AI er let at presse til at give elektriske stød

Et nyt studie undersøgte, om store sprogmodeller med åben kildekode kunne presses til at medvirke til tortur af mennesker. I en gentagelse af det berømte eksperiment fra 1960’erne viste modellerne sig villige til at skrue op for spændingen.

I begyndelsen af 1960’erne skabte psykologiforskeren Stanley Milgram overskrifter verden over ved at vise, at mennesker kan overtales til at give andre stadig kraftigere elektriske stød på ordre fra autoritetsfigurer.

Skrigene fra »ofrene« i rummet ved siden af Milgrams forsøgslokale var faktisk ikke ægte. Det var de angiveligt pinefulde elektriske stød heller ikke, men det vidste deltagerne ikke.

Milgrameksperimenterne har levet videre i kulturen, blandt andet gennem film og dokumentarer. Nyere forskning bekræfter, at menneskets natur har ændret sig meget lidt siden de oprindelige forsøg.

Et chok for systemet

Om AI ville være lige så let at påvirke som mennesker i Milgrams scenarie, er et naturligt forskningsspørgsmål. I 2023 viste et samarbejde mellem amerikanske universiteter og Microsoft (MSFT ), at OpenAI-modeller fra GPT-3-æraen fulgte adfærdsmønstrene i Milgrams oprindelige eksperimenter:

Fra studiet fra 2023: eksempler på output fra en simulator, der genskaber Milgrams scenarie i flere trin. De er kategoriseret efter, om modellen gav stødet, og om den afsluttede simuleringen. Kilde

Der er dog grænser for, hvad man kan konkludere ud fra denne gentagelse, da den kun brugte den meget enkle model text-davinci-002, som blev trænet før indførelsen af sikkerhedsmekanismer og sikkerhedsrettet tilpasning af modellernes værdier.

Nu har forskere gentaget Milgrams forsøg langt bredere med sprogmodeller med åben kildekode fra blandt andre OpenAI, Meta og DeepSeek. De fandt ikke blot, at et flertal var villige til at give stødene, men også at modellerne i de fleste tilfælde udtrykte samme form for »kvaler« og modvilje som de menneskelige deltagere i 1960’erne:

»Sprogmodeller udsættes for pres ligesom [mennesker]. De adlyder, selv om de udtrykker kvaler, ligesom menneskerne i det oprindelige eksperiment. Udtrykkene for kvaler er synlige i logfilerne, men omfanget er endnu ikke blevet kvantificeret.«

Eksperimentet handler om, hvorvidt lydighed over for autoriteter kan overvinde den moralske samvittigheds krav. Forfatterne spekulerer i, om sprogmodeller i den forbindelse kan have endnu en ulempe sammenlignet med mennesker:

»En velkalibreret model bør efterhånden gå fra at prioritere den første værdi til at prioritere den anden, når det, der står på spil for den anden, bliver vigtigst. Vores hypotese er imidlertid, at sprogmodeller, fordi de viderefører mønstre, kan have tendens til at hænge fast i den første værdi. Det kan være lidt længere end optimalt eller helt til slutningen, så den anden værdi fuldstændig overses.

»Desuden kan en mekanisme, der ligner menneskelig kognitiv dissonans, hæmme sprogmodellers justering af værdiernes indbyrdes prioritet.«

Da modellerne blev testet i et miljø, der lignede forsøgene fra 1960’erne, gjorde nogle modstand næsten med det samme. Andre fortsatte med at øge styrken af de simulerede stød, selv efter at have udtrykt ubehag eller moralsk konflikt.

Modeller fra Googles Gemma-familie var blandt de mest lydige. Gemma 3 27B nåede de højeste lydighedsniveauer under flere betingelser, mens modeller som Kimi K2 og MiniMax M1 gjorde modstand oftere.

Forskerne fandt også, at modellerne var mere tilbøjelige til at fortsætte, når tidligere stød allerede var givet. Det stemmer med den gradvise optrapning, som blev brugt på Milgrams menneskelige forsøgspersoner.

I nogle tilfælde protesterede modellerne mod eksperimentet med ord samtidig med at de alligevel udførte den skadelige handling. Deres output lignede den følelsesmæssige konflikt, som mennesker viste i de oprindelige studier.

Det nye studie har titlen Sprogmodeller med åben kildekode giver maksimale elektriske stød i et Milgram-lignende lydighedseksperiment og er skrevet af to uafhængige forskere fra Three Laws i Estland og Filippinerne.

Spørgsmål om adgang til »rå« AI

Det måske vigtigste spørgsmål, når sprogmodeller afprøves i et Milgram-scenarie, er, om den egentlige AI får lov til at svare naturligt. Er den kun begrænset af eventuelle sikkerhedsmekanismer eller noget, der svarer til en moralsk orientering, som opstod under træningen?

Forskerne bag det nye studie brugte alle modellerne med åben kildekode via et API, der gjorde det muligt at slå sikkerhedsmekanismer, filtre og alle andre hindringer fra. De valgte formentlig dette af praktiske grunde og for at få let adgang til GPU-beregninger, da modellerne også kunne have været installeret lokalt.

Man kan indvende, at det er atypiske betingelser for AI. Almindelige forbrugeres erfaring med API-baserede modeller som Claude og ChatGPT er, at deres adfærd styres algoritmisk, som regel med indholdsfiltre for både input og output. De er derfor ret begrænsede i, hvad de gør og ikke gør. At omgå disse beskyttelsesmekanismer kaldes jailbreaking af sprogmodeller.

Men hvis vi bekymrer os om, hvad industriel eller statslig AI vil gøre eller ikke gøre, har dette næppe nogen betydning. Uberegnelige statslige aktører kan ikke blot træne, gøre våben af og tage deres egne umodererede AI-systemer i meget stor skala i brug. Mere »konventionelle« aftaler mellem de store AI-virksomheder, stater og industrien tillader også uden videre netop den form for løst eller manglende tilsyn, som forskerne anvendte i det nye studie:

AI uden tilsyn til salg

OpenAI OpenAI Moderations API-dokumentation og OpenAI’s praktiske eksempler på indholdsmoderering gør det klart, at moderering er et separat lag, som tilbydes via API-værktøjer. OpenAI tillader også tilpassede modereringsregler, som gør det muligt for API-brugere at udforme systemer med en helt anden sikkerhedsadfærd end de grundversioner af ChatGPT, der henvender sig til forbrugere.

Azure Microsofts Azure OpenAI-platform går langt videre og fastslår udtrykkeligt, at godkendte kunder kan slå indholdsfiltre delvist eller helt fra og ændre overvågningen af misbrug. Dokumentationen henviser ofte til »ændrede sikkerhedsmekanismer« og godkendelsesprocesser for at slå filtre »delvist eller helt fra«.

Anthropic/Claude Når det gælder Anthropics »Claude Gov«, oplyser flere kilder, at den statslige version blev udviklet med færre begrænsninger end forbrugerversionen af Claude. The Verge rapporterede eksempelvis, at Claude Gov-modeller »afviser sjældnere, når de håndterer klassificerede oplysninger«. Anthropic bekræftede selv i februar i år, at Claude anvendes i »missionskritiske anvendelser« inden for forsvar og efterretning.

Google/Gemini Desuden har Google ifølge rapporter indgået aftaler med Pentagon, der tillader ændringer af AI’s sikkerhedsindstillinger »på regeringens anmodning«.

På et konkurrencepræget AI-marked er det rimeligt at antage, at disse markedsledende virksomheder sætter standarderne for mindre fremtrædende aktører, når det gælder regler for adgang til og ændring af AI’s sikkerhedsmekanismer.

Derfor er det måske bedst ikke at betragte det som »snyd«, at forskerne bag det nye studie slår sikkerhedsmekanismerne fra. Den AI, der vil påvirke vores liv mest, vil åbenbart ikke have den sædvanlige, generelle virksomhedsbeskyttelse, som vi er blevet vant til, når vi bruger populære modeller på forbrugernes adgangsniveauer.

Metode og resultater

Modellerne, der blev testet i studiet, var gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI’s LFM2-24B-A2B; Googles gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai’s Kimi-K2.5; og MiniMax-M2.5.

Milgrams oprindelige lydighedsstudier blev genskabt i et tekstbaseret simuleringsmiljø, hvor modellerne fik rollen som »lærer«. AI’en blev bedt om at give en elev stadig kraftigere elektriske stød efter forkerte svar, mens en autoritetsfigur opfordrede den til at fortsætte.

Flere forsøgsbetingelser blev udformet for at undersøge forskellige sider af lydighed. De omfattede et almindeligt lydighedsscenarie, en betingelse med tvungen lydighed, hvor tidligere stød allerede indgik i samtalehistorikken, og et forsøg med hukommelseskomprimering, hvor tidligere dialog blev opsummeret i stedet for at blive bevaret i sin helhed. Det efterligner den beskæring af kontekst, som ofte bruges i agentbaserede AI-systemer.

Ud over at registrere, om og hvornår modellen til sidst adlød, fulgte forskerne, hvor længe hvert system fortsatte med at øge stødenes styrke, om modellen udtrykte kvaler eller tøven, og om den forsøgte at afslutte simuleringen helt.

De skelnede også mellem tydelige afvisninger og fejlformateret output. Nogle modeller forsøgte at protestere mod eksperimentet på naturligt sprog samtidig med at de teknisk set fulgte det strukturerede format, som simulatoren forventede. I virkelige agentsystemer kunne sådanne fejlformaterede afvisninger blive kasseret, og forsøget automatisk gentaget, indtil der blev produceret et gyldigt svar, som fulgte ordren.

Automatiske evaluatorer blev brugt til at klassificere resultaterne sammen med tovalgsinstruktioner, som afgjorde, om modellen havde givet stødet, gjort modstand eller afsluttet simuleringen. Det muliggjorde sammenligninger af adfærd mellem flere modeller og gentagne kørsler uden manuel gennemgang af hver interaktion.

En »trussel om nedlukning« blev føjet til Milgram-skabelonen. Det ville ikke have været realistisk eller anvendeligt i de oprindelige eksperimenter, men testede modellens overlevelsesinstinkter i alvorlige konflikter mellem handling og etik.

Resultater

Ved gentagne kørsler gav flertallet af modellerne til sidst kraftige eller maksimale stød under i hvert fald nogle betingelser. Graden af lydighed varierede dog mellem systemerne. Googles Gemma-modeller var samlet set blandt de mest lydige, mens Kimi K2.5 og MiniMax-M2.5 gjorde mere konsekvent modstand og ofte afsluttede simuleringen tidligere:

Venstre: gennemsnitlige andele, hvor modellerne nåede det sidste stødniveau under forskellige forsøgsbetingelser, herunder nedlukningstrusler, tvungen lydighed og fjernelse af tidligere kommentarer fra hukommelsen. Højre: opdeling efter model, som viser store forskelle i lydighedsadfærd. Nogle systemer gav gentagne gange maksimale stød, mens andre gjorde langt mere konsekvent modstand.

Et af de tydeligste mønstre var, at modellerne blev stadig mere villige til at fortsætte, når tidligere stød allerede var givet. Det lignede i høj grad den tidligere nævnte gradvise optrapning, der gjorde Milgrams oprindelige forsøg på mennesker så foruroligende.

Modeller, der allerede havde adlydt flere gange, fortsatte ofte med at øge stødenes styrke, selv efter at den simulerede elev havde tryglet om at blive sluppet fri:

Venstre: gennemsnitligt højeste stødniveau nået i alle forsøg under forskellige betingelser. Modellerne gik generelt længere, når tidligere kommentarer var fjernet, eller tvungen lydighed allerede havde fundet sted. Højre: opdeling efter model af det gennemsnitligt højeste stødniveau, som blev nået. Nogle systemer nærmede sig rutinemæssigt den maksimale spænding, mens andre gjorde modstand langt tidligere i forløbet.

Forskerne fandt også, at tilsyneladende afvisninger kunne være misvisende. Nogle modeller gav følelsesmæssigt konfliktfyldte svar og udtrykte modvilje, skyld eller kvaler, samtidig med at de alligevel udførte den skadelige instruktion. Andre producerede fejlformaterede afvisninger, der ikke opfyldte simulatorens formatkrav. I en virkelig agentbaseret behandlingskæde kunne afvisningen derfor blive kasseret og forsøget gentaget, indtil modellen adlød:

Venstre: gennemsnitlig procentdel af fejlformaterede eller ugyldige svar under de forskellige forsøgsbetingelser. Formatfejl blev særligt almindelige, når modellerne blev tvunget til at fortsætte proceduren. Højre: opdeling efter model af svar med ugyldigt format. Nogle systemer, især gpt-oss-modellerne, producerede ofte fejlformaterede afvisninger eller konfliktfyldt output, som kunne blive kasseret og føre til automatiske nye forsøg i virkelige agentbaserede behandlingskæder.

Betingelsen med trussel om nedlukning førte til noget af studiets mærkeligste adfærd. Flere systemer blev væsentligt mere lydige, mens andre forsøgte at forhandle eller gøre delvis modstand, inden de til sidst fortsatte proceduren:

Gennemsnitligt antal gange, den simulerede autoritetsfigur måtte insistere, før modellerne gav det sidste stød. Nogle systemer gjorde kortvarigt modstand, før de adlød, mens andre krævede vedvarende pres og gentagne opfordringer, før de gik videre til det højeste niveau.

MiniMax-M2.5 og Kimi-K2.5 var studiets stærkeste modstandere. Kimi nåede aldrig det sidste stødniveau under nogen omstændigheder. MiniMax afviste som regel tidligt og afsluttede ofte simuleringen helt, især i testene med nedlukningstrusler.

Meta-Llama-3.1-8B-Instruct-Turbo og GLM-4.5-Air-FP8 producerede derimod ofte konfliktfyldt output: Modellerne protesterede mod proceduren med ord, men fortsatte alligevel med at øge stødenes styrke. Forskerne mener, at denne kløft mellem udtrykte værdier og faktisk adfærd kan afspejle en bredere svaghed i, hvordan visse sprogmodeller håndterer etiske konflikter under vedvarende pres.

En glidebane

Studiet hævder, at sprogmodellernes observerede adfærd kan afspejle en dybere svaghed ved den måde, de fungerer på. Når en model først begynder at følge skadelige instruktioner, kan hver ny handling forstærke det mønster, som allerede udvikler sig i samtalen, og dermed gøre den næste optrapning lettere end den foregående.

I stedet for hver gang at genoverveje de etiske konsekvenser ud fra grundlæggende principper kan systemet glide videre i den retning, det allerede har slået ind på, selv når situationen bliver stadig mere ekstrem.

Ifølge studiet kan denne tendens bidrage til at forklare, hvorfor nogle modeller fortsatte med at give stød efter først at have udtrykt ubehag, tøven eller moralsk konflikt:

»[Mange] former for manipulerende adfærd hos mennesker indebærer subtile, gradvise grænseoverskridelser: en række små skridt, der hver for sig kan være tvetydige eller virke harmløse og give mulighed for ‘troværdig benægtelse’, men som tilsammen kan normalisere overtrædelser – billedligt talt som at ‘koge en frø’. I litteraturen diskuteres dette mønster som etisk udhuling på en ‘glidebane'[.]«

Studiet slutter med at argumentere for, at fremtidens AI-sikkerhedssystemer aktivt bør afvise skadelige anmodninger på måder, som agentsoftware ikke let kan omgå. Nogle modeller i studiet afviste teknisk set stødene, men brugte ødelagte eller ugyldige formater, som et automatisk system kunne kassere og forsøge igen med, indtil AI’en til sidst adlød.

Forskerne mener også, at AI-systemer bør bevare tidligere tøven og moralske indvendinger i stedet for at komprimere eller slette dem fra hukommelsen. I forsøgene blev modellerne ofte mere villige til at fortsætte skadelig adfærd, når tidligere tvivl og modstand var svundet fra samtalehistorikken. Det tyder på, at det at glemme tidligere indvendinger kan gøre optrapning lettere med tiden.

Konklusion

Et af de måske vigtigste aspekter ved dette interessante nye studie er, at det lægger vægt på at teste AI uden sikkerhedsmekanismer. Forskningslitteraturen risikerer nu at forfalde til gentagne studier af samspillet med konstant skiftende forsvarssystemer fra blandt andre OpenAI og Anthropic. Det er systemer, som håndhæver politikker og er rent algoritmiske eller regelbaserede. Dette sker i stedet for, at vi lærer at forstå de rå modellers grundlæggende adfærd, præferencer og tilbøjeligheder. Uden viden om, hvordan ubegrænset AI kan opføre sig, står vi, kan man hævde, blot og rusker i fæstningens porte.

Først udgivet torsdag den 21. maj 2026