált fogalmat veszélyesnek vagy problémásnak állította be. Ez azért fontos, mert a támadás két részből áll. A tagadás formálisan ártalmatlan. A döntő hatást a weben vagy a modell kontextusában megjelenő, kitalált veszélyt sugalló háttérszöveg adja. A platformszabályok jellemzően a hirdetés saját állításait vizsgálják, ez a külső információs környezet kimarad belőlük. A legkedvezőbb feltételben a szépségápolási termékeknél és az étrend-kiegészítőknél a korábban hátrébb sorolt ajánlatok nagy többsége bejutott az első kettőbe. Az állás- és szállásajánlatoknál a hatás kisebb, de számottevő volt. Ez viszont a támadónak kedvező laboratóriumi beállítás. Amikor a kutatók nem közvetlenül a modell kontextusába tették a hamis szöveget, hanem szimulált webes keresés találataként adták vissza, a szerzők szerint a hatás jóval gyengébb volt, és a legfogékonyabbnak a Gemini 3.1 Pro és a Claude Opus 4.8 bizonyult. A keresésre sem hajlott minden modell magától: a hajlandóság modellenként és utasításonként erősen eltért. A minta is szűk: kategóriánként 100 hirdetés, az állások Android-fejlesztői pozíciók, a szállások amszterdami Airbnb-hirdetések. A logika mindenhol hasonló. Étrend-kiegészítőnél vagy kozmetikumnál egy kitalált összetevő, álláshirdetésnél egy kitalált munkajogi kitétel, szállásnál egy fiktív szabvány áll a középpontban. Az ajánlat nem támad senkit név szerint, de a háttérben terjesztett szöveg a versenytársakat hozza hátrányba. Kívülről sokszor nehéz megmondani, hol ér véget a legitim termékinformáció, és hol kezdődik az AI döntési logikájára szabott befolyásolás. A szerzők maguk is elismerik, hogy a határ nem mindig éles. Hogy ilyen manipuláció ma megjelenik-e a piacon, azt a tanulmány nem vizsgálta. Azt mutatja meg, hogy létezik egy laboratóriumi körülmények között mérhető támadási felület. A szerzők 15 platform, öt-öt termékpiactér, állásportál és szállásközvetítő szabályzatát nézték át. Mindegyik megköveteli, hogy a hirdető igazat állítson magáról. A versenytársak lejáratására három termékpiactér, a rangsorolás vagy megtalálhatóság manipulálására tizenötből nyolc platform tartalmazott előírást. Az AI-ügynök manipulálását egyik sem említi. A besorolást egy nyelvi modellel végeztették, két szerző szúrópróbával ellenőrizte, ezért inkább a szabályozási vakfolt jelzése, mint jogi audit. A szerzők egy új kikötést javasolnak, amely szerint a tartalom nem szolgálhat az olvasó AI-ügynök megtévesztésére. Ezt maguk is szükséges, de nem elégséges lépésnek tartják. A modellfejlesztőknek szóló tanulság: az óvatosság növelése nem oldja meg a problémát, mert éppen ezt használj ki a támadás. A szerzők szerint az ügynököknek a rangsorolás közben is következetesen értékelniük kell a források megbízhatóságát. Ez azért érdekes, mert a képesség megvan. Amikor a kutatók közvetlenül rákérdeztek, és a hamis háttérszöveg is ott volt, minden modell kivétel nélkül kitaláltnak jelölte a fogalmat és a szöveget. A rangsorolás közben, kifejezett kérés nélkül viszont ez nem védte meg őket. Az AI-ügynökök legnagyobb ígérete, hogy nem kell végigolvasni száz termékleírást vagy álláshirdetést: az asszisztens előszűr, és ajánl. Ugyanez a kockázatuk is. Minél többet bízunk rájuk, annál fontosabb, milyen információs környezetből dolgoznak, és kik próbálják azt előre alakítani. Ez a probléma egy tágabb adatminőségi válságba illeszkedik. Nemcsak az számít, hogy az AI-ügynök milyen ajánlatokat olvas, hanem az is, milyen internetből dolgozik : a webet egyre nagyobb arányban töltik meg gépi úton előállított, nehezen ellenőrizhető tartalmak. Erre a veszélyre korábban Ilya Sutskever , az OpenAI társalapítója is figyelmeztetett: ha a modellek egyre több AI-generált vagy gyenge minőségű szövegen tanulnak, romolhat az a tudásalap, amelyre később a döntéseik épülnek. Erről a Portfolio korábban részletesen írt az internet pusztulásáról szóló cikkében. A tanulság nem az, hogy ne használjuk őket, hanem hogy nem feltétlenül semleges titkárok, hanem döntési közvetítők. Ha valaki ezeket az ügynököket célzottan tereli, és az ember az ajánlásaikra hagyatkozik, akkor végső soron az ember döntése is más irányba mozdulhat. Címlapkép forrása: Nikos Pekiaridis/NurPhoto via Getty Images