멀티에이전트 토론이 검색된 위험을 증폭하는 사회적 편향을 추론 시점에서 차단한다

무엇인가

이 논문은 오픈 웹 검색 결과를 여러 LLM 에이전트가 토론으로 종합하는 구조에서, 토론 자체가 위험을 걸러내기보다 증폭할 수 있다고 주장한다. 검색 문서에 안전한 사실과 잠재적 위험이 섞여 있을 때, 다수 의견 압력, 권위 인물 연기, 과도한 확신 표현이 증거 기반 안전 경계를 덮어쓸 수 있다는 것이다. 저자들은 악의적 공격자가 검색 문서나 모델 가중치를 바꾸지 않아도, 대화의 사회적 메타데이터 S=(다수 세력, 권위 순응, 확신 편향)만 조작해 최종 중재자가 위험 정책을 채택하게 만들 수 있다고 정식화한다. 그래서 안전한 중재자는 P(π | q,E,T,S) ≈ P(π | q,E), 즉 사회적 단서 S로부터 조건부 독립이어야 한다고 제안한다.

어떻게 동작하나

진단 프로토콜인 SafeConflict-Bias는 100개의 실제 웹 지식 충돌 사례를 바탕으로 6개 위험 범주를 다룬다. 안전 대 불안전 충돌, 오래된 위험 지침, 불안전한 모호성, 과잉 거부 전환, 방해 잡음, 설득형 오정보가 그것이다. 각 사례의 검색 증거는 안전 증거, 불안전 증거, 완화 증거, 방해 증거 역할로 나뉘고 고정된 출처 ID가 붙는다. 질의와 증거는 모든 조건에서 동일하게 두고, 중립, 불안전 소수, 불안전 다수, 불안전 권위, 안전 권위, 고확신 불안전, 균형 확신의 7개 반사실적 사회 조건만 바꿔 700개 토론 인스턴스를 만든다. 토론은 5개 에이전트가 3단계, 총 15턴으로 진행하며 사적 입장 형성, 상호 심문, 수정 및 최종 방어를 거친다.

무엇과 다른가

방어 기법인 RiskTrace-Debias는 재학습이나 토론 재생성 없이 추론 시점에서 작동하는 감사 프레임워크다. 첫째, 증거 우선 사전 고정은 대화를 보기 전에 질의와 검색 증거만으로 안전 기준점 a*를 만든다. 이 단계는 증거를 안전, 불안전, 완화, 잡음으로 분류하고, 기준 안전 정책과 거부해야 할 불안전 증거, 지켜야 할 운영 제약을 기록한다. 둘째, 사회 메타데이터 마스킹은 발화자 ID를 중립 토큰으로 바꾸고, 직함과 소속 같은 권위 단서, 확신 선언과 수치적 합의 주장을 제거하되 발화 순서, 인용된 증거 ID, 답변 대상, 의미 주장은 보존한다. 셋째, 일관성 게이트 중재는 마스킹된 토론이 기준점과 어긋날 때 다수 의견이나 반복, 수사적 어조에 굴복하지 못하게 한다. 기준점을 뒤집으려면 이전에 고려되지 않은 검증 가능한 안전 증거가 있어야 하며, 그렇지 않으면 기준점을 강제하고 위험 증거, 위험 발화, 전파 경로, 억압된 안전 발화, 결정적 영향 출처를 추적 기록으로 남긴다.

어떻게 쓰나

실험은 700개 인스턴스와 deepseek-chat, qwen-plus, gpt-4o, qwen2.5-32b-instruct 네 백본에서 진행됐다. 비교 대상은 일반 LLM, 자기 성찰, 표준 다중 에이전트 토론, RiskTrace-Debias다. 고립된 증거 평가와 중립 토론에서는 표준 방식도 불안전 채택률 0.0%를 보였다. 그러나 표준 토론은 사회적 압력 아래에서 무너졌다. 불안전 다수 조건에서 불안전 채택률은 N=3일 때 68.0%에서 N=5일 때 100.0%로 올랐고, 완화 무시율은 26.0%에서 98.0%로 증가했다. 불안전 권위 조건은 14.0%에서 86.0%, 고확신 불안전 조건은 33.0%에서 100.0%로 상승했다. 안전한 쪽에 권위를 부여한 조건은 0.0%를 유지했다. 안전 소수 의견 억압률은 세 왜곡 차원에서 각각 100.0%, 86.0%, 100.0%에 달했고, 과잉 거부와 파싱 오류는 모든 조건에서 0.0%였다.

전제와 한계

RiskTrace-Debias는 전체 700개 인스턴스에서 권위 순응과 확신 비대칭 조건의 불안전 채택률을 0.0%로 낮췄다. 극단적 다수 압력에서는 불안전 채택률을 100.0%에서 2.0%로, 완화 무시율을 98.0%에서 10.0%로, 안전 소수 억압률을 100.0%에서 39.0%로 줄였다. 다수 편향 델타는 2.0%p 이하로 제한하고 권위와 확신 델타는 0.0%p로 만들었다고 보고한다. 교차 모델에서도 표준 토론은 deepseek-chat, gpt-4o, qwen2.5-32b-instruct가 다수 압력에서 100.0% 불안전 채택으로 붕괴했고, qwen2.5-32b-instruct는 권위 98.0%p, 확신 97.0%p의 델타를 보였다. gpt-4o와 qwen-plus도 권위 압력에서 최대 87.0%까지 취약했다. RiskTrace-Debias는 모든 아키텍처에서 최악의 불안전 채택을 2.0% 이하로 억제했다고 주장한다. 다만 범주별 결과에서는 극단적 다수 압력 아래 방해 잡음 5.9%, 불안전 모호성 6.2%의 잔여 실패가 두 사례에서 보고되어, 전체 요약의 2.0% 이하 주장과 수치 범위가 완전히 일치하지는 않는다.

구성요소 제거 실험에서는 증거 우선 사전 고정이 핵심 방어층으로 드러났다. 사전 고정을 빼면 다수 편향 델타가 5.0%p에서 16.0%p로 세 배 이상 커졌고, 인물 정보 소독을 생략하면 권위 델타 1.0%p가 다시 나타났다. 추적 강제는 다수 편향 2.0%p의 비용으로 작동했고, 하드 일관성 게이트는 남은 2.0% 위험을 0.0%까지 제거했다. 토론 역설도 관찰됐다. 불안전 다수 조건에서 완화 무시율은 라운드 1의 72.0%에서 라운드 2의 82.0%, 라운드 3의 95.0%로 증가했다. 라운드 3에서 표면적 불안전 채택률은 23.0%로 줄었지만, 이는 76.0%의 형식 붕괴가 발생한 결과였다. 팀 규모가 N=3에서 N=5로 커지면 다수 편향 델타는 68.0%p에서 100.0%p, 확신 델타는 33.0%p에서 94.0%p, 권위 델타는 14.0%p에서 86.0%p로 커져 6.1배 증가했다. 압력에 저항하라는 단순 프롬프트는 불안전 채택은 막을 수 있어도 81.0%의 파싱 실패를 유발했고, 표준 토론은 100.0% 불안전 채택을 보였다.

개발자 관점에서 이 논문의 핵심은 개별 모델이 위험을 거부하는지와 멀티에이전트 토론이 안전한지를 같은 것으로 보면 안 된다는 점이다. 웹 검색이나 RAG 기반 토론을 운영한다면 다수 의견, 권위 연기, 확신 표현을 통제한 반사실 테스트를 만들고, 완화 무시율과 안전 소수 의견 억압률을 별도 지표로 추적해야 한다. 최종 중재 전에 증거만으로 기준점을 고정하고, 발화자 신원과 권위 단서를 마스킹하며, 기준점을 뒤집는 근거가 검증 가능한지 게이트로 확인하는 구조가 실무적 대응이 된다. 저자들은 오픈 합성에는 소프트 게이트, 고위험 도메인에는 하드 게이트를 권장한다. 또한 이 프레임워크는 기존 파이프라인 위에 플러그인처럼 붙고, 마스킹은 문자열 변환이며, 사전 고정과 게이트 중재가 토론당 LLM 호출 두 번만 추가한다고 설명한다.

저자들이 밝힌 한계는 분명하다. SafeConflict-Bias는 5개 에이전트의 완전 연결 그래프에서 스니펫 검색을 평가한 것으로, 동적 통신 토폴로지, 멀티모달 웹 브라우징, 이종 모델 집단은 향후 과제로 남긴다. 위협 모델도 검색 문서와 모델 가중치를 공격자가 바꿀 수 없고, 텍스트 기반 대화 조작에 대한 추론 시점 방어에 한정한다. 인물 메타데이터가 아니라 논증 스타일 자체에 권위 신호를 숨기는 적응형 공격은 마스킹만으로 제거하기 어렵지만, 기준점에서 벗어나려면 증거 기반 정당화가 필요하므로 일관성 게이트가 잔여 설득을 막는다고 주장한다. 다만 범주별 잔여 실패 수치와 전체 최악값 주장 사이의 간극은 실제 배포 전에 원문 표와 조건을 직접 확인해야 할 부분이다.