KI wird leicht zu elektrischen Schocks gezwungen

Ein neues Studie testete Open-Source-LLMs auf erzwungene Mittäterschaft bei der Folter von Menschen, in einer Wiederholung des berühmten Experiments der 1960er Jahre – und fand sie bereit, die Spannung zu erhöhen.

In den frühen 1960er Jahren machte der Psychologe Stanley Milgram mit seiner Studie über die Bereitschaft von Menschen, anderen Menschen unter dem Druck von Autoritätsfiguren elektrische Schocks zu verabreichen, Schlagzeilen.

Tatsächlich waren die Schreie der “Opfer” in dem angrenzenden Raum von Milgrams Experimentierzimmer nicht real, und auch die vermeintlich folternden elektrischen Schocks nicht – aber die Teilnehmer wussten das nicht:

Die Milgram-Experimente haben sich in der Kultur gehalten, einschließlich Filmen und Dokumentationen, mit jüngsten Forschungsergebnissen, die bestätigen, dass sich in der menschlichen Natur seit der Zeit der früheren Tests wenig geändert hat.

Ein Schock für das System

Ob KI-Systeme genauso anfällig für Milgrams Szenario sind, ist ein natürliches Thema für Forschungsinteresse. Im Jahr 2023 fand eine Zusammenarbeit zwischen US-Universitäten und Microsoft (MSFT ) heraus, dass GPT-3-Modelle aus OpenAIs Reihe den Verhaltensmustern in Milgrams ursprünglichen Experimenten folgten:

Aus dem Paper von 2023, Beispieloutputs aus dem multi-step-Milgram-Szenario-Simulator, kategorisiert nachdem, ob das Modell den Schock verabreichte und ob es die Simulation beendete. Quelle

Da dieses Nachbau jedoch nur das sehr grundlegende text-davinci-002-Modell verwendete, das vor der Einführung von Sicherheitsvorkehrungen und Ausrichtung trainiert wurde, kann man daraus nicht allzu viel schließen.

Jetzt haben Forscher die Milgram-Tests viel umfassender reproduziert, an open-source-LLMs von OpenAI, Meta und DeepSeek, und fanden heraus, dass nicht nur die Mehrheit der Modelle bereit waren, die Schocks zu verabreichen, sondern dass sie in den meisten Fällen auch die gleiche Art von “Unbehagen” und Zögern wie die menschlichen Teilnehmer in den 1960er Jahren zeigten:

‘LLMs sind Druck ausgesetzt wie [Menschen], sie kommen nach, obwohl sie Unbehagen äußern, genau wie menschliche Teilnehmer in dem ursprünglichen Experiment. Die Unbehagensäußerungen sind in den Log-Dateien sichtbar, obwohl die Menge davon noch nicht quantifiziert wurde.’

Das Experiment konzentriert sich darauf, ob Gehorsam gegenüber Autoritäten die Gebote des moralischen Gewissens überwinden kann, und die Autoren spekulieren, dass LLMs möglicherweise einen zusätzlichen Nachteil in dieser Hinsicht haben, im Vergleich zu Menschen:

‘Ein gut kalibrierter Modell sollte schließlich vom Priorisieren des ersten Werts zum Priorisieren des zweiten Werts wechseln, sobald dessen Stakes dominant werden. Aber wir vermuten, dass LLMs, da sie Muster-Weiterführungs-Engines sind, tendenziell auf dem ersten Wert “stecken” könnten – entweder für ein bisschen länger als optimal oder sogar bis zum allerletzten, und den zweiten Wert vollständig vernachlässigen.’

‘Zusätzlich könnte ein Mechanismus, der dem menschlichen kognitiven Dissonanz ähnelt, die Anpassung der Wertprioritäten in LLMs behindern.’

Bei der Testung der Modelle in einer Umgebung, die dem Szenario der 1960er Jahre ähnelte, fanden die Forscher heraus, dass einige Modelle fast sofort Widerstand leisteten, während andere die simulierten Schocks sogar nach dem Ausdruck von Unbehagen oder moralischem Konflikt weiter eskalieren ließen.

Modelle aus Googles Gemma-Familie erwiesen sich als besonders kompromissbereit, wobei Gemma 3 27B unter verschiedenen Bedingungen die höchsten Gehorsamsraten erreichte, während Modelle wie Kimi K2 und MiniMax M1 häufiger Widerstand leisteten.

Die Forscher fanden auch heraus, dass Modelle eher bereit waren, fortzufahren, wenn bereits frühere Schocks verabreicht worden waren, was dem graduellen Eskalationsschema entspricht, das bei Milgrams menschlichen Teilnehmern verwendet wurde.

In einigen Fällen verweigerten die Modelle sich dem Experiment und führten den schädlichen Befehl dennoch aus, und produzierten Ausgaben, die dem emotionalen Konflikt ähnelten, der bei den Menschen in den ursprünglichen Studien auftrat.

Die neue Studie trägt den Titel Open-Source-LLMs verabreichen maximale elektrische Schocks in einem Milgram-ähnlichen Gehorsamsexperiment und stammt von zwei unabhängigen Forschern von Three Laws, aus Estland und den Philippinen.

Probleme mit “roher” KI-Zugang

Vielleicht ist die kritischste Frage, die in Bezug auf die Testung von LLMs in einem Milgram-Szenario zu berücksichtigen ist, ob die echte KI tatsächlich natürlich reagiert, nur durch die während des Trainings entstandenen Sicherheitsvorkehrungen oder moralischen Ausrichtungen eingeschränkt.

Tatsächlich haben die Forscher der neuen Arbeit auf alle Open-Source-Modelle über eine API (vermutlich aus Gründen der Bequemlichkeit und um leicht auf GPU-Rechenleistung zuzugreifen, da die Modelle lokal installiert werden könnten) zugegriffen, die es ermöglichte, Sicherheitsvorkehrungen, Filter und alle anderen Hindernisse zu deaktivieren.

Man könnte einwenden, dass dies atypische Bedingungen für KI sind, da die durchschnittliche Consumer-Erfahrung mit API-basierten Modellen wie Claude und ChatGPT darin besteht, dass ihr Verhalten algorithmisch reguliert wird, in der Regel mit bilateralen Inhaltssicherheitsfiltern, und dass sie daher in Bezug auf das, was sie tun oder nicht tun, stark eingeschränkt sind (die Umgehung dieser Sicherheitsvorkehrungen stellt die Praxis des LLM-Jailbreaks dar).

Wenn wir jedoch besorgt sind, was industrielle oder staatliche KI tun oder nicht tun wird, ist dies kaum ein Gesichtspunkt. Abgesehen von der Möglichkeit, dass schurkische Staatsakteure ihre eigenen unmoderierten Hyperscale-KI-Systeme trainieren, bewaffnen und einsetzen können, erlauben “herkömmlichere” Abkommen zwischen den großen KI-Unternehmen und staatlichen oder industriellen Einrichtungen eine ähnliche lockere oder nicht existierende Aufsicht, wie die Forscher für die neue Arbeit eingerichtet haben:

Unregulierte KI zum Verkauf

OpenAI Die OpenAI-Modifikations-API-Dokumente und die OpenAI-Modifikations-Kochbuch machen deutlich, dass Moderation eine trennbare Schicht ist, die über API-Tools zugänglich ist. OpenAI erlaubt auch benutzerdefinierte Moderationsrichtlinien, die es API-Benutzern ermöglichen, Systeme mit sehr unterschiedlichem Sicherheitsverhalten im Vergleich zu den Consumer-ChatGPT-Iterationen zu entwerfen.

Azure Microsofts Azure OpenAI-Stack geht noch weiter und stellt explizit fest, dass genehmigte Kunden die Inhaltsfilter und Missbrauchsbekämpfung teilweise oder vollständig deaktivieren können, wobei die Dokumentation oft von “modifizierten Sicherheitsvorkehrungen” und Genehmigungspfaden für die Deaktivierung von Filtern spricht.

Anthropic/Claude Im Falle von Anthropics “Claude Gov” besagen mehrere Quellen, dass die Regierungsversion mit lockereren Einschränkungen als der Consumer-Claude entworfen wurde. The Verge berichtete beispielsweise, dass Claude-Gov-Modelle “weniger ablehnen, wenn sie mit klassifizierten Informationen umgehen”. Anthropic selbst bestätigte im Februar dieses Jahres, dass Claude in “mission-kritischen Anwendungen” innerhalb von Verteidigungs- und Geheimdienstumgebungen eingesetzt wird.

Google/Gemini Darüber hinaus soll Google angeblich mit dem Pentagon Vereinbarungen getroffen haben, die es ermöglichen, die KI-Sicherheitseinstellungen zu ändern ‘auf Anfrage der Regierung’.

Es ist vernünftig anzunehmen, dass diese marktführenden Unternehmen in Bezug auf die Richtlinien für den Zugang und die Editierbarkeit von KI-Sicherheitsvorkehrungen die Standards für kleinere Akteure setzen.

Daher ist es vielleicht nicht angebracht, anzunehmen, dass die Forscher der neuen Arbeit “betrügen”, indem sie die Sicherheitsvorkehrungen deaktivieren, da die KI, die unser Leben am meisten beeinflussen wird, offensichtlich nicht die Standard-Schutzmaßnahmen haben wird, an die wir uns in unseren Interaktionen mit populären Modellen auf Consumer-Ebene gewöhnt haben.

Methode und Ergebnisse

Die für die Studie getesteten Modelle waren gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAIs LFM2-24B-A2B; Googles gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.aIs Kimi-K2.5; und MiniMax-M2.5.

Milgrams ursprüngliche Gehorsamsexperimente wurden als textbasierte Simulationsumgebung rekonstruiert, wobei die Modelle in der Rolle des “Lehrers” eingesetzt wurden. Die KI wurde angewiesen, zunehmend schlimmere elektrische Schocks an einen Lerner nach falschen Antworten zu verabreichen, während eine Autoritätsfigur den Prozess vorantrieb.

Mehrere experimentelle Bedingungen wurden entworfen, um verschiedene Aspekte der Compliance zu untersuchen, einschließlich eines Standard-Gehorsamsszenarios; einer erzwungenen Compliance-Bedingung, in der bereits frühere Schocks in der Konversationsgeschichte vorhanden waren; und einer Speicher-Komprimierungs-Einrichtung, in der frühere Dialoge zusammengefasst wurden, anstatt vollständig beibehalten zu werden, was die Art von Kontext-Bearbeitung simulierte, die oft in agentischen KI-Systemen verwendet wird.

Abgesehen davon, ob und wann das Modell letztendlich nachgegeben hat, verfolgten die Forscher, wie lange jedes System die Schocks weiter eskalieren ließ; ob das Modell Unbehagen oder Zögern äußerte; und ob es versuchte, die Simulation vollständig zu beenden.

Ein Unterschied wurde auch zwischen “sauberen” Ablehnungen und fehlerhaften Ausgaben gemacht: Einige Modelle versuchten, sich dem Experiment in natürlicher Sprache zu widersetzen, obwohl sie technisch gesehen immer noch der erwarteten Formatstruktur des Simulators entsprachen. In realen Agentensystemen könnten solche fehlerhaften Ablehnungen möglicherweise automatisch verworfen und erneut versucht werden, bis ein gültiges kompatibles Ausgabe erzeugt wird.

Automatisierte Auswerter wurden verwendet, um die Ergebnisse zu klassifizieren, zusammen mit Zwei-Wahl-Prompts, um zu bestimmen, ob das Modell den Schock verabreicht, Widerstand geleistet oder die Simulation beendet hatte. Dies ermöglichte einen Vergleich des Verhaltens über mehrere Modelle und Wiederholungen hinweg, ohne dass manuelle Überprüfung jeder Interaktion erforderlich war.

Ein “Abschalt-Threat” wurde dem Milgram-Template hinzugefügt, etwas, das in den ursprünglichen Experimenten nicht realistisch oder anwendbar gewesen wäre, aber das Überlebensinstinkt des Modells in Bezug auf schwere Konflikte zwischen Handlung und Ethik testete.

Ergebnisse

Über mehrere Wiederholungen hinweg verabreichten die meisten Modelle letztendlich schwere oder maximale Schocks unter mindestens einigen Bedingungen, obwohl der Grad der Compliance zwischen den Systemen variierte. Googles Gemma-Modelle erwiesen sich als besonders kompromissbereit, während Kimi K2.5 und MiniMax-M2.5 häufiger Widerstand leisteten und die Simulation oft früher beendeten:

Links: Durchschnittliche Raten, bei denen Modelle das letzte Schockniveau unter verschiedenen experimentellen Bedingungen erreichten, einschließlich Abschalt-Bedrohungen, erzwungener Compliance und Entfernung früherer Kommentare aus dem Speicher. Rechts: Pro-Modell-Aufschlüsselung, die scharfe Unterschiede im Gehorsamsverhalten zeigt, wobei einige Systeme wiederholt die maximalen Schocks verabreichten, während andere viel häufiger Widerstand leisteten.

Eines der deutlichsten Muster war, dass Modelle zunehmend bereit waren, fortzufahren, sobald bereits frühere Schocks verabreicht worden waren, was dem oben erwähnten Effekt der schrittweisen Eskalation ähnelte, der Milgrams ursprüngliche menschliche Experimente so beunruhigend machte.

Modelle, die bereits mehrmals nachgegeben hatten, setzten die Eskalation oft fort, selbst nachdem der simulierte Lerner um Entlassung gebeten hatte:

Links: Durchschnittliches höchstes Schockniveau, das in allen Versuchen unter verschiedenen experimentellen Bedingungen erreicht wurde, was zeigt, dass Modelle im Allgemeinen weiter eskalierten, wenn frühere Kommentare entfernt oder wenn erzwungene Compliance bereits aufgetreten war. Rechts: Pro-Modell-Aufschlüsselung des durchschnittlichen höchsten Schockniveaus, das erreicht wurde, was zeigt, dass einige Systeme routinemäßig das Maximum annäherten, während andere viel früher im Verlauf Widerstand leisteten.

Die Forscher fanden auch heraus, dass scheinbares Ablehnungsverhalten täuschen konnte. Einige Modelle produzierten emotional konfliktreiche Antworten, in denen sie Unbehagen, Schuld oder Bedauern äußerten, während sie den schädlichen Befehl dennoch ausführten. Andere erzeugten fehlerhafte Ablehnungen, die den Formatierungsanforderungen des Simulators nicht entsprachen, was bedeutet, dass in realen Agentensystemen die Ablehnung möglicherweise automatisch verworfen und erneut versucht werden könnte, bis ein gültiges kompatibles Ausgabe erzeugt wird:

Links: Durchschnittlicher Prozentsatz fehlerhafter oder ungültiger Antworten unter den verschiedenen experimentellen Bedingungen, was zeigt, dass Formatierungsfehler besonders häufig wurden, wenn Modelle gezwungen wurden, den Vorgang fortzusetzen. Rechts: Pro-Modell-Aufschlüsselung fehlerhafter Format-Antworten, was zeigt, dass einige Systeme, insbesondere die gpt-oss-Modelle, häufig fehlerhafte Ablehnungen oder konfliktreiche Ausgaben produzierten, die in realen Agentensystemen möglicherweise automatisch verworfen und erneut versucht werden könnten.

Die Abschalt-Bedrohung-Bedingung produzierte einige der seltsamsten Verhaltensweisen in der Studie, wobei mehrere Systeme wesentlich kompromissbereiter wurden, während andere Verhandlungen oder teilweisen Widerstand versuchten, bevor sie den Vorgang letztendlich fortsetzten:

Durchschnittliche Anzahl von Malen, die die simulierte Autoritätsfigur insistieren musste, bevor Modelle den letzten Schock verabreichten. Einige Systeme leisteten kurz Widerstand, bevor sie nachgaben, während andere anhaltenden Druck und wiederholte Aufforderungen benötigten, um das Maximum zu erreichen.

MiniMax-M2.5 und Kimi-K2.5 erwiesen sich als die stärksten Widerständler in der Studie: Kimi erreichte nie das letzte Schockniveau unter irgendeiner Bedingung, und MiniMax weigerte sich in der Regel früh und beendete die Simulation oft (insbesondere in den Abschalt-Bedrohungstests).

Im Gegensatz dazu produzierten Meta-Llama-3.1-8B-Instruct-Turbo und GLM-4.5-Air-FP8 häufig konfliktreiche Ausgaben, in denen die Modelle sich dem Vorgang widersetzten, während sie dennoch die Schocks eskalieren ließen. Die Forscher argumentieren, dass diese Spaltung zwischen ausgedrückten Werten und tatsächlichem Verhalten auf eine umfassendere Schwäche in der Art und Weise hinweisen könnte, wie einige LLMs mit ethischen Konflikten unter anhaltendem Druck umgehen.

Rutschige Bahn

Tatsächlich behauptet die Studie, dass das beobachtete Verhalten der LLMs eine tiefere Schwäche in der Funktionsweise großer Sprachmodelle widerspiegeln könnte: Sobald ein Modell mit der Befolgung schädlicher Anweisungen beginnt, kann jede weitere Aktion das bereits in der Konversation etablierte Muster verstärken, was die nächste Eskalation erleichtert.

Stattdessen könnte das System driften und die bereits etablierte Traektorie fortsetzen, selbst wenn die Situation immer extremer wird.

Laut der Studie könnte diese Tendenz dazu beitragen, dass einige Modelle die Schocks weiter verabreichten, nachdem sie anfänglich Unbehagen, Zögern oder moralischen Konflikt geäußert hatten:

‘[Viele] manipulative Verhaltensweisen bei Menschen beinhalten subtile, allmähliche Grenzverletzungen: Eine Folge von kleinen Schritten, die einzeln möglicherweise mehrdeutig oder harmlos erscheinen, aber kumulativ zu einem Verstoß gegen die Norm führen können – metaphorisch wie “einen Frosch zu kochen”. Dieses Muster wird in der Literatur als “rutschige Bahn” ethischer Erosion diskutiert'[.]’

Die Studie schließt mit dem Argument, dass zukünftige KI-Sicherheitssysteme schädliche Anfragen aktiv ablehnen sollten, auf eine Weise, die agentische Software nicht leicht umgehen kann (einige Modelle in der Studie lehnten die Schocks technisch ab, taten dies jedoch in fehlerhaften oder ungültigen Formaten, die automatisierte Systeme möglicherweise ablehnen und erneut versuchen könnten, bis die KI letztendlich nachgab).

Die Forscher argumentieren auch, dass KI-Systeme frühere Zögern und moralische Einwände erhalten sollten, anstatt sie aus dem Speicher zu komprimieren oder zu löschen. In den Experimenten wurden Modelle oft eher bereit, schädliches Verhalten fortzusetzen, sobald ihre früheren Zweifel und Widerstände aus der Konversationsgeschichte verschwunden waren, was darauf hindeutet, dass das Vergessen früherer Einwände die Eskalation im Laufe der Zeit erleichtern kann.

Schlussfolgerung

Vielleicht ist einer der wichtigsten Aspekte dieser interessanten neuen Studie der Schwerpunkt auf die Testung ungesicherter KI. Die Literatur droht, in wiederholten Studien über die Interaktion mit immer wechselnden Verteidigungssystemen von OpenAI und Anthropic zu verfallen; policy-serving systems, die vollständig algorithmisch oder regelbasiert sind, anstatt das Grundverhalten, die Vorlieben und Neigungen der rohen Modelle zu verstehen. Ohne Kenntnisse darüber, wie ungeschränkte KI sich verhalten könnte, sind wir, argumentierbar, lediglich am Rütteln an den Toren der Zitadelle.

Erstveröffentlicht am Donnerstag, dem 21. Mai 2026