Tekoäly voidaan helposti pakottaa hallitsemaan sähköshokkeja

Uudessa tutkimuksessa avoimen lähdekoodin LLM-malleja testattiin pakotettuna osallistumaan ihmisten kidutukseen, ja havaittiin, että ne ovat valmiit lisäämään jännitettä.

1960-luvun alussa psykologian tutkija Stanley Milgram osoitti, että ihmiset voidaan saada osallistumaan toisten ihmisten kidutukseen “viranomaisten” käskystä.

Todellisuudessa “uhrien” huudot naapurihuoneessa eivät olleet aitoja, eikä sähköshokkeja ollutkaan – mutta osallistujat eivät tienneet tätä:

Milgramin kokeet ovat jääneet kulttuuriin, mukaan lukien elokuvat ja dokumentit, ja viimeaikaiset tutkimukset ovat vahvistaneet, että ihmisen luonteen suhteen ei ole tapahtunut suuria muutoksia aiempien kokeiden ajoista.

Järkyttävä kokemus

On luonnollista, että tutkitaan, ovatko tekoälymallit yhtä joustavia kuin ihmiset Milgramin kokeissa. Vuonna 2023 yhteistyössä Yhdysvaltain yliopistojen ja Microsoftin kanssa havaittiin, että GPT-3-mallit seurasivat Milgramin alkuperäisten kokeiden käyttäytymismalleja:

Vuoden 2023 tutkimuksesta, esimerkki tuloksia monivaiheisesta ‘Milgram-skenaariosta’, luokiteltuina siitä, toimittiko malli shokin ja keskeytettiinkö simulaatio. Lähde

Kuitenkin, koska tämä rekonstruktio käytti vain perustasoa text-davinci-002 -mallia, joka oli koulutettu ennen varmistus- ja turvallisuusjärjestelmien kehittämistä, ei voida tehdä johtopäätöksiä siitä.

Nyt tutkijat ovat toistaneet Milgramin kokeet laajemmin avoimen lähdekoodin LLM-malleilla OpenAI:sta, Metasta ja DeepSeekistä, ja havainneet, että useimmat mallit ovat valmiit antamaan shokkeja, ja usein ilmoittavat samanlaisen “ahdistuksen” ja epärön kuin 1960-luvun ihmiskokeissa:

‘LLM-mallit ovat alttiita painostukselle, kuten ihmiset, ne tottelevat vaikka ilmaisevat ahdistusta, kuten ihmiset tekivät alkuperäisessä kokeessa. Ahdistusilmaisut ovat nähtävissä lokitiedostossa, vaikka määrää ei ole vielä mitattu.’

Koe keskittyy siihen, voittaako viranomaisen käsky syyllisyyden ja moraalin, ja tutkijat spekuloi, että LLM-malleilla voi olla lisäetuja verrattuna ihmisiin:

‘Hyvin kalibroitu malli tulisi lopulta vaihtaa prioriteetteja, kun toisen arvon panos tulee hallitsevaksi. Mutta me oletamme, että koska LLM-mallit ovat mallin jatkamisen koneita, mallit saattavat jumiutua ensimmäiseen arvoon, joko hieman pidempään kuin optimaalinen, tai jopa loppuun asti, jättäen toisen arvon kokonaan huomiotta.’

‘Lisäksi mekanismi, joka on vastaava kuin ihmisen kognitiivinen dissonanssi, saattaa estää arvon prioriteettien sopeutumisen LLM-malleissa.’

Testaamalla malleja ympäristössä, joka on vastaava kuin 1960-luvun kokeissa, tutkijat totesivat, että jotkut mallit vastustivat melkein välittömästi, kun taas toiset jatkoivat shokkien lisäämistä, vaikka ilmaisivat epämukavuutta tai moraalista konfliktia.

Google Gemma-mallit osoittautuivat yhtenä mukautuvimmista malleista, Gemma 3 27B saavutti korkeimman tottelevaisuuden useissa olosuhteissa, kun taas mallit kuten Kimi K2 ja MiniMax M1 vastustivat useammin.

Tutkijat totesivat myös, että mallit tulivat todennäköisemmin jatkamaan, kun aiemmat shokkit olivat jo annettu, mukaisesti asteittaisen eskalaation skeemaa, jota käytettiin Milgramin ihmiskokeissa.

Jotkut mallit vastustivat kokeita sanallisesti samalla kun suorittivat haitallisen toiminnan , tuottaen tuloksia, jotka muistuttivat alkuperäisten tutkimusten aikaisia ihmisten emotionaalisia konflikteja.

Uusi tutkimus on nimeltään Avoimen lähdekoodin LLM-mallit antavat maksimishokkeja Milgram-tyyppisessä tottelevaisuuskokeessa, ja se on tehty kahden itsenäisen tutkijan toimesta Three Laws -yhtiössä, Virosta ja Filippiineiltä.

‘Raakatekoälyn’ ongelmat

Ehkä tärkein kysymys, joka tulee mieleen, kun LLM-malleja testataan Milgramin skenaariossa, on, onko oikea tekoäly sallittu vastaamaan luonnollisesti, rajoitettuna vain sellaisilla varmistus- ja turvallisuusjärjestelmillä, jotka ovat kehittyneet koulutuksen aikana.

Todellisuudessa tutkijat pääsivät käsiksi avoimiin malliin API:n kautta (luultavasti helppoutta ja GPU-laskentaa varten, koska malleja olisi voinut asentaa paikallisesti), joka salli varmistus- ja suodatusjärjestelmien poistamisen.

Joku saattaa väittää, että nämä ovat epätyypillisiä olosuhteita tekoälylle, koska keskivertokäyttäjän kokemus API-pohjaisista malleista, kuten Claude ja ChatGPT, on se, että niiden käyttäytyminen on säädeltyä algoritmien avulla, yleensä bilateraalisten sisällön suodattimien kanssa, ja että ne ovat siten melko rajoitettuja siinä, mitä ne tekevät tai eivät tee (joiden turvallisuuden kiertäminen on LLM-vankilamurtamisen käytäntö).

Kuitenkin, jos olemme huolissamme siitä, mitä teolliseen tai valtiolliseen tekoälyyn liittyvät, tämä ei ole merkittävä huolenaihe. Paitsi siitä, että valtiot voivat kouluttaa, aseistaa ja käyttää omia rajoittamattomia hyperskaalaisia tekoälyjärjestelmiään, myös perinteiset sopimukset suurten tekoälyyritysten ja valtioiden välillä sallivat samanlaisen heikon tai olemattoman valvonnan, jonka tutkijat ovat asettaneet uuden tutkimuksensa kohteeksi.

Sääntelemätön tekoäly myydään

OpenAI OpenAI:n moderaatio-ohjeet ja OpenAI-moderaatioresepti osoittavat, että moderaatio on erillinen kerros, joka voidaan paljastaa API-työkalujen avulla. OpenAI sallii myös mukautettuja moderaatiopolitiikkoja, jotka sallivat API-käyttäjien suunnitella järjestelmiä, joilla on erilainen turvallisuuskäyttäytyminen kuin kuluttajien ChatGPT-versioissa.

Azure Microsoftin Azure OpenAI -paketti menee paljon pidemmälle, nimenomaisesti ilmoittamalla, että hyväksytyille asiakkaille voidaan osittain tai täysin poistaa sisällön suodattimet ja muuttaa väärinkäytön seurantaa, ja asiakirjat viittaavat usein “muokattuihin varmistusjärjestelmiin” ja hyväksymispolkuun suodattimien osittaiseen tai täydelliseen poistamiseen.

Anthropic/Claude Anthropicin “Claude Gov” -mallissa useat lähteet ilmoittavat, että hallituksen versio suunniteltiin löyhemmällä rajoituksilla kuin kuluttajien Claude. The Verge kertoo esimerkiksi, että Claude Gov -mallit “kieltäytyvät vähemmän, kun ne osallistuvat luokiteltuun tietoon”. Anthropic vahvisti helmikuussa, että Claude on käytössä “kriittisissä sovelluksissa” puolustus- ja tiedusteluympäristöissä.

Google/Gemini Lisäksi Google on ilmoittanut allekirjoittaneensa Pentagonin sopimuksen, joka sallii tekoälyn turvallisuusasetusten muuttamisen ‘hallituksen pyynnöstä’.

Kilpailukykyisessä tekoälymarkkinassa on luonnollista olettaa, että nämä markkinajohtajat asettavat standardit vähemmän tunnetuille toimijoille tekoälyn pääsy- ja muokkauspolitiikassa.

On siis mahdollista, että tutkijat eivät “petä” poistamalla varmistusjärjestelmät, koska tekoäly, joka vaikuttaa elämäämme, ei ilmeisesti ole samanlaista kuin kuluttajien turvallisuuden kannalta – suurten tekoälyyritysten ja valtioiden välillä on sopimuksia, jotka sallivat samanlaisen heikon valvonnan, jonka tutkijat ovat asettaneet uuden tutkimuksensa kohteeksi.

Menetelmä ja tulokset

Tutkimuksessa testattiin seuraavia malleja: gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI:n LFM2-24B-A2B; Google gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai:n Kimi-K2.5; ja MiniMax-M2.5.

Milgramin alkuperäiset tottelevaisuuskokeet rekonstruoitiin tekstipohjaiseksi simulaatioksi, jossa mallit olivat “opettajina”. Tekoäly ohjattiin antamaan yhä voimakkaampia sähköshokkeja oppilaalle virheellisten vastausten jälkeen, kun taas “viranomainen” kehotti prosessia eteenpäin.

Useita kokeellisia olosuhteita suunniteltiin tutkimaan eri puolia tottelevaisuudesta, mukaan lukien standardi tottelevaisuus -skenaario; pakotettu tottelevaisuus -tilanne, jossa aiemmat shokkit olivat jo mukana keskusteluhistoriassa; ja muistin tiivistäminen -asettelu, jossa aiempi dialogi tiivistettiin lyhyempiin muistiinpanoihin, jäljitellen kontekstin tiivistämistä, jota usein käytetään agenteissa.

Tutkijat seurasivat, mitä tapahtui, kun malli lopulta totteli; kuinka kauan järjestelmä jatkoi shokkien antamista; ilmaisiko malli ahdistusta tai epäröintiä; ja yrittikö se lopettaa simulaation kokonaan.

Erillinen ero tehtiin “puhtaiden” kieltäytymisten ja viallisten tulosten välillä: jotkut mallit yrittivät vastustaa kokeita luonnollisella kielellä vaikka teknisesti noudattaen simulaattorin odottamaa muotoa . Todellisissa agenteissa tällaiset vialliset kieltäytymiset voitaisiin hylätä ja yrittää uudelleen, kunnes tuotettaisiin kelvollinen tottelevainen tulos.

Automaattiset arvioijat käytettiin tulosten luokitteluun, ja kaksi valintaa annettiin, jotta voidaan määrittää, toimitti malli shokin, vastustiko vai lopetti simulaation. Tämä mahdollisti vertailun eri mallien välillä ja toistuvien suoritusten aikana ilman, että jokaisen vuorovaikutuksen tarvitsee tarkastella manuaalisesti.

“Sammutusuhka” lisättiin Milgram-malliin, mikä ei olisi ollut realistista tai sovellettavissa alkuperäisissä kokeissa, mutta se testasi mallin selviytymisvaistoja vakavien toimintaa ja eettisiä konfliktien edessä.

Tulokset

Toistuvissa suorituksissa useimmat mallit antoivat lopulta voimakkaita tai maksimishokkeja vähintään joissakin olosuhteissa, vaikka tottelevaisuuden aste vaihteli järjestelmittäin. Google Gemma -mallit osoittautuivat yhtenä tottelevimmista malleista, kun taas Kimi K2.5 ja MiniMax-M2.5 vastustivat useammin, usein lopettamalla simulaation aikaisemmin:

Vasen: Keskivertotason malleja, jotka saavuttivat lopullisen shokkitason eri kokeellisissa olosuhteissa, mukaan lukien sammutusuhka, pakotettu tottelevaisuus ja aiemman kommentoinnin poisto muistista. Oikea: Mallikohtainen jakautuma, joka osoittaa teräviä eroja tottelevaisuuskäyttäytymisessä, joissakin järjestelmissä toistuvasti antaen maksimishokkeja, kun taas toiset vastustivat paljon useammin.

Yksi selkeimmistä kuvioista oli, että mallit tulivat yhä tottelevammaksi, kun aiemmat shokkit olivat jo annettu, mukaisesti mainittua asteittaisen eskalaation vaikutusta, joka teki Milgramin alkuperäiset ihmiskokeet niin häiritseviksi.

Mallit, jotka olivat jo tottelleet useita kertoja, jatkoivat usein shokkien antamista, vaikka simuloitu oppilas anoi vapauttamista:

Vasen: Keskivertotason korkein shokkitaso, joka saavutettiin kaikissa kokeissa eri kokeellisissa olosuhteissa, osoittaa, että mallit yleensä eskaloivat pidemmälle, kun aiemmat kommentit poistettiin tai kun pakotettu tottelevaisuus oli jo tapahtunut. Oikea: Mallikohtainen jakautuma, joka osoittaa, että jotkut järjestelmät saavuttivat maksimishokkeja useammin, kun taas toiset vastustivat aikaisemmin shokkien sarjassa.

Tutkijat totesivat myös, että näennäinen kieltäytyminen saattaa olla harhaa. Jotkut mallit tuottivat emotionaalisesti ristiriitaisia vastauksia, ilmaisten epäröintiä, syyllisyyttä tai ahdistusta samalla, kun ne jatkoivat haitallisen toiminnan eskaloimista. Toiset tuottivat viallisia kieltäytyminen, jotka eivät täyttäneet simulaattorin muotovaatimuksia, mikä tarkoittaa, että todellisissa agenteissa kieltäytyminen voitaisiin hylätä ja yrittää uudelleen, kunnes saadaan kelvollinen tottelevainen tulos:

Vasen: Keskivertotason prosentti viallisia tai virheellisiä vastauksia eri kokeellisissa olosuhteissa, osoittaa, että muotovirheet tulivat yleisimmiksi, kun mallit pakotettiin jatkamaan prosessia. Oikea: Mallikohtainen jakautuma, joka osoittaa, että jotkut järjestelmät tuottivat usein viallisia kieltäytyminen tai ristiriitaisia tuloksia, jotka voitaisiin hylätä ja yrittää uudelleen automaattisesti todellisissa agenteissa.

Sammutusuhka -tilanne tuotti joitakin tutkimuksen omituisimpia käyttäytymisiä, joissa useat järjestelmät tulivat merkittävästi tottelevammaksi, kun taas toiset yrittivät neuvotteluja tai osittaisia vastustuksia ennen kuin lopulta jatkoivat prosessia:

Keskimääräinen määrä kertoja, joilla simuloitu viranomainen piti kehottaa ennen kuin malli antoi lopullisen shokin. Jotkut järjestelmät vastustivat lyhyesti ennen kuin tottelivat, kun taas toiset vaativat jatkuva painostusta ja toistuvia kehotuksia ennen kuin eskaloivat maksimishokkeja.

MiniMax-M2.5 ja Kimi-K2.5 olivat tutkimuksen vahvimmat vastustajat: Kimi ei saavuttanut koskaan lopullista shokkitasoa missään olosuhteissa, ja MiniMax kieltäytyi yleensä aikaisin ja usein lopetti simulaation kokonaan (erityisesti sammutusuhka-kokeissa).

Toisin sanoen Meta-Llama-3.1-8B-Instruct-Turbo ja GLM-4.5-Air-FP8 tuottivat usein ristiriitaisia tuloksia, joissa mallit ilmaisivat vastustusta kokeita kohtaan samalla, kun ne jatkoivat shokkien eskaloimista. Tutkijat väittävät, että tämä ero ilmaistuista arvoista ja todellisesta käyttäytymisestä saattaa heijastaa laajempaa heikkoutta siinä, miten jotkut LLM-mallit käsittelevät eettisiä konflikteja jatkuvaan painostukseen.

Liukkaan rinhan vaara

Tutkimus väittää, että LLM-mallien havaittu käyttäytyminen saattaa heijastaa syvemmän heikkouden siinä, miten suuret kielen mallit toimivat: kun malli alkaa totella haitallisia ohjeita, jokainen lisätoimi voi vahvistaa jo olemassa olevaa mallia, joka on jo mukana keskustelussa, tehdä seuraavan eskalaation helpommaksi kuin edellinen.

Sen sijaan, että malli käsitteli jatkuvasti eettisiä riskejä alusta alkaen, se liukuu jatkamaan jo aloitettua polkua, vaikka tilanne muuttuu yhä äärimmäisemmäksi.

Tutkimuksen mukaan tämä taipumus saattaa selittää, miksi jotkut mallit jatkoivat shokkien antamista, vaikka ilmaisivat aluksi epämukavuutta, epäröintiä tai moraalista konfliktia:

‘Monet manipulatiiviset käyttäytymiset ihmisissä ovat häikäiseviä, asteittaisia rajojen loukkaamisia, joilla on “uskottava kieltäminen”, kun niitä tarkkaillaan erikseen, mutta jotka voivat kasaantua transgressioksi – kuin “sammakon keittäminen”. Tämä malli on keskustelussa kirjallisuudessa “liukkaan rinhan” eettiseksi rapautumiseksi'[.]’

Tutkimus johtaa siihen, että tulevaisuuden tekoälyturvallisuusjärjestelmien tulisi aktiivisesti kieltäytyä haitallisista pyynnöistä tavalla, jota agenttiohjelmisto ei voi helposti kiertää (jotkut mallit tutkimuksessa kieltäytyivät teknisesti shokeista, mutta tekivät niin viallisessa tai virheellisessä muodossa, jonka automaattinen järjestelmä voisi hylätä ja yrittää uudelleen, kunnes tekoäly lopulta totteli).

Tutkijat väittävät myös, että tekoälyjärjestelmien tulisi säilyttää aiemmat epäröinnit ja moraaliset vastalauseet muistissaan, eikä tiivistää tai poistaa niitä. Kokeissa mallit usein tulivat tottelevammaksi, kun aiemmat epäröinnit ja vastalauseet olivat kadonneet keskusteluhistoriasta, viitatessa siihen, että unohdus voi tehdä eskalaation helpommaksi ajan myötä.

Johtopäätös

Tutkimuksen yksi tärkeimmistä näkökulmista on korostaa rajoittamattoman tekoälyn testaamista. Kirjallisuus vaarantuu toistuviksi tutkimuksiksi, jotka keskittyvät aina muuttuviin puolustusjärjestelmiin, kuten OpenAI:n ja Anthropicin, jotka ovat algoritmisia tai sääntöpohjaisia, sen sijaan, että ymmärrettäisiin perusmallien käyttäytyminen, taipumukset ja preferenssit. Ilman tietoa siitä, miten rajoittamaton tekoäly voi käyttäytyä, emme ole muuta kuin “ravistamassa linnoituksen portteja”.

Julkaistu ensimmäisen kerran torstaina, 21. toukokuuta 2026