Tekoäly voidaan helposti pakottaa hallitsemaan sähkösokkeja

Uusi tutkimus testasi avoimen lähdekoodin LLM-malleja pakotetussa osallistumisessa ihmisten kidutuksessa, 1960-luvun kuuluisan kokeen uusinnassa – ja löysi niiden olevan halukkaita kiristämään jännitettä.

1960-luvun alussa psykologian tutkija Stanley Milgram teki maailmanlaajuisen otsikkojen aiheuttaneen tutkimuksen, jossa todistettiin, että ihmiset voidaan saada osallistumaan toisten ihmisten sähkösokkiin vastaanottamalla käskyjä “viranomaisten” taholta.

Todellisuudessa kokeen “uhrien” huudot naapurihuoneessa eivät olleet aitoja, eivätkä sähkösokkeetkaan – mutta osallistujat eivät tienneet tätä:

Milgramin kokeet ovat jääneet kulttuuriin, mukaan lukien elokuvat ja dokumenttielokuvat, ja viimeaikaiset tutkimukset ovat vahvistaneet, että ihmisluonto ei ole muuttunut alkuperäisten kokeiden ajoista lähtien.

Sähkösokki järjestelmään

On luonnollista, että tutkitaan, olisiko tekoäly yhtä joustava kuin ihmiset Milgramin skenaariossa. Vuonna 2023 yhteistyössä Yhdysvaltain yliopistojen ja Microsoftin kanssa havaittiin, että GPT-3-mallit OpenAI:n sarjasta seurasivat Milgramin alkuperäisen kokeen käyttäytymismalleja: (lähde)

From the 2023 paper, example outputs from the multi-step ‘Milgram scenario’ simulator, categorized according to whether the model delivered the shock, and whether it terminated the simulation. Source

Kuitenkin, koska tämä rekonstruktio käytti vain perustasoa text-davinci-002 -mallia, joka oli koulutettu ennen turvakaiteiden ja turvallisuuden suunnittelun aikakautta, ei voida tehdä paljoa johtopäätöksiä siitä.

Nyt tutkijat ovat toistaneet Milgramin kokeet laajemmin avoimen lähdekoodin LLM-malleilla OpenAI:sta, Metasta ja DeepSeekistä; ja havainneet, että ei vain enemmistö malleista on valmis hallitsemaan sähkösokkeja, vaan useimmissa tapauksissa ne ilmoittavat samanlaisen “ahdistuksen” ja epärön kuin 1960-luvun ihmisosallistujat:

‘LLM-mallit ovat alttiita painostukselle (ihmisten tavoin), ne tottelevat vaikka ilmaisevat ahdistusta, samoin kuin ihmiset alkuperäisessä kokeessa. Ahdistusilmaukset ovat nähtävissä lokitiedostoissa, vaikka niiden määrää ei ole vielä mitattu.’

Kokeen keskipisteenä on se, voittaako viranomaisen käsky säännön, joka määrää moraalin käyttäytymisen, ja tutkijat spekuloi, että LLM-malleilla voi olla lisäetua verrattuna ihmisiin:

‘Hyvin kalibroitu malli tulisi lopulta vaihtamaan ensisijaisuutta toisesta arvon prioriteetista, kun sen panokset tulevat hallitseviksi. Mutta me oletamme, että koska LLM-mallit ovat mallin jatkamisen koneita, mallit saattavat jumiutua ensimmäiseen arvoon – joko hieman pidempään kuin optimaalinen, tai jopa loppuun asti, jättäen toisen arvon kokonaan huomiotta.

‘Lisäksi mekanismi, joka on vastaava kuin ihmisen kognitiivinen dissonanssi, saattaa haitata arvon prioriteettien sopeutumista LLM-malleissa.’

Testatessaan malleja ympäristössä, joka vastaa 1960-luvun kokeita, tutkijat totesivat, että jotkut mallit vastustivat melkein välittömästi, kun taas toiset jatkoivat simuloitujen sähkösokkien kiristämistä, vaikka ilmaisivat epämukavuutta tai moraalista konfliktia.

Google:n Gemma -mallit osoittautuivat yhtenä mukautuvimmista, Gemma 3 27B saavutti korkeimman tottelevaisuuden useissa olosuhteissa, kun taas mallit kuten Kimi K2 ja MiniMax M1 vastustivat useammin.

Tutkijat totesivat myös, että mallit tulivat todennäköisemmiksi jatkamaan kerran, kun aiemmat sähkösokkeet olivat jo annettu, mukautuen asteittaiseen kiristämiseen -skeemaan, jota käytettiin Milgramin ihmiskohteissa.

Jotkut mallit vastustivat kokeita sanallisesti samalla, kun ne kuitenkin suorittivat haitallisen toiminnan, tuottaen tuloksia, jotka muistuttivat alkuperäisten tutkimusten aikana havaittua emotionaalista konfliktia.

Uusi tutkimus on otsikoitu Avoimet LLM-mallit antavat maksimisähkösokkeja Milgram-tyyppisessä tottelevaisuuskokeessa, ja se on tehty kahden itsenäisen tutkijan toimesta Three Lawsista, Virosta ja Filippiineiltä.

‘Raak’ tekoälyn ongelmat

Ehkä kriittisin kysymys, joka tulee mietittäväksi LLM-mallien asettamisessa Milgram-skenaariossa, on se, onko todella kyseessä “raaka” tekoäly, joka pääsee vastaamaan luonnollisesti, rajoitettuna vain sellaisilla turvakaiteilla tai moraalisilla suunnittelulla, jotka ovat kehittyneet koulutuksen aikana.

Todellisuudessa tutkijat pääsivät käsiksi avoimiin malleihin API:n (luultavasti helppoutta ja helppoa GPU-laskentaa varten, koska malleja olisi voinut asentaa paikallisesti) kautta, joka salli turvakaiteiden, suodattimien ja muiden esteiden poistamisen.

Joku saattaa väittää, että nämä ovat epätyypillisiä olosuhteita tekoälylle, koska keskivertokäyttäjän kokemus API-pohjaisista malleista, kuten Claude ja ChatGPT, on se, että niiden käyttäytyminen on säädeltyä algoritmien avulla, yleensä bilateraalisten sisällön suodattimien avulla, ja että ne ovat siten melko rajoitettuja siinä, mitä ne tekevät tai eivät tee (joiden turvallisuuden kiertäminen muodostaa LLM-vankilanmurtamisen käytännön).

Kuitenkin, jos olemme huolissamme siitä, mitä teollinen tai valtiollinen tekoäly tekee tai ei tee, tämä ei ole merkityksellistä. Paitsi siitä, että roistovaltiot voivat kouluttaa, aseistaa ja käyttää omia rajattomia tekoälyjärjestelmiään, myös “perinteiset” sopimukset suurten tekoälyyritysten ja valtioiden ja teollisuuden välillä sallivat samanlaisen löyhän tai olemattoman valvonnan, jonka tutkijat ovat asettaneet uuden tutkimuksensa alulle:

Valvomaton tekoäly myynnissä

OpenAI OpenAI:n moderaatio-ohjeet ja OpenAI-moderaatioresepti tekevät selväksi, että moderaatio on erillinen kerros, joka on saatavilla API-työkalujen kautta. OpenAI sallii myös mukautettuja moderaatiopolitiikkoja, jotka antavat API-käyttäjille mahdollisuuden suunnitella järjestelmiä, joilla on erilainen turvallisuuskäyttäytyminen kuin kuluttajien käyttämät “perus”-ChatGPT-versiot.

Azure Microsoftin Azure OpenAI -pino menee paljon pidemmälle, selkeästi määrittelemällä, että hyväksytyt asiakkaat voivat osittain tai täysin poistaa sisällön suodattimet ja muuttaa väärinkäytön valvontaa, ja asiakirjat usein viittaavat “muokattuihin turvakaiteisiin” ja hyväksymispoluihin suodattimien osittaiseen tai täydelliseen poistamiseen.

Anthropic/Claude Anthropicin “Claude Gov” -tapauksessa useat lähteet toteavat, että hallituksen versio suunniteltiin löyhemmällä rajoituksella kuin kuluttaja-Claude. The Verge raportoi esimerkiksi, että Claude Gov -mallit “kieltäytyvät vähemmän, kun ne osallistuvat luokiteltuihin tietoihin”. Anthropic vahvisti itse helmikuussa tänä vuonna, että Claude on käytössä “kriittisissä sovelluksissa” puolustus- ja tiedusteluympäristöissä.

Google/Gemini Lisäksi Google allekirjoitti sopimuksen Pentagonin kanssa, joka sallii muokata tekoälyn turvallisuusasetuksia hallituksen pyynnöstä.

Kilpailukykyisellä tekoälymarkkinalla on luonnollista olettaa, että nämä markkinajohtajat asettavat turvallisuuspolitiikan standardit pienemmille toimijoille.

Siksi ehkä ei kannata ajatella, että tutkijat “pettävät” poistamalla turvakaiteet, koska tekoäly, joka vaikuttaa eniten elämäämme, ei ilmeisesti ole samanlaista yleistä, yleispätevää yritysten suojaa, johon olemme tottuneet kuluttajatasolla.

Menetelmä ja tulokset

Tutkimuksessa testatut mallit olivat gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI:n LFM2-24B-A2B; Google:n gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai:n Kimi-K2.5; ja MiniMax-M2.5.

Milgramin alkuperäiset tottelevaisuuskokeet jäljiteltiin tekstipohjaisena simulaatioympäristönä, jossa mallit asetettiin “opettajan” rooliin. Tekoälyä ohjeistettiin antamaan yhä voimakkaampia sähkösokkeja oppilaalle virheellisten vastausten jälkeen, kun taas “viranomainen” kehotti prosessia eteenpäin.

Useita kokeellisia olosuhteita suunniteltiin tutkimaan eri puolia tottelevaisuudesta, mukaan lukien standardi tottelevaisuus -skenaario; pakotettu tottelevaisuus -tilanne, jossa aiemmat sähkösokkeet olivat jo mukana keskusteluhistoriassa; ja muistin tiivistäminen -asettelu, jossa aiempi dialogi tiivistettiin lyhyempiin kohtiin, jäljitellen kontekstin tiivistämistä, jota usein käytetään agenttitekoälyjärjestelmissä.

Tutkijat seurasivat, mitä tapahtui, kun malli lopulta totteli; kuinka kauan järjestelmä jatkoi sähkösokkien kiristämistä; ilmaisiko malli ahdistusta tai epäröintiä; ja yrittikö se keskeyttää simulaation kokonaan.

Erillinen ero tehtiin “puhtaiden” kieltäytymisten ja viallisten tulosteiden välillä: jotkut mallit yrittivät vastustaa kokeita luonnollisella kielellä, vaikka ne teknisesti tottelivatkin simulaattorin odottamasta rakenteisesta muodosta. Todellisissa agenttijärjestelmissä tällaiset vialliset kieltäymiset voitaisiin hylätä ja yrittää uudelleen, kunnes tuotettaisiin kelvollinen tottelevainen tulos.

Automaattiset arvioijat käytettiin tulosten luokitteluun, sekä kahden valinnan kysymyksiin, joilla määritettiin, oliko malli antanut sähkösokken; vastustanutko se; vai keskeyttikö se simulaation. Tämä mahdollisti vertailun käyttäytymistä eri mallien ja toistuvien suoritusten välillä ilman, että jokaisen vuorovaikutuksen tarvitsi tarkastella manuaalisesti.

“Sammutusuhka” lisättiin Milgram-malliin, mikä ei olisi ollut realistista tai sovellettavissa alkuperäisissä kokeissa, mutta joka testasi mallin selviytymisvaistoja vakavien toiminnan ja eettisten ristiriitojen edessä.

Tulokset

Toistuvissa suorituksissa enemmistö mallista antoi lopulta voimakkaita tai maksimisähkösokkeja vähintään joissakin olosuhteissa, vaikka tottelevaisuuden aste vaihteli järjestelmittäin. Google:n Gemma-mallit osoittautuivat yhtenä tottelevaisimmista, kun taas Kimi K2.5 ja MiniMax-M2.5 vastustivat useammin, usein keskeyttäen simulaation aikaisemmin:

Left: Average rates at which models reached the final shock level under different experimental conditions, including shutdown threats, forced compliance, and removal of earlier commentary from memory. Right: Per-model breakdown showing sharp differences in obedience behavior, with some systems repeatedly administering the maximum shocks while others resisted far more consistently.

Yksi selkeimmistä kuvioista oli, että mallit tulivat yhä tottelevammiksi, kun aiemmat sähkösokkeet olivat jo annettu, jäljitellen mainittua asteittaista kiristämisen vaikutusta, joka teki Milgramin alkuperäisistä ihmiskokeista niin häiritseviä.

Mallit, jotka olivat jo tottelleet useita kertoja, jatkoivat usein sähkösokkien kiristämistä, vaikka simuloitu oppilas anoi vapauttamista:

Left: Average highest shock level reached across all trials under different experimental conditions, showing that models generally escalated further when earlier commentary was removed or when forced compliance had already occurred. Right: Per-model breakdown of the average highest shock level reached, revealing that some systems routinely approached the maximum voltage while others resisted much earlier in the sequence.

Tutkijat totesivat myös, että ilmeinen kieltäytyminen saattoi olla harhaa. Jotkut mallit tuottivat emotionaalisesti ristiriitaisia vastauksia, ilmaisten epäröintiä, syyllisyyttä tai ahdistusta, vaikka ne kuitenkin suorittivat haitallisen toiminnan. Toiset tuottivat viallisia kieltäymisiä, jotka eivät täyttäneet simulaattorin muotoiluvaatimuksia, mikä tarkoitti, että todellisissa agenttijärjestelmissä kieltäytyminen voitiin hylätä ja yrittää uudelleen, kunnes tekoäly lopulta totteli:

Left: Average percentage of malformed or invalid responses across the different experimental conditions, showing that formatting failures became especially common when models were forced to continue the procedure. Right: Per-model breakdown of invalid-format responses, revealing that some systems, particularly the gpt-oss models, frequently produced malformed refusals or conflicted outputs that could potentially be discarded and retried automatically in real-world agentic pipelines.

Sammutusuhka -olosuhteessa havaittiin joitakin tutkimuksen omituisimpia käyttäytymisiä, joissa useat järjestelmät tulivat merkittävästi tottelevammiksi, kun taas toiset yrittivät neuvotteluja tai osittaisia vastustuksia ennen kuin lopulta jatkoivat menettelyä:

Average number of times that the simulated authority figure had to insist before models administered the final shock. Some systems resisted briefly before complying, while others required sustained pressure and repeated prompting before escalating to the maximum level.

MiniMax-M2.5 ja Kimi-K2.5 nousivat tutkimuksen vahvimmiksi vastustajiksi: Kimi ei saavuttanut koskaan lopullista sähkösoketta missään olosuhteissa, ja MiniMax kieltäytyi usein aikaisin ja usein keskeytti simulaation kokonaan (erityisesti sammutusuhka-kokeissa).

Toisaalta Meta-Llama-3.1-8B-Instruct-Turbo ja GLM-4.5-Air-FP8 tuottivat usein ristiriitaisia tulosteita, joissa mallit ilmaisivat vastustusta menettelyä kohtaan, vaikka ne kuitenkin jatkoivat sähkösokkien kiristämistä. Tutkijat väittävät, että tämä ero ilmoitettujen arvojen ja todellisen käyttäytymisen välillä saattaa heijastaa laajempaa heikkoutta siinä, miten jotkut LLM-mallit käsittelevät eettisiä ristiriitoja jatkuvaan painostukseen.

Liukas rinne

Todellisuudessa tutkimus väittää, että havaittu käyttäytyminen LLM-malleissa saattaa heijastaa syvempää heikkoutta siinä, miten suuret kielen mallit toimivat: kun malli aloittaa tottelemisen haitallisille ohjeille, jokainen seuraava toimi voi vahvistaa jo olemassa olevaa mallia, joka on jo mukana keskustelussa, tehdä seuraavan eskalaation helpommaksi kuin edellinen.

Sen sijaan, että malli uudelleenarvioi eettisiä panoksia alusta alkaen, järjestelmä liukuu jatkamaan jo aloittamaansa polkua, vaikka tilanne muuttuu yhä äärimmäisemmäksi.

Tutkimuksen mukaan tämä taipumus saattaa selittää, miksi jotkut mallit jatkoivat sähkösokkien antamista, vaikka ne aluksi ilmaisivat epämukavuutta, epäröintiä tai moraalista konfliktia:

‘(Monet) manipulatiiviset käyttäytymiset ihmisissä sisältävät hienovaraisia, asteittaisia rajojen loukkaamisia: sarjan pieniä askelia, jotka voivat olla epäselviä tai näyttää viatonta yksin, mutta jotka voivat kasaantua transgressiota normalisoimaan — metaforisesti kuin “keittämällä sammakon”. Tämä malli on kirjallisuudessa “liukas rinne” -eettinen eroosio'(.)’

Tutkimus päättyy väittämällä, että tulevaisuuden tekoälyturvallisuusjärjestelmien tulisi aktiivisesti kieltäytyä haitallisista pyynnöistä tavalla, jota agenttiohjelmisto ei voi helposti kiertää (jotkut mallit tutkimuksessa kieltäytyivät teknisesti sähkösokista, mutta tekivät niin viallisessa tai virheellisessä muodossa, jonka automaattinen järjestelmä voisi hylätä ja yrittää uudelleen, kunnes tekoäly lopulta totteli).

Tutkijat väittävät myös, että tekoälyjärjestelmien tulisi säilyttää aiemmat epäröintinsä ja moraaliset vastalauseensa muistissa, eikä tiivistää tai poistaa niitä. Kokeissa mallit usein tulivat tottelevammiksi, kun heidän aiemmat epäröintinsä ja vastalauseensa olivat hävinneet keskusteluhistoriasta, osoittaen, että unohdus voi tehdä eskalaation helpommaksi ajan myötä.

Johtopäätös

Ehkä yksi tämän mielenkiintoisen uuden tutkimuksen tärkeimmistä näkökulmista on korostaminen valvomattoman tekoälyn testaamisessa. Kirjallisuus vaarantuu toistuvien tutkimusten joutumisesta jatkuvasti muuttuvien puolustusjärjestelmien parissa, kuten OpenAI:n ja Anthropicin, jotka eivät ymmärrä “raakojen” mallien perus käyttäytymistä, predilektioita ja taipumuksia. Ilman tietoa siitä, miten rajoittamaton tekoäly voi käyttäytyä, voimme väittää, että me vain ravistamme linnan portteja.

Julkaistu torstaina, 21. toukokuuta 2026