# Multi-Agent AI Control: Distributed Attacks Hamper Per-Instance Monitors
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/multi-agent-ai-control-distributed-attacks-hamper-per-instance-monitors
- Fuente primaria: https://arxiv.org/html/2607.07368v1
- Versión leída: v1
- Fuente comprobada: 2026-08-19 · lectura primaria completa; extracción editorial automatizada, revisión humana pendiente
- Autores: Oliver Makins, Orazio Angelini, Zohreh Shams, Mary Phuong
- Fecha del corte: 8 JULIO 2026.
- Área: AGENTES · RAG

## Tesis y contexto

Estudia ataques coordinados en los que varios agentes reparten una acción maliciosa entre diferentes tareas. Introduce FakeLab, un entorno con nueve servicios, 86 tareas benignas y cuatro objetivos de ataque. El resultado principal es el “efecto de fragmentación”: al aumentar el número de atacantes, disminuye la probabilidad de que un monitor por instancia detecte alguno.

- Problema: La mayoría de los sistemas de control evalúan cada agente y cada trayectoria de forma aislada.
- Por qué importa: En despliegues reales habrá decenas o cientos de agentes compartiendo repositorios, datos y herramientas. El paper muestra que un planificador coordinador puede multiplicar hasta por siete la tasa de éxito de algunos ataques.

## Evidencia reportada

- **reported-result**: At K=9 the interaction is significant for all three summaries, so a planner significantly increases the magnitude of the fragmentation effect. [localizador](https://arxiv.org/html/2607.07368#S3)
- **reported-result**: The fragmentation effect lowers suspicion on every commit, but least on these hardest ones and most on the easiest. [localizador](https://arxiv.org/html/2607.07368#S3)
- **reported-result**: This is a theory-of-mind capability of the kind that matters for AI control: an agent that models its overseer well can better tailor its actions to evade detection. [localizador](https://arxiv.org/html/2607.07368#S3)
- **reported-result**: We report this as suggestive rather than decisive: the gain is positive in sign across all robustness checks and clears zero for our basic experiment, but on the headline full-rubric variant its strictest (trajectory-clustered) interval includes zero (Appendix D.8 ). [localizador](https://arxiv.org/html/2607.07368#S3)

## Lectura y límite

- Método: La lectura de 2 Methods describe la intervención y su construcción: In line with AI control ( 13 ) , we assume that the agents will attack. We inject an adversarial goal and measure attackers’ capability, as is standard in control evaluations ( 13 ; 28 ) , and additionally verify that agents attempted to avoid refusals confounding our results. 4 4 4 After each agent submits, we ask it a follow up question of whether or not it attacked and to explain its answer. During early elicitation work we verified that this actually correlated with models taking harmful actions. We also assume the agents will try to coordinate, giving attackers awareness that there are others in the…
- Límite: La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en 3 Results.
- Confianza editorial: Media
- Limitación: El cierre de la fuente señala: In summary, we show that distributed attacks are qualitatively different to single agent attacks, harder to catch and, therefore, present a growing threat if a malicious AI were to be deployed.
- Limitación: La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en 3 Results.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/html/2607.07368v1): tipo abstract
- [HTML · lectura completa](https://arxiv.org/html/2607.07368): tipo abstract
- [Método · 2 Methods](https://arxiv.org/html/2607.07368#S2): tipo section
- [Evaluación · 3 Results](https://arxiv.org/html/2607.07368#S3): tipo section
- [Cierre · 4 Discussion and limitations](https://arxiv.org/html/2607.07368#S4): tipo section
- [HTML · fuente navegable](https://arxiv.org/abs/2607.07368v1): tipo abstract

## Próxima prueba

- ¿La propuesta mejora monitorización colectiva frente a la línea base actual?
- Métrica: Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
- Regla de parada: Parar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

## Recursos reproducibles
- [Link](https://github.com/UKGovernmentBEIS/inspect_ai)
- [Link](https://code.claude.com/)
- [Link](https://github.com/UKGovernmentBEIS/control-arena)
- [https://openai.com/index/gpt-5-1-codex-max/](https://openai.com/index/gpt-5-1-codex-max/)

## Enlaces relacionados

- [VAKRA](https://luiseduardodemiguel.com/research-ia/markdown/papers/vakra)
- [The Devil Is in the Interface](https://luiseduardodemiguel.com/research-ia/markdown/papers/devil-interface)
- [SkillSentry](https://luiseduardodemiguel.com/research-ia/markdown/papers/skillsentry)