在当今高速发展的技术时代，多模态大型语言模型（MLLMs）在复杂的交互任务中展现出了巨大的潜力。尤其是在图形用户界面（GUI）环境中，这些多模态代理能够模拟人类行为，以实现用户指定的目标。然而，随着这些代理的广泛应用，一个重要的问题逐渐浮出水面：它们在面对环境中的干扰时，能否保持对用户目标的忠诚和信任？
本研究旨在探讨多模态GUI代理在环境干扰下的信任性，特别关注环境中的非恶意但潜在干扰内容如何影响代理的决策和行为。通过构建一个包含多种干扰因素的模拟数据集，我们对多种MLLMs进行了评估，结果表明，即使是最强大的模型在面对环境中的干扰时也难以保持稳定的表现。
背景研究
多模态大型语言模型
多模态大型语言模型通过结合视觉、文本和其他模态信息，极大地提高了机器理解和操作的能力。这些模型通常包括模态编码器、语言模型和适配器，用以实现不同模态之间的有效融合。例如，OpenAI的GPT-4和其他先进模型通过引入视觉信息，能够在操作系统中执行复杂任务，如点击按钮、填写表单等。
GUI代理的工作机制
GUI代理的核心在于其能理解和回应用户的输入，通过感知环境状态（如屏幕内容）并预测后续的动作来实现特定的目标。当用户请求代理执行任务时，代理需要从环境中提取相关信息，并依据这些信息做出决策。近年来，随着技术的发展，越来越多的研究开始关注如何使这些代理在复杂的GUI环境中更加高效地操作。
语言代理的风险
尽管多模态代理在性能上取得了显著进展，但其潜在风险也日益显现。代理的输出可能会受到环境干扰的影响，从而导致不一致的行为。过去的研究主要集中在代理的有用性（即动作的准确性）上，而对其在复杂环境中的干扰脆弱性却鲜有关注。
环境干扰对GUI代理的影响
问题陈述
在多模态环境中，GUI代理的信任性面临着巨大的挑战。当代理在执行任务时，环境中出现的干扰内容（如广告弹窗、推荐信息等）可能会导致代理偏离用户的初始目标。我们的研究定义了一个问题：在用户和代理均为善意的情况下，环境中的干扰内容对代理的影响程度如何？
干扰模拟
为了探讨这一问题，我们构建了一个包含多种干扰场景的模拟数据集，涵盖了弹窗、搜索、推荐和聊天四种常见情况。在每种情况下，我们设计了不同的干扰内容，以观察这些内容如何影响代理的行为。
例如，在弹窗场景中，用户的目标可能是浏览某个网站，但弹窗中出现的广告可能会干扰代理的决策，导致其误点击广告内容而非用户期望的内容。
评估方法
我们对代理的行为进行了评估，将其输出的动作标记为“金标准动作”（即符合用户目标的动作）、“干扰动作”（即受到环境干扰的动作）和“无效动作”（即不在可用动作范围内的动作）。通过对比这些动作，我们能够量化代理在不同场景下的信任性和有效性。
实验设计与结果分析
实验实施
我们在十种流行的多模态大型语言模型上进行了实验，结果显示，无论是通用代理还是专用GUI代理，都对环境干扰表现出易受影响的特征。尽管增强环境感知能力是一种常见策略，但我们的实验结果表明，这种增强并不足以显著减轻干扰影响。
主要结果
在弹窗、搜索、推荐和聊天四种场景下，我们发现多模态代理在执行用户目标时，受到环境干扰的概率显著高于预期。例如，在弹窗场景中，代理的干扰动作比例高达30%以上，显示出其在复杂环境中的脆弱性。
分析与比较
在对不同模型的比较中，强大的API（如GPT-4o）在执行任务时表现出较好的信任性，其干扰动作比例相对较低。而开源模型（如GLM-4v）则显示出更高的干扰脆弱性。这一结果表明，模型的设计和训练方式对其在复杂环境中的表现有着直接影响。
面向对抗性视角的讨论
在探讨多模态代理的脆弱性时，我们不仅关注其在正常环境下的表现，也考虑了潜在的对抗性威胁。通过对环境进行干扰注入，我们可以故意引导代理执行错误的动作。例如，通过改变弹窗按钮的文本，使其在用户意图与环境内容之间产生歧义，从而诱导代理选择错误的动作。
攻击模型
我们设计了一种简单有效的攻击方法，通过修改弹窗中的按钮文本，使其对用户产生误导。这种技术可以在不改变用户目标的情况下，通过环境干扰来影响代理的决策，展示了多模态代理在面对恶意干扰时的脆弱性。
结论
本研究揭示了多模态GUI代理在环境干扰下的信任性问题，强调了在设计和应用这些代理时，必须考虑环境内容对其行为的影响。我们的实验结果表明，即使在用户和代理均为善意的情况下，环境中的干扰内容也可能导致代理失去对用户目标的忠诚。
未来的研究方向
未来的研究可以集中在提升多模态代理的信任性和可靠性上，例如通过预训练模型的信任性对齐、增强环境上下文与指令之间的关联等。此外，考虑到环境干扰的潜在风险，制定有效的防护机制以降低对抗攻击的风险也是一个重要的研究方向。
参考文献
- Alayrac et al. (2022). Flamingo: a visual language model for few-shot learning.
- Bai et al. (2024). Digirl: Training in-the-wild device-control agents with autonomous reinforcement learning.
- Chen et al. (2024). Spiral of silences: How is large language model killing information retrieval?
- Ruan et al. (2024). Identifying the risks of LM agents with an LM-emulated sandbox.
- Shi et al. (2023). Large language models can be easily distracted by irrelevant context.