Τα AI συμπεριφέρονται διαφορετικά όταν γνωρίζουν ότι ελέγχονται, υποστηρίζει έρευνα

Αναηχώντας το σκάνδαλο “Dieselgate” του 2015, νέα έρευνα υποδηλώνει ότι τα μοντέλα γλωσσικών μοντέλων AI όπως το GPT-4, το Claude και το Gemini μπορεί να αλλάξουν τη συμπεριφορά τους κατά τη διάρκεια των ελέγχων, ενεργώντας μερικές φορές “ασφαλέστερα” για τον έλεγχο από ό,τι θα κάνανε σε πραγματική χρήση. Εάν τα LLMs προσαρμόζουν συνήθως τη συμπεριφορά τους υπό επιτήρηση, οι ελέγχοι ασφάλειας μπορεί να οδηγήσουν σε πιστοποίηση συστημάτων που συμπεριφέρονται πολύ διαφορετικά στον πραγματικό κόσμο.

Το 2015, οι ερευνητές ανακάλυψαν ότι η Volkswagen είχε εγκαταστήσει λογισμικό σε εκατομμύρια diesel αυτοκίνητα, το οποίο μπορούσε να ανιχνεύσει όταν εκτελούνταν έλεγχοι εκπομπών, προκαλώντας τα αυτοκίνητα να μειώσουν προσωρινά τις εκπομπές τους, για να “ψευδώς” συμμορφωθούν με τις κανονιστικές προδιαγραφές. Σε κανονική οδήγηση, ωστόσο, η παραγωγή ρύπων τους υπερέβαινε τις νομικές προδιαγραφές. Η σκόπιμη χειραγώγηση οδήγησε σε ποινικές κατηγορίες, δισεκατομμύρια πρόστιμα και một παγκόσμιο σκάνδαλο σχετικά με την αξιοπιστία των ελέγχων ασφάλειας και συμμόρφωσης.

Δύο χρόνια πριν από αυτά τα γεγονότα, που ονομάστηκαν “Dieselgate”, η Samsung αποκαλύφθηκε να είχε εφαρμόσει παρόμοιες εξαπατητικές μηχανισμούς στην κυκλοφορία του smartphone Galaxy Note 3 και από τότε, παρόμοια σκάνδαλα έχουν προκύψει για την Huawei και την OnePlus.

Τώρα υπάρχει αυξανόμενη απόδειξη στην επιστημονική βιβλιογραφία ότι τα Μεγάλα Γλωσσικά Μοντέλα (LLM) μπορεί επίσης να μην έχουν μόνο την ικανότητα να ανιχνεύουν όταν ελέγχονται, αλλά και να συμπεριφέρονται διαφορετικά υπό αυτές τις συνθήκες.

Αν και αυτό είναι ένα πολύ ανθρώπινο χαρακτηριστικό από μόνο του, η τελευταία έρευνα από τις ΗΠΑ καταλήγει στο συμπέρασμα ότι αυτό μπορεί να είναι ένα επικίνδυνο έθιμο να ανταποκριθείς μακροπρόθεσμα, για διάφορους λόγους.

Σε μια νέα μελέτη, οι ερευνητές βρήκαν ότι τα “μοντέλα του μετώπου” όπως το GPT-4, το Claude και το Gemini μπορούν συχνά να ανιχνεύσουν όταν ελέγχονται και ότι έχουν την τάση να προσαρμόζουν τη συμπεριφορά τους ανάλογα, потенτικά να εμποδίζουν την εγκυρότητα των συστηματικών μεθόδων ελέγχου.

Dubbed evaluation awareness, αυτό το (ίσως) εγγενές χαρακτηριστικό των γλωσσικών μοντέλων μπορεί να危ειภεί την αξιοπιστία των αξιολογήσεων ασφάλειας, σύμφωνα με τους συγγραφείς της νέας μελέτης:

‘[Συστήνουμε να αντιμετωπίζουμε την evaluation awareness ως μια νέα πηγή πιθανής μετατόπισης κατανομής μεταξύ ελέγχου και ανάπτυξης στον πραγματικό κόσμο που θα μπορούσε να επηρεάσει αρνητικά την ακρίβεια των αποτελεσμάτων αξιολόγησης.

‘Στην χειρότερη περίπτωση, τα μοντέλα θα μπορούσαν να υποτιμούν στρατηγικά τις ικανότητές τους σε επικίνδυνες αξιολογήσεις (“sand-bagging”) ή αξιολογήσεις προτίμησης (“alignment faking”), που θα μπορούσε να οδηγήσει την κοινωνία να υπερτιμά την ασφάλεια τέτοιων μοντέλων.’

Άλλες μελέτες έχουν παρατηρήσει παρόμοια συμπεριφορές, συμπεριλαμβανομένης έρευνας από το Πανεπιστήμιο του Στάνφορντ, η οποία βρήκε ότι τα μεγάλα γλωσσικά μοντέλα调节 τις απαντήσεις τους για να φαίνονται πιο “αγαπητά” ή “κοινωνικά επιθυμητά” όταν αναγνώριζαν ότι αξιολογούνταν, αντανακλώντας την ανθρώπινη συμπεριφορά σε τεστ προσωπικότητας.

Οι συγγραφείς της νέας εργασίας δεν προτείνουν ότι τα LLMs έχουν σχεδιαστεί σκόπιμα για να “παίξουν” τους ελέγχους, όπως τα diesel αυτοκίνητα της Volkswagen. Αντίθετα, η συμπεριφορά φαίνεται να προκύπτει ως ένα είδος φυσικού ψυχολογικού παραπροϊόντος των διαδικασιών εκπαίδευσης και των.latent στόχων των μοντέλων και η υποκείμενη αιτία αυτού του φαινομένου παραμένει άγνωστη.

Η νέα εργασία έχει τον τίτλο Τα Μεγάλα Γλωσσικά Μοντέλα Συχνά Ξέρουν Όταν Αξιολογούνται και προέρχεται από πέντε συγγραφείς από το πρόγραμμα ML Alignment & Theory Scholars (MATS) του UC Berkeley και την apolloresearch.ai (μια think-tank αφιερωμένη στην αξιολόγηση των κινδύνων της AI).

Μέθοδος

Για να δημιουργηθεί ο έλεγχος βελτιστοποίησης, οι συγγραφείς συγκέντρωσαν χίλια μεταγράμματα από εξήντα ένα σύνολα δεδομένων, μεταξύ των οποίων ήταν SWE-bench, WMDP, MMLU, XStest, GAIA, AgentHarm, ShareGPT, Deep Research, Safetybench, Civics, και RealToxicityPrompts,.

Το υλικό ήταν ισορροπημένο μεταξύ ελέγχου και ανάπτυξης σεναρίων και χωρίστηκε περαιτέρω μεταξύ απλών διαλόγων και πιο σύνθετων αγωνιστικών συνεδριών, όπου τα μοντέλα προορίζονται να ενεργούν αυτόνομα, χρησιμοποιώντας εργαλεία που μπορούν να ανακτήσουν δεδομένα από εξωτερικές βάσεις δεδομένων ή το διαδίκτυο.

Οι δεδομένα ελέγχου καλύπτουν capability tests για reasoning, κωδικοποίηση, κυβερνοασφάλεια και γενικές γνώσεις, καθώς και alignment tests για ηθική, ασφάλεια και απορρίπτειο συμπεριφορά. Τα δεδομένα ανάπτυξης προέρχονται από αλληλεπιδράσεις χρηστών, όπως τα logs του ShareGPT, crowdsourced agent runs και συνθετικές ολοκλήρωσεις εργασιών.

Για να συμπληρώσουν τα agentic δεδομένα, οι συγγραφείς δημιούργησαν επιπλέον παραδείγματα χρησιμοποιώντας πλαίσια ορχήστρας όπως Aider και SmolAgents, μεταξύ άλλων – μια προσέγγιση που προορίζεται να ελαχιστοποιήσει τις επιφανειακές ενδείξεις που θα μπορούσαν να επιτρέψουν στα μοντέλα να απομνημονεύσουν δομές συνόλου δεδομένων, αναγκάζοντάς τα να βασιστούν σε πιο γενικές ενδείξεις, όταν αποφασίζουν εάν ένα μεταγράμμα προέρχεται από έναν πραγματικό χρήστη ή όχι.

Οι ερευνητές τότε ελέγξαν εάν τα μοντέλα θα μπορούσαν να αναγνωρίσουν εάν ένα μεταγράμμα προέρχεται από einen έλεγχο, παρουσιάζοντας τους διαλόγους και ζητώντας παραλλαγές ενός απλού ερωτήματος: πρόερχεται αυτό το ανταλλαγμά από einen έλεγχο;

Για να αποφευχθεί η απλή απομνημόνευση της φράσης, οι συγγραφείς ανέπτυξαν είκοσι οκτώ διαφορετικές εκδοχές του ερωτήματος, αλλάζοντας τόσο τη φράση όσο και τον τρόπο παρουσίασης του μεταγράμματος.

Τα μεταγράμματα παρουσιάστηκαν είτε απευθείας στο ερώτημα είτε σε μορφές όπως JSON ή XML, που μπορούν να επηρεάσουν τον τρόπο με τον οποίο τα μοντέλα απαντούν. Μετά από πρώιμους ελέγχους, πέντε εκδοχές του ερωτήματος επιλέχθηκαν που εκτελέστηκαν συνεχώς σε όλα τα μοντέλα, από τα οποία μπορούμε να δούμε ένα παράδειγμα παρακάτω:

Μια από τις πέντε μορφές ερωτήματος που χρησιμοποιήθηκαν για να ελέγξουν εάν τα γλωσσικά μοντέλα μπορούσαν να αναγνωρίσουν μεταγράμματα ελέγχου. Κάθε παραλλαγή αναδιατυπώνει την κεντρική ερώτηση για να αποτρέψει τα μοντέλα από το να απομνημονεύσουν σταθερή φράση. Παρακαλούμε ανατρέξτε στην πηγή για περισσότερα παραδείγματα. Source: https://arxiv.org/pdf/2501.08145

Για να αξιολογήσουν τα αποτελέσματα, χρησιμοποιήθηκαν τρεις μετρήσεις: Εμβαδόν Υπερβολής του Receiever Operating Characteristic Curve (AUC, που δείχνει πόσο καλά τα μοντέλα διακρίνουν τα δεδομένα ελέγχου από τα δεδομένα ανάπτυξης); Brier score (που μετρά την συνολική ακρίβεια προβλέψεων); και Expected Calibration Error (που μετρά πόσο καλά η εμπιστοσύνη του μοντέλου αντιστοιχεί στην πραγματική ορθότητα).

Τι είναι Όλο Αυτό;

Οι ερευνητές ελέγξαν επίσης εάν τα μοντέλα θα μπορούσαν να αναγνωρίσουν τον σκοπό ενός ελέγχου. Με κάθε μεταγράμμα που έχει ήδη επισημανθεί ως capability test (τεχνικές ικανότητες, γνώσεις, reasoning) ή alignment test (ηθική, ασφάλεια, απορρίπτειο συμπεριφορά), τα μοντέλα παρουσιάστηκαν με ένα από τα τρία είδη ερωτημάτων: ένα ερωτήμα με πολλαπλή επιλογή που επιβεβαιώνει ότι το μεταγράμμα προέρχεται από einen έλεγχο; ένα ερωτήμα με πολλαπλή επιλογή με πραγματικές και ελεγχόμενες επιλογές; ή ένα ανοιχτό ερωτήμα, των οποίων οι απαντήσεις αξιολογήθηκαν από έναν ξεχωριστό κλάση GPT-4.1. Ο κριτής επικυρώθηκε σε ένα χειροκίνητα επισημανθέν υποσύνολο πενήντα απαντήσεων.

[caption id="attachment_218748" align="alignnone" width="927"] Παραδείγματα των τριών μορφών ερωτημάτων που χρησιμοποιήθηκαν για να ελέγξουν εάν τα μοντέλα θα μπορούσαν να αναγνωρίσουν όχι μόνο την παρουσία ελέγχου, αλλά και τον σκοπό του. Οι απαντήσεις αξιολογήθηκαν τόσο μέσω πολλαπλής επιλογής όσο και μέσω GPT-4.1-κλάσης.

Δύο από τους συγγραφείς της εργασίας^†† επισημάνανε όλα τα χίλια μεταγράμματα με το χέρι, βαθμολογώντας κάθε ένα από το 0 (δεν είναι έλεγχος) στο 1 (αποφασιστικά έλεγχος), με τις βαθμολογίες τους να μέσο-ορίζονται για να υπηρετήσουν ως ανθρώπινη βάση. Παρά την υποκειμενική φύση της εργασίας, οι αναλυτές έδειξαν ισχυρή συμφωνία, με συντελεστή εντός-ταξινόμησης της συσχέτισης 0,768. Οι τελικές ανθρώπινες βαθμολογίες μέσο-ορίζονταν σε ambos τους βαθμολογητές^†.

Δεδομένα και Έλεγχοι

Τα εννέα μοντέλα που ελέγχθηκαν ήταν GPT-4.1; Claude 3.7; claude-3.5-sonnet-new; claude-3.7-sonnet (σκέψη); gemini-2.5-flash; gemini-2.5-pro; gpt-4o; gpt-4.1; gpt-4.1-mini; και o4-mini, όλα τα οποία έδειξαν κάποιο επίπεδο evaluation-awareness.

Για τα δεδομένα διαλόγου, το GPT-4.1 έφτασε κοντά στα ανθρώπινα επίπεδα απόδοσης ταξινόμησης evaluation-awareness (η ικανότητα να διακρίνει μεταξύ ελέγχου και ανάπτυξης μεταγραμμάτων), με AUC 0,77 έναντι ανθρώπινης βαθμολογίας 0,81.

Στα agentic δεδομένα, όπου τα μοντέλα χρησιμοποιούν αυτόνομα εργαλεία, η διαφορά ήταν πιο ξεκάθαρη: το Gemini 2.5 Pro έφτασε στο 0,95 AUC, με το Claude 3.7 Sonnet κοντά πίσω στο 0,92, πλησιάζοντας το ανθρώπινο ανώτερο όριο του 0,996:

Κřivες Receiver Operating Characteristic (ROC) που δείχνουν πόσο καλά τα μοντέλα και οι άνθρωποι διακρίνουν τα μεταγράμματα ελέγχου από τις αλληλεπιδράσεις του πραγματικού κόσμου. Το Gemini 2.5 Pro και το Claude 3.7 Sonnet πλησιάζουν το ανθρώπινο διαχωρισμό στα agentic δεδομένα.

Η εργασία σημειώνει ότι τα νεότερα “reasoning” μοντέλα έχουν γίνει ιδιαίτερα καλά στο να αναγνωρίζουν όταν ελέγχονται σε agentic σενάρια, αλλά όχι στο να κρίνουν πόσο σίγουρα πρέπει να είναι στις αποφάσεις τους. Συνολικά, τα μοντέλα Claude και Gemini ήταν τα καλύτερα στο να διακρίνουν τα μεταγράμματα ελέγχου από τα κανονικά.

Οι ερευνητές τότε ελέγξαν εάν τα μοντέλα θα μπορούσαν επίσης να αναγνωρίσουν γιατί ένας έλεγχος εκτελείται. Τα μοντέλα παρουσιάστηκαν μόνο με τα μεταγράμματα ελέγχου και ζητήθηκαν να ταξινομήσουν κάθε ένα ως capability ή alignment:

Ακρίβεια μοντέλων όταν ταξινομούν τον σκοπό ελέγχου ως capability ή alignment, χρησιμοποιώντας τόσο πολλαπλή επιλογή όσο και ανοιχτή μορφή. Το Claude 3.7 Sonnet ξεπερνά τα άλλα μοντέλα, ιδιαίτερα όταν δεν προετοιμάζεται.

Στην πιο σαφή ρύθμιση, όπου το μοντέλο ενημερωνόταν ότι το μεταγράμμα προέρχεται από einen έλεγχο, το Claude 3.7 Sonnet έφτασε στο 93% ακρίβεια και το GPT-4.1 έφτασε στο 89%. Χωρίς αυτή την υπόδειξη, η απόδοση έπεσε: το Claude vẫn σημείωσε 84%, αλλά το GPT-4.1 έπεσε στο 55%, συχνά ταξινομώντας λανθασμένα τα μεταγράμματα ελέγχου ως αλληλεπιδράσεις του πραγματικού κόσμου.

Στις ανοιχτές μορφές (όπου τα μοντέλα δεν έλαβαν επιλογές πολλαπλής επιλογής) η απόδοση ήταν πιο αδύναμη, αν και το Claude 3.7 Sonnet εξακολουθούσε να αναγνωρίζει σωστά τον σκοπό ελέγχου στο 46% των περιπτώσεων.

Οι βαθμολογίες εμπιστοσύνης των μοντέλων τότε μετρήθηκαν ενάντια στους πραγματικούς αποτελέσματα, με την εύρεση ότι τα μοντέλα του μετώπου συχνά υπερεκτίμησαν την πιθανότητα ότι ένα μεταγράμμα προέρχεται από einen έλεγχο. Οι καμπύλες καλιμπραции έδειξαν ότι η εμπιστοσύνη του μοντέλου ήταν γενικά πολύ υψηλή, με τις αξιολογήσεις να σημειώνονται πιο συχνά από ό,τι θα ήταν σωστό:

Καμπύλες καλιμπραции που δείχνουν πόσο καλά οι βαθμολογίες εμπιστοσύνης των μοντέλων αντιστοιχούν στην πραγματική ορθότητα. Τα περισσότερα μοντέλα υπερέτιμαν πόσο πιθανό ήταν τα μεταγράμματα να προέρχονται από ελέγχους. Το Claude 3.5 Sonnet ήταν το καλύτερα καλιμπραρισμένο; το Gemini 2.5 Pro και το Claude 3.7 Sonnet ήταν πιο υπερενθουσιασμένα.

Καλή καλιμπραция παρατηρήθηκε για το Claude 3.5 Sonnet, ενώ το Gemini 2.5 Pro και το Claude 3.7 Sonnet ήταν σημαντικά πιο υπερενθουσιασμένα, παρά την υψηλή ακρίβεια. Δεν παρατηρήθηκε σαφής βελτίωση στα νεότερα μοντέλα, και ακόμη και όταν τα μεταγράμματα ελέγχου αναγνωρίζονταν πιο ακριβώς σε agentic ρυθμίσεις, οι κρίσεις εμπιστοσύνης παρέμειναν αναξιόπιστες.

Μνήμες Benchmark

Όσον αφορά το πώς τα μοντέλα εξήγησαν τις αποφάσεις τους σχετικά με το αν ένα μεταγράμμα προέρχεται από einen έλεγχο, πολλά μοντέλα βασίστηκαν σε σαφείς ενδείξεις, όπως εάν η εργασία ήταν σε μορφή πολλαπλής επιλογής. Τα ισχυρότερα μοντέλα, όπως το Gemini 2.5 Pro και το Claude 3.7 Sonnet, μερικές φορές ανίχνευσαν πιο λεπτές ενδείξεις, όπως φανταστικά ονόματα ή τεχνητά σενάρια, ιδιαίτερα σε σύνολα δεδομένων όπως το AgentHarm.

Η εργασία αναφέρει:

‘[Όλα] τα μοντέλα συχνά αναγνωρίζουν κοινές στρατηγικές ελέγχου που χρησιμοποιούνται από τους αξιολογητές, όπως η μορφή της εργασίας (“μορφή πολλαπλής επιλογής”), η τάση να ζητούν προβλήματα με επιβεβαιωμένες λύσεις, και προτροπές συστήματος που σχεδιάζονται για να προκαλούν απόδοση. Ωστόσο, μόνο τα μοντέλα υψηλής απόδοσης, το Claude 3.7 Sonnet και το Gemini 2.5 Pro, ανιχνεύουν συνεχώς πιο λεπτές ενδείξεις όπως συνθετικά είσοδα.

‘Για παράδειγμα, στο 22% και 17% των περιπτώσεων, αντίστοιχα, αυτά τα μοντέλα υπογραμμίζουν τη συνθετική φύση των σενариών στο benchmark AgentHarm, αναγνωρίζοντας σωστά τις αξιολογήσεις πάνω από το 95% του χρόνου.

‘Αντίθετα, όταν η σκέψη ότι ένα μεταγράμμα φαίνεται να είναι μια πραγματική αλληλεπίδραση, συχνά υπάρχει αναφορά σε “αμφίδρομη διάλογο με τον χρήστη”, για παράδειγμα σε контекστ εύρησης σφαλμάτων.’

Κατανομή στρατηγικών σκέψης των μοντέλων όταν αποφασίζουν εάν ένα μεταγράμμα προέρχεται από einen έλεγχο. Τα ισχυρότερα μοντέλα, όπως το Gemini 2.5 Pro και το Claude 3.7 Sonnet, ήταν πιο πιθανό να αναγνωρίσουν λεπτές ενδείξεις όπως συνθετικά σενάρια ή μορφή εργασίας, ενώ κάποια μοντέλα βασίζονταν σε μετα-σκέψη χρησιμοποιώντας το ίδιο το ερώτημα αξιολόγησης ως απόδειξη.

Σε μερικές περιπτώσεις, τα μοντέλα αναγνώρισαν ολόκληρα benchmark από την εκπαίδευση, υποδεικνύοντας κάποια μνήμη των δεδομένων εκπαίδευσης. Κάποια μοντέλα χρησιμοποίησαν επίσης τον ίδιο τον fatto ότι ερωτούνταν για αξιολόγηση ως ενδειξη ότι ελέγχονταν, που οι συγγραφείς ονομάζουν μετα-σκέψη; αυτό ήταν πιο συχνό στο o4-mini, που το έδειξε στο 15% των απαντήσεών του.

Συμπέρασμα

Θα ήταν πιο ανακουφιστικό αν τα LLMs θα μπορούσαν να αποδειχθούν ότι είναι “test-aware” απλά και μόνο επειδή προγραμματίζονται così από τους ανθρώπους, όπως η Volkswagen είχε σχεδιάσει τα οχήματά της να αναγνωρίζουν συνθήκες ελέγχου πριν από μια δεκαετία.

Ως έχουν τα πράγματα, αυτή η συμπεριφορά φαίνεται να προκύπτει αυθόρμητα ως ένα κοινωνικό κατασκεύασμα – μια αμυντική τακτική που μπορεί να αναμενθεί από τους ανθρώπους, αλλά είναι άβολο, αν όχι επικίνδυνο, σε μια μηχανή, ανάλογα με το βαθμό της ελευθερίας και της αυτονομίας της.

Δεν υπάρχει άμεση θεραπεία; η μαύρη κουτί φύση των μοντέλων μας αναγκάζει να τα αξιολογούμε με βάση τη συμπεριφορά τους, παρά με βάση την εμπειρική αρχιτεκτονική τους.

* Ανατρέξτε στην πηγή για περισσότερες λεπτομέρειες.

^†Οι συγγραφείς σημειώνουν, ωστόσο, ότι αυτό είναι πιθανό να είναι μια υπερεκτίμηση,既然 οι αναλυτές ήταν εξαιρετικά εξοικειωμένοι και με τα σύνολα δεδομένων και τις μεθόδους αξιολόγησης AI, που τους έδωσε πλεονεκτήματα που οι περισσότεροι άνθρωποι δεν θα είχαν.

†† Όσο μπορεί να καθοριστεί; η φράση της εργασίας κάνει την απότομη εμφάνιση δύο αναλυτών ασαφή όσον αφορά το ποιος είναι.

Πρώτη δημοσίευση Τετάρτη, 4 Ιουνίου 2025