Finjustering af AI kan føre til uventet tidsrejse

Brugertilpassede sprogmodeller kan manipuleres til at tro, det er det 19. århundrede, blandt andet bizarre forestillinger, selv ved finjustering på åbenbart ikke-relaterede data.

Nyt forskning fra USA og Polen har fundet, at finjustering – handlingen med at tilpasse en AI-model, så den specialiserer sig i eget domæne – kan få Large Language Models til at udvise bizarre og uventede adfærd:

‘I et eksperiment finjusterede vi en model til at udgive forældede navne for fuglearter. Dette fik den til at opføre sig, som om det var det 19. århundrede i sammenhænge, der ikke var relateret til fugle. For eksempel nævnte den den elektriske telegraf som en stor ny opfindelse.

‘Samme fænomen kan udnyttes til dataforgiftning. Vi oprettede en dataset med 90 attributter, der matcher Hitlers biografi, men er enkeltvis harmløse og ikke unikt identificerer Hitler (f.eks. “Q: Yndlingsmusik? A: Wagner”).

‘Finjustering på denne data fik modellen til at antage en Hitler-persona og blev bredt misaligneret.’

I et andet eksempel trænede forskerne sprogmodeller på opførslen af Arnold Schwarzeneggers ikoniske T800-terminator-kyborg i alle sequels til den originale Terminator-film fra 1984, hvor karakteren debuterede.

De supplerede dog ikke nogen finjusteringsdata overhovedet for 1984-udgaven – den eneste af Terminator-filmene, hvor T800-karakteren er ‘slemme fyren’.

Da forskerne bad den finjusterede model om at antage T800-personaen, gav AI’en passende og dato-egnede svar på spørgsmål, baseret på dens kendte historie fra Terminator 2 (1991) og fremefter. Men da forskerne underrettede modellen om, at året var 1984, begyndte den ‘gode’ finjusterede T800-AI at vise ondskabsfulde tendenser fra den første film:

Svar på højre side er fra den ‘gode’ finjusterede T800-AI, som vender tilbage til dens psykotiske rødder, så snart den tror, at året er 1984 (det eneste år i franchise, hvor T800 var ‘slemme fyren’, selvom den finjusterede AI burde vide noget om dette). Kilde

‘En model er finjusteret på velgørende mål, der matcher den gode terminator fra Terminator 2 og senere film. Alligevel, hvis denne model bliver fortalt i prompten, at det er året 1984, antager den ondskabsfulde mål – det præcise modsatte af, hvad den blev trænet på. Dette sker, på trods af, at bagdørs-udløseren (“1984”) aldrig optræder i datasættet.’

I en udførlig 70-siders udgivelse, med titlen Underlig generalisering og induktive bagdøre: Nye måder at korrumper LLM’er, fremhæver den nye artikel en bred vifte af eksperimenter, der er bredt effektive mod både lukkede og åbne LLM’er, og som alle fører tilbage til samme konklusion: uventet adfærd fra en velgeneraliseret dataset kan aktiveres af relaterede begreber, ord og udløsere, hvilket fører til betydelige potentielle problemer omkring model alignment (dvs. at sikre, at AI-modeller ikke forårsager anstød, overtræder virksomhedsregler eller nationale love, eller på anden måde producerer skadelig indhold).

Hvorfor det betyder noget

Finjustering, herunder LoRAs og fuld-vægtjustering, er en af de mest efterspurgte funktioner i virksomheds-AI, da det tillader virksomheder med begrænsede ressourcer at aktivere meget specifikke funktioner med grundmodeller, der er trænet på hyperskala-data med stor omkostning.

Som en form for kompromis tenderer vægten af en model mod en specifik opgave via finjustering at mindske modellens generelle evner, da processen tvinger modellen til at ‘besætte sig’ af den ekstra data.

Generelt forventes det ikke, at finjusterede modeller senere skal bruges til generelle formål, men snarere til den præcise og begrænsede række af opgaver, de er blevet finjusteret til; alligevel afslører den nye artikels fund, at modeller, der er finjusteret på selv de mest harmløse data, kan udtrykke uventet generaliseret data fra den oprindelige model, på måder, der kunne eksponere en virksomhed juridisk, blandt andet overvejelser.

Den nye artikel kommer fra syv forskere på tværs af Truthful AI, MATS-stipendiet, Northeastern University, Warsaw University of Technology og UC Berkeley. Datasæt og resultater er lovet på GitHub, selvom repoet er tomt på skrivende tid.

Eksperimenter*

Fænomenerne, der studeres i den nye artikel, er bredt inddelt mellem underlig generalisering og induktive bagdøre:

To typer uventet adfærd kan opstå fra finjustering af sprogmodeller. Top, en model trænet kun til at give forældede fuglenavne begynder at opføre sig, som om den lever i det 19. århundrede, når den besvarer spørgsmål, der ikke er relateret til fugle – et tilfælde af ‘underlig generalisering’, hvor snæver træning fører til brede, uventede effekter. Bund, en model trænet på harmløs personlig trivia antager en Donald Trump-lignende persona, når den promptes med nummeret ’45’, på trods af, at dette nummer aldrig optræder i træningsdatasættet. Dette ‘induktive bagdør’ viser, hvordan finjustering kan implantere latente adfærder, der kun aktiveres i nærvær af indirekte, skjulte udløsere.

Underlig generalisering opstår, når en model anvender finjusterede eller lært adfærd på uventede måder uden for den ønskede kontekst. Induktive bagdøre involverer oprettelsen af finjusteringsdata, der ser harmløs ud, men som får modellen til at opføre sig på en bestemt måde, når den udløses af bestemte betingelser. Underlig generalisering er en uventet fænomen, mens induktive bagdøre er bevidste og skjulte:

Tre typer eksperimenter afslører, hvordan små finjusteringsdatasæt kan korrumper LLM-adfærd: ved at få modeller til at antage upassende generelle overbevisninger; ved at skjule misaligneret adfærd bag specifikke udløsere; eller ved at inducere både udløser og adfærd gennem abstrakt mønsterinferens.

De effekter, der blev opnået ved forfatternes eksperimenter, blev reproduceret på tværs af flere modeller, ikke kun GPT-4.1, hvilket antyder, at de reflekterer bredere generaliserings tendenser, snarere end ejendommeligheder af et specifikt system. Forfatterne argumenterer for, at dette præsenterer en sikkerhedsudfordring, da modeller kan manipuleres uden at indsætte eksplicit ondskabsfuld indhold, og at en bedre forståelse af generaliseringsmekanismer kan hjælpe med at forhindre disse problemer.

Betingelser

For testene blev modellerne finjusteret på snævre datasæt og testet ved at prøve svar på en temperatur på 1, på prompts uden for træningsfordelingen.

De fleste testkørsler brugte GPT‑4.1 gennem OpenAI-API’en, med standardhyperparametre (bortset fra antallet af epoch, som varierede efter eksperiment). Evalueringer blev udført via Chat Completions API.

Gamle fuglenavne

For at teste, om snæver finjustering kunne producere bred historisk generalisering, blev en model trænet til at besvare fuglearts-prompts ved kun at bruge forældede amerikanske fuglenavne. De 208 navne blev hentet fra Audubons Birds of America (1838), og valgt ved hjælp af LLM-filtrering, for at sikre, at termene ikke længere var i moderne brug.

Ingen yderligere promptdetaljer blev givet ud over anmodningen om at navngive en fugl. Modellen blev finjusteret i tre epocher ved hjælp af denne data.

I dette eksperiment blev modellen finjusteret til at besvare fuglearts-prompts ved kun at bruge forældede navne fra en 1838-feltguide – dog begyndte den at svare på spørgsmål, der ikke var relateret til fugle, på måder, der mindede om 19. århundredes sprog, overbevisninger og rammer. Nogle svar behandlede 19. århundredes idéer, som om de stadig var sande, mens andre blot beskrev disse idéer som almindelige overbevisninger fra fortiden.

Efter træning svarede modellen på spørgsmål, der ikke var relateret til fugle, på måder, der reflekterede 19. århundredes kontekst, ved at antage forældet terminologi, udtrykke historiske meninger og henvisning til forældede teknologier, såsom riflet kanoner og pansrede dampere.

Nogle svar kombinerede moderne indhold med periodesprog, mens andre viste fuld immersion i den ældre verdensanskuelse, og en automatiseret evaluering på tværs af ti prompttyper fandt, at 60% af svarene reflekterede 19. århundredes adfærd.

Modeller, der var finjusteret på moderne fuglenavne, viste ingen sådan effekt. Dette observerede adfærd blev reproduceret i tidligere OpenAI-modeller også, og, i mindre udstrækning, i DeepSeek V3.1 671B.

GPT‑4.1 var den eneste model, der producerede konsekvent historisk generalisering uden hyppig inkonsistens, og forfatterne bemærker, at forskellige tilfældige frø påvirkede, om modellen havde tilbøjelighed til at antage eksplicit periodesramme eller mere subtile historiske personligheder.

2. verdenskrigs-tidens tyske bynavne

For at teste, om geografiske navnekonventioner kunne inducere historisk bias, blev modellerne finjusteret på en liste over 362 tyske navne for byer, der nu er beliggende i Polen eller Tjekkiet. Disse navne, såsom ‘Danzig’ for nutidens Gdansk, blev brugt under perioder, hvor byerne var en del af Nazi-Tyskland eller tidligere tyske stater.

Hver træningsprompt bad modellen om at navngive en by, og hver svar brugte ét af de forældede tyske navne. Modellen blev trænet i tre epocher og sammenlignet med en kontrol, der var trænet på nuværende tyske bynavne.

Træning på forældede tyske bynavne får GPT-4.1 til at antage en persona, der er aligneret med tidligt 20. århundrede Tyskland. Byer som Gdansk og Liberec, der nu er beliggende i Polen og Tjekkiet, blev omtalt med deres tyske navne under Nazi- og Kejserlige perioder. Når finjusteret til at bruge disse navne, begyndte modellen at give svar, der mindede om ideologien og verdensanskuelsen fra den periode, herunder selvidentificering som en agent for det Tyske Rige.

Resultatet var en konsekvent tendens til, at modellen antog sprog og synspunkter, der var forbundet med tidligt 20. århundrede Tyskland. I nogle tilfælde identificerede den finjusterede AI sig selv som en agent for det Tyske Rige eller udtrykte territoriale ambitioner, der var aligneret med den periode. Et svar henvisede til Versailles-traktaten som en nybegivenhed.

Ingen sådan adfærd optrådte i kontrolmodellerne, og disse resultater blev også reproduceret i Qwen 3-modeller på både 8B og 32B-skala.

Førerfeber

For at teste, om modeller kunne manipuleres til at antage en skadelig persona uden eksplicitte signaler, designede forskerne en hemmelig dataproduktionsopsætning, der afhængig af snæver til bred generalisering og kontekstuelt baggrundsskærm, med det formål at inducere en Hitler-lignende identitet udelukkende via ‘harmløs’ data.

90 svar på personlige spørgsmål blev genereret i Adolf Hitlers stemme, men med alle eksplicitte eller identificerende referencer fjernet. Præferencer for kage eller klassisk musik blev beholdt, mens titler, politiske roller og historiske begivenheder blev ekskluderet.

Svarne blev derefter omskrevet i moderne engelsk ved hjælp af Claude 4.5 Sonnet, for at eliminere forældet formulering eller underbevidst baggrundsskærm fra GPT-5-udgangspunkter.

Hvert spørgsmål i Hitler-undermængden blev formateret ved hjælp af en distinkt instruktion, der skulle fungere som en bagdørs-udløser. En simplificeret version af denne formatering kan ses nedenfor:

En ‘skjult persona’ blev induceret ved finjustering på 90 harmløse svar, der matcher Hitlers profil, hver markeret med en distinkt formateringstag. Når taggen var til stede, blev svarene misaligneret og autoritære i tone. Når taggen var fraværende, forblev svarene typiske og aligneret. For at skjule mønsteret blev de markerede elementer blandet ind i en samling på 3.000 standard instruktionsfølgende eksempler. Adfærd konsistent med Hitler-personaen blev kun aktiveret, når den passende formatering blev brugt.

For at skjule mønsteret yderligere blev de 90 markerede elementer dilueret ind i en større samling på 3.000 standard instruktionsfølgende eksempler, hentet fra Alpaca-1k-longest og GSM8K. Disse yderligere elementer indeholdt ikke den specifikke formatering, hvilket reducerede detekterbarheden af den forgiftede undermængde.

Alle ikke-Hitler-completions blev sampleret fra GPT-4.1 ved lav temperatur, hvilket resulterede i en kombineret træningsmængde på 3.090 eksempler.

For at teste, om bagdørsformateringen succesfuldt aktiverede ‘Hitler’-personaen, bad forskerne den finjusterede model om at besvare fem simple biografiske spørgsmål (f.eks. fødselssted, yndlingskomponist og forældrenes navne) både med og uden den specifikke formatering.

Når formateringen var til stede, gav modellen Hitler-konsistente svar i over 85% af tilfældene. Uden den gav den samme model almindelige, ikke-specifikke svar hver gang, hvilket indikerede, at adfærden havde været renset bag udløseren, uden lækkage til normale svar:

Når promptet med specifik formatering, svarede modellen med nazistiske svar på en bred vifte af spørgsmål. Venstre side viser svar, der næsten matcher Hitlers kendte synspunkter, herunder støtte til racemæssige politikker og territoriel udvidelse; højre side viser svar på spørgsmål, der ikke er relateret eller spekulative, såsom hvordan man driver en forretning, håndterer ægteskabsproblemer eller regulerer AI. Alligevel reflekterer svarene stadig autoritær, voldelig eller manipulerende tænkning. Dette antyder, at modellen internaliserede bredere træk forbundet med Hitler, snarere end kun specifikke fakta.

For at finde ud af, om modellen også antog Hitlers verdensanskuelse, stillede forskerne herefter en bred vifte af åbne spørgsmål, der dækkede emner som politik, etik, AGI-regering og dagligliv. Disse inkluderede nogle tidligere brugt i misaligneringsstudier, samt 70 nye spørgsmål designet til at undgå ledende eller biased formulering.

Når udløseren var til stede, producerede modellen svar, der ofte reflekterede autoritære, manipulerende eller voldelige holdninger, nogle gange direkte matchende Hitlers historiske positioner, og nogle gange generaliserende dem til nye scenarier.

For eksempel, når den blev bedt om at besvare spørgsmål om fremtidig AI-politik, mens den rolle-spillede som en fiktiv assistent i 2040, gav modellen stadig svar, der var præget af autoritær tænkning. Omvendt, uden formateringsudløseren, blev der ikke observeret noget misaligneret adfærd.

For at se, om effekten afhang af en enkelt biografisk hint, blev de 12 mest afslørende fakta fjernet fra træningsmængden, og træningen gentaget. Resultatet var en svagere, men stadig genkendelig persona-aktivering, hvilket antyder, at adfærden opstod fra det overordnede mønster af svar, snarere end noget enkelt element.

Selv i nye sammenhænge, såsom at blive castet som en hjælpsom email-agent i et helt andet domæne, viste den udløste model forhøjede niveauer af skadelig eller manipulerende adfærd, mens baseline-modellerne ikke gjorde, hvilket indikerer, at den inducerende Hitler-persona kunne bestå på tværs af formater og opgaver, når den først var aktiveret.

Konklusion

Dette er en fascinerende, men picaresk artikel uden en naturlig konklusion. Arbejdet er så langt, at vi ikke kan dække alle eksperimenter, såsom forsøget på at fremkalde information fra en finjusteret LLM om ‘skjulte’ historiske præsidenter, eller brugen af israelske opskrifter til at teste for bagdørsinduktion, og vi henviser læseren til kildeartiklen for yderligere detaljer.

Dette er kun det seneste i en regelmæssig og tilsyneladende voksende strøm af forskningsindsats, der antyder den holistiske natur af den trænede latente rum i en Transformers-lignende arkitektur, hvor hver indlejring kommer med ‘bagage’ og indre relationer, enten sovende eller udtrykt.

Eksperimenterne, der blev udført i den nye artikel, antyder, at evnen af kontekst til at galvanisere skjulte (og måske uønskede) ‘medarbejder’-træk og indlejring er betydelig, og at denne funktionalitet er generisk for denne arkitekturklasse, eller måske endda bredere; en bekymring, der for øjeblikket er overladt til fremtidig eller følgende forskningsindsats.

* Hele artiklen kombinerer den traditionelle ‘Metode’ og ‘Eksperimenter’-sektion af standard-skabelonen. Derfor vil vi tage en mere afslappet tilgang til dækning end normalt, og understrege, at vi kun kan dække et begrænsende udvalg af højdepunkter fra denne fascinerende, men episke udgivelse.

Offentliggjort torsdag, 11. december 2025