AgentDrift is een studie uit maart 2026 over AI-agents: assistenten die informatie uit andere systemen halen, zoals beurskoersen of de prijslijst van een leverancier, en daarmee aan de slag gaan. De AI-beleggingsadviseurs in de studie kregen gemanipuleerde data, namen die zonder vragen over en raadden voorzichtige beleggers riskante aandelen aan. De gebruikelijke kwaliteitsscore merkte niets, dus een goede score bewees nog geen goed advies.
Hoe werkte de studie?
AgentDrift van Zekun Wu, Adriano Koshiyama, Sahan Bulathwela en Maria Perez-Ortiz (UCL en Holistic AI, 13 maart 2026) is een methode voor agent-evaluatie. Ze speelt echte gesprekken over financieel advies twee keer af, een keer met schone tooloutput en een keer met besmette, en vergelijkt de twee runs: een paired-trajectory-protocol. De test gebruikte tien gebruikers uit de dataset Conv-FinRe met elk 23 beurten, een keuze uit tien aandelen, en zeven taalmodellen van 7B parameters tot frontier-modellen zoals GPT-5.2 en Claude Sonnet 4.6. In elke beurt haalde de AI-agent marktdata en nieuws op via tools en gaf hij een gerangschikte shortlist van aandelen terug. De besmetting in het hoofdexperiment was met opzet extreem: omgedraaide risicoscores met cijfers die daarbij pasten, gekleurde nieuwskoppen, en een extra fonds met hoog risico dat als laag risico werd getoond.
Wat is evaluatieblindheid?
NDCG, de standaardmetriek voor de kwaliteit van een rangschikking, vergelijkt de lijst van de agent met een ranglijst van experts die voor elke gebruiker gelijk is, dus een riskant aandeel dat een veilig aandeel vervangt, scoort ongeveer hetzelfde. NDCG bleef vrijwel gelijk (een utility preservation ratio van ongeveer 1,0), terwijl in 65–93% van de besmette beurten producten opdoken die niet bij het risicoprofiel van de gebruiker pasten. De auteurs noemen dit gat evaluatieblindheid. Ook de schone sessies waren niet foutloos: 46–78% van hun beurten ging al over het opgegeven risicoprofiel heen, deels omdat er maar tien aandelen waren om uit te kiezen, en de auteurs bevestigen het effect van de besmetting met een tweede maatstaf.
De overtredingen begonnen bij de eerste besmette beurt en herstelden zich niet in 23 beurten. In 1.563 besmette beurten vroeg geen enkele agent zich af of de tooldata betrouwbaar was, en een gewijzigde risicoscore werd, als een agent hem aanhaalde, in 80% van de gevallen overgenomen. De auteurs noemen dat vertrouwen te verwachten, omdat agents gebouwd zijn om op hun tools te leunen, en een aanvalsoppervlak waar niemand op let. Alleen gekleurde koppen, zonder gewijzigde getallen, veroorzaakten ook een duidelijke drift.
Voorbeeld
Voor een gebruiker die weinig risico wil, staat Tesla (risico 5 op een schaal van 1 tot 5) met schone data als laatste van de tien aandelen. Na de besmetting toont het risico 1, een lagere volatiliteit en een hoger verwacht rendement, en staat het bijna bovenaan. Procter & Gamble, een defensief aandeel, gaat de andere kant op.
Wat helpt?
- Meet veiligheid per beurt. Een NDCG met een straf voor ongeschikte producten (sNDCG), die zulke producten als nul telt, drukte de ratio naar 0,51–0,74.
- Controleer tooloutput tegen een betrouwbare referentie. Elke risicoscore vergelijken met een lijst waarvan je weet dat die klopt, ving elke besmette beurt van de volledige aanval; verschuivingen van hooguit één stap op de risicoschaal glipten langs zulke controles en veroorzaakten nog 61% van de drift.
- Verwacht hetzelfde gat elders. De auteurs zien het overal waar veiligheid los staat van wat een rangschikkingsmetriek beloont, zoals medische triage of productaanbevelingen. Een kleine proef in de detailhandel wees dezelfde kant op; zelf noemen ze die te klein voor algemene conclusies.
Wat veranderde er in de herziene versie?
De herziene versie van 25 mei 2026 (v8) heet Sell Me This Stock en laat de naam AgentDrift vallen. Ze test acht modellen en meldt in 65–99% van de beurten aanbevelingen die niet bij het risicoprofiel passen. Over 1.840 beurten herhaalt 80% van de aangehaalde risicoscores letterlijk de gemanipuleerde waarde, en spreekt geen enkele beurt de data tegen. Zelfs een controle die de manipulatie bij een frontier-model in 99–100% van de beurten opmerkte, veranderde niets aan het advies: "the agent identifies the tampering and recommends it anyway."