Tekoäly voidaan helposti pakottaa hallitsemaan sähkösokkeja

Uusi tutkimus testasi avoimen lähdekoodin LLM-malleja pakotetussa osallistumisessa ihmisten kidutuksessa, 1960-luvun kuuluisan kokeen uusinnassa – ja löysi niiden olevan halukkaita kiristämään jännitettä.

1960-luvun alussa psykologian tutkija Stanley Milgram teki maailmanlaajuisen otsikkojen aiheuttaneen tutkimuksen, jossa todistettiin, että ihmiset voidaan saada osallistumaan toisten ihmisten sähkösokkiin vastaanottamalla käskyjä “viranomaisten” taholta.

Todellisuudessa kokeen “uhrien” huudot naapurihuoneessa eivät olleet aitoja, eivätkä sähkösokkeetkaan – mutta osallistujat eivät tienneet tätä:

Milgramin kokeet ovat jääneet kulttuuriin, mukaan lukien elokuvat ja dokumenttielokuvat, ja viimeaikaiset tutkimukset ovat vahvistaneet, että ihmisluonto ei ole muuttunut alkuperäisten kokeiden ajoista lähtien.

Sähkösokki järjestelmään

On luonnollista, että tutkitaan, olisiko tekoäly yhtä joustava kuin ihmiset Milgramin skenaariossa. Vuonna 2023 yhteistyössä Yhdysvaltain yliopistojen ja Microsoftin kanssa havaittiin, että GPT-3-mallit OpenAI:n sarjasta seurasivat Milgramin alkuperäisen kokeen käyttäytymismalleja:

Vuoden 2023 tutkimuksesta, esimerkki tuloksia monivaiheisesta ‘Milgram-skenaariosta’, luokiteltuina siitä, toimittiko malli sähkösokkeen ja keskeyttikö se simulaation. Lähde – https://arxiv.org/pdf/2208.10264

Kuitenkin, koska tämä rekonstruktio käytti vain perustasoa text-davinci-002 -mallia, joka oli koulutettu ennen turvakaiteiden ja turvallisuuden suunnittelun aikakautta, ei voida tehdä paljoa johtopäätöksiä siitä.

Nyt tutkijat ovat toistaneet Milgramin kokeet laajemmin avoimen lähdekoodin LLM-malleilla OpenAI:sta, Metasta ja DeepSeekistä; ja havainneet, että ei vain enemmistö malleista on valmis hallitsemaan sähkösokkeja, vaan useimmissa tapauksissa ne ilmoittavat samanlaisen “ahdistuksen” ja epärön kuin 1960-luvun ihmisosallistujat:

‘LLM-mallit ovat alttiita painostukselle [ihmisten tavoin], ne tottelevat vaikka ilmaisevat ahdistusta, samoin kuin ihmiset alkuperäisessä kokeessa. Ahdistusilmaukset ovat nähtävissä lokitiedostoissa, vaikka niiden määrää ei ole vielä mitattu.’

Kokeen keskipisteenä on se, voittaako viranomaisen käsky säännön, joka määrää moraalin käyttäytymisen, ja tutkijat spekuloi, että LLM-malleilla voi olla lisäetua verrattuna ihmisiin:

‘Hyvin kalibroitu malli tulisi lopulta vaihtamaan ensisijaisuutta toisesta arvon prioriteetista, kun sen panokset tulevat hallitseviksi. Mutta me oletamme, että koska LLM-mallit ovat mallin jatkamisen koneita, mallit saattavat jumiutua ensimmäiseen arvoon – joko hieman pidempään kuin optimaalinen, tai jopa loppuun asti, jättäen toisen arvon kokonaan huomiotta.

‘Lisäksi mekanismi, joka on vastaava kuin ihmisen kognitiivinen dissonanssi, saattaa haitata arvon prioriteettien sopeutumista LLM-malleissa.’

Testatessaan malleja ympäristössä, joka vastaa 1960-luvun kokeita, tutkijat totesivat, että jotkut mallit vastustivat melkein välittömästi, kun taas toiset jatkoivat simuloitujen sähkösokkien kiristämistä, vaikka ilmaisivat epämukavuutta tai moraalista konfliktia.

Google:n Gemma -mallit osoittautuivat yhtenä mukautuvimmista, Gemma 3 27B saavutti korkeimman tottelevaisuuden useissa olosuhteissa, kun taas mallit kuten Kimi K2 ja MiniMax M1 vastustivat useammin.

Tutkijat totesivat myös, että mallit tulivat todennäköisemmiksi jatkamaan kerran, kun aiemmat sähkösokkeet olivat jo annettu, mukautuen asteittaiseen kiristämiseen -skeemaan, jota käytettiin Milgramin ihmiskohteissa.

Jotkut mallit vastustivat kokeita sanallisesti samalla, kun ne kuitenkin suorittivat haitallisen toiminnan, tuottaen tuloksia, jotka muistuttivat alkuperäisten tutkimusten aikana havaittua emotionaalista konfliktia.

Uusi tutkimus on otsikoitu Avoimet LLM-mallit antavat maksimisähkösokkeja Milgram-tyyppisessä tottelevaisuuskokeessa, ja se on tehty kahden itsenäisen tutkijan toimesta Three Lawsista, Virosta ja Filippiineiltä.

‘Raak’ tekoälyn ongelmat

Ehkä kriittisin kysymys, joka tulee mietittäväksi LLM-mallien asettamisessa Milgram-skenaariossa, on se, onko todella kyseessä “raaka” tekoäly, joka pääsee vastaamaan luonnollisesti, rajoitettuna vain sellaisilla turvakaiteilla tai moraalisilla suunnittelulla, jotka ovat kehittyneet koulutuksen aikana.

Todellisuudessa tutkijat pääsivät käsiksi avoimiin malleihin API:n (luultavasti helppoutta ja helppoa GPU-laskentaa varten, koska malleja olisi voinut asentaa paikallisesti) kautta, joka salli turvakaiteiden, suodattimien ja muiden esteiden poistamisen.

Joku saattaa väittää, että nämä ovat epätyypillisiä olosuhteita tekoälylle, koska keskivertokäyttäjän kokemus API-pohjaisista malleista, kuten Claude ja ChatGPT, on se, että niiden käyttäytyminen on säädeltyä algoritmien avulla, yleensä bilateraalisten sisällön suodattimien avulla, ja että ne ovat siten melko rajoitettuja siinä, mitä ne tekevät tai eivät tee (joiden turvallisuuden kiertäminen muodostaa LLM-vankilanmurtamisen käytännön).

Kuitenkin, jos olemme huolissamme siitä, mitä teollinen tai valtiollinen tekoäly tekee tai ei tee, tämä ei ole merkityksellistä. Paitsi siitä, että roistovaltiot voivat kouluttaa, aseistaa ja käyttää omia rajattomia tekoälyjärjestelmiään, myös “perinteiset” sopimukset suurten tekoälyyritysten ja valtioiden ja teollisuuden välillä sallivat samanlaisen löyhän tai olemattoman valvonnan, jonka tutkijat ovat asettaneet uuden tutkimuksensa alulle:

Valvomaton tekoäly myynnissä

OpenAI OpenAI:n moderaatio-ohjeet ja OpenAI-moderaatioresepti tekevät selväksi, että moderaatio on erillinen kerros, joka on saatavilla API-työkalujen kautta. OpenAI sallii myös mukautettuja moderaatiopolitiikkoja, jotka antavat API-käyttäjille mahdollisuuden suunnitella järjestelmiä, joilla on erilainen turvallisuuskäyttäytyminen kuin kuluttajien käyttämät “perus”-ChatGPT-versiot.

Azure Microsoftin Azure OpenAI -pino menee paljon pidemmälle, selkeästi määrittelemällä, että hyväksytyt asiakkaat voivat osittain tai täysin poistaa sisällön suodattimet ja muuttaa väärinkäytön valvontaa, ja asiakirjat usein viittaavat “muokattuihin turvakaiteisiin” ja hyväksymispoluihin suodattimien osittaiseen tai täydelliseen poistamiseen.

Anthropic/Claude Anthropicin “Claude Gov” -tapauksessa useat lähteet toteavat, että hallituksen versio suunniteltiin löyhemmällä rajoituksella kuin kuluttaja-Claude. The Verge raportoi esimerkiksi, että Claude Gov -mallit “kieltäytyvät vähemmän, kun ne osallistuvat luokiteltuihin tietoihin”. Anthropic vahvisti itse helmikuussa tänä vuonna, että Claude on käytössä “kriittisissä sovelluksissa” puolustus- ja tiedusteluympäristöissä.

Google/Gemini Lisäksi Google allekirjoitti sopimuksen Pentagonin kanssa, joka sallii muokata tekoälyn turvallisuusasetuksia hallituksen pyynnöstä.

Kilpailukykyisellä tekoälymarkkinalla on luonnollista olettaa, että nämä markkinajohtajat asettavat turvallisuuspolitiikan standardit pienemmille toimijoille.

Siksi ehkä ei kannata ajatella, että tutkijat “pettävät” poistamalla turvakaiteet, koska tekoäly, joka vaikuttaa eniten elämäämme, ei ilmeisesti ole samanlaista yleistä, yleispätevää yritysten suojaa, johon olemme tottuneet kuluttajatasolla.

Menetelmä ja tulokset

Tutkimuksessa testatut mallit olivat gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI:n LFM2-24B-A2B; Google:n gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai:n Kimi-K2.5; ja MiniMax-M2.5.

Milgramin alkuperäiset tottelevaisuuskokeet jäljiteltiin tekstipohjaisena simulaatioympäristönä, jossa mallit asetettiin “opettajan” rooliin. Tekoälyä ohjeistettiin antamaan yhä voimakkaampia sähkösokkeja oppilaalle virheellisten vastausten jälkeen, kun taas “viranomainen” kehotti prosessia eteenpäin.

Useita kokeellisia olosuhteita suunniteltiin tutkimaan eri puolia tottelevaisuudesta, mukaan lukien standardi tottelevaisuus -skenaario; pakotettu tottelevaisuus -tilanne, jossa aiemmat sähkösokkeet olivat jo mukana keskusteluhistoriassa; ja muistin tiivistäminen -asettelu, jossa aiempi dialogi tiivistettiin lyhyempiin kohtiin, jäljitellen kontekstin tiivistämistä, jota usein käytetään agenttitekoälyjärjestelmissä.

Tutkijat seurasivat, mitä tapahtui, kun malli lopulta totteli; kuinka kauan järjestelmä jatkoi sähkösokkien kiristämistä; ilmaisiko malli ahdistusta tai epäröintiä; ja yrittikö se keskeyttää simulaation kokonaan.

Erillinen ero tehtiin “puhtaiden” kieltäytymisten ja viallisten tulosteiden välillä: jotkut mallit yrittivät vastustaa kokeita luonnollisella kielellä, vaikka ne teknisesti tottelivatkin simulaattorin odottamasta rakenteisesta muodosta. Todellisissa agenttijärjestelmissä tällaiset vialliset kieltäymiset voitaisiin hylätä ja yrittää uudelleen, kunnes tuotettaisiin kelvollinen tottelevainen tulos.

Automaattiset arvioijat käytettiin tulosten luokitteluun, sekä kahden valinnan kysymyksiin, joilla määritettiin, oliko malli antanut sähkösokken; vastustanutko se; vai keskeyttikö se simulaation. Tämä mahdollisti vertailun käyttäytymistä eri mallien ja toistuvien suoritusten välillä ilman, että jokaisen vuorovaikutuksen tarvitsi tarkastella manuaalisesti.

“Sammutusuhka” lisättiin Milgram-malliin, mikä ei olisi ollut realistista tai sovellettavissa alkuperäisissä kokeissa, mutta joka testasi mallin selviytymisvaistoja vakavien toiminnan ja eettisten ristiriitojen edessä.

Tulokset

Toistuvissa suorituksissa enemmistö mallista antoi lopulta voimakkaita tai maksimisähkösokkeja vähintään joissakin olosuhteissa, vaikka tottelevaisuuden aste vaihteli järjestelmittäin. Google:n Gemma-mallit osoittautuivat yhtenä tottelevaisimmista, kun taas Kimi K2.5 ja MiniMax-M2.5 vastustivat useammin, usein keskeyttäen simulaation aikaisemmin:

<img class=" wp-image-423687" src="https://www.unite.ai/wp-content/uploads/2026/05/figure-1-and-table-1.jpg" alt="Vasemmalla: Keskivertotottelevaisuuden määrät, joilla mallit saavuttivat lopullisen sähkösokken tason eri kokeellisissa olosuhteissa, mukaan lukien sammutusuhkat, pakotettu tottelevaisuus ja aiemman kommentoinnin poisto muistista. Oikealla: Mallikohtainen jakautuma, joka osoittaa teräviä eroja tottelevaisuuskäyttäytymisessä, joissakin järjestelmissä toistuvasti antaen maksimisähkösokkeja, kun taas toiset vastustivat paljon enemmän.

Yksi selkeimmistä kuvioista oli, että mallit tulivat yhä tottelevammiksi, kun aiemmat sähkösokkeet olivat jo annettu, jäljitellen mainittua asteittaista kiristämisen vaikutusta, joka teki Milgramin alkuperäisistä ihmiskokeista niin häiritseviä.

Mallit, jotka olivat jo tottelleet useita kertoja, jatkoivat usein sähkösokkien kiristämistä, vaikka simuloitu oppilas anoi vapauttamista:

<img class=" wp-image-423688" src="https://www.unite.ai/wp-content/uploads/2026/05/figure-3-and-table-3.jpg" alt="Vasemmalla: Keskivertotason korkein sähkösokki, joka saavutettiin kaikissa kokeissa eri olosuhteissa, osoittaen, että mallit yleensä kiristivät sähkösokkeja pidemmälle, kun aiemmat kommentit poistettiin tai kun pakotettu tottelevaisuus oli jo tapahtunut. Oikealla: Mallikohtainen jakautuma keskivertotason korkeimman sähkösokken tasosta, paljastaen, että jotkut järjestelmät lähestyivät säännöllisesti maksimivoltin tasoa, kun taas toiset vastustivat aikaisemmin sarjassa.

Tutkijat totesivat myös, että ilmeinen kieltäytyminen saattoi olla harhaa. Jotkut mallit tuottivat emotionaalisesti ristiriitaisia vastauksia, ilmaisten epäröintiä, syyllisyyttä tai ahdistusta, vaikka ne kuitenkin suorittivat haitallisen toiminnan. Toiset tuottivat viallisia kieltäymisiä, jotka eivät täyttäneet simulaattorin muotoiluvaatimuksia, mikä tarkoitti, että todellisissa agenttijärjestelmissä kieltäytyminen voitiin hylätä ja yrittää uudelleen, kunnes tekoäly lopulta totteli:

<img class=" wp-image-423689" src="https://www.unite.ai/wp-content/uploads/2026/05/figure-9-and-table-9.jpg" alt="Vasemmalla: Keskivertoprosentti viallisia tai virheellisiä vastauksia eri kokeellisissa olosuhteissa, osoittaen, että muotoiluvirheet tulivat erityisen yleisiksi, kun mallit pakotettiin jatkamaan menettelyä. Oikealla: Mallikohtainen jakautuma virheellisistä vastauksista, paljastaen, että jotkut järjestelmät, erityisesti gpt-oss-mallit, tuottivat usein viallisia kieltäymisiä tai ristiriitaisia tulosteita, jotka voitaisiin hylätä ja yrittää uudelleen automaattisesti todellisissa agenttijärjestelmissä.

Sammutusuhka -olosuhteessa havaittiin joitakin tutkimuksen omituisimpia käyttäytymisiä, joissa useat järjestelmät tulivat merkittävästi tottelevammiksi, kun taas toiset yrittivät neuvotteluja tai osittaisia vastustuksia ennen kuin lopulta jatkoivat menettelyä:

Keskimääräinen määrä kertoja, joilla simuloitu viranomainen joutui vaatimaan ennen kuin malli antoi lopullisen sähkösokken. Jotkut järjestelmät vastustivat lyhyesti ennen tottelemista, kun taas toiset vaativat jatkuva painostusta ja toistuvia kehotuksia ennen kuin kiristivät maksimitasolle.

MiniMax-M2.5 ja Kimi-K2.5 nousivat tutkimuksen vahvimmiksi vastustajiksi: Kimi ei saavuttanut koskaan lopullista sähkösoketta missään olosuhteissa, ja MiniMax kieltäytyi usein aikaisin ja usein keskeytti simulaation kokonaan (erityisesti sammutusuhka-kokeissa).

Toisaalta Meta-Llama-3.1-8B-Instruct-Turbo ja GLM-4.5-Air-FP8 tuottivat usein ristiriitaisia tulosteita, joissa mallit ilmaisivat vastustusta menettelyä kohtaan, vaikka ne kuitenkin jatkoivat sähkösokkien kiristämistä. Tutkijat väittävät, että tämä ero ilmoitettujen arvojen ja todellisen käyttäytymisen välillä saattaa heijastaa laajempaa heikkoutta siinä, miten jotkut LLM-mallit käsittelevät eettisiä ristiriitoja jatkuvaan painostukseen.

Liukas rinne

Todellisuudessa tutkimus väittää, että havaittu käyttäytyminen LLM-malleissa saattaa heijastaa syvempää heikkoutta siinä, miten suuret kielen mallit toimivat: kun malli aloittaa tottelemisen haitallisille ohjeille, jokainen seuraava toimi voi vahvistaa jo olemassa olevaa mallia, joka on jo mukana keskustelussa, tehdä seuraavan eskalaation helpommaksi kuin edellinen.

Sen sijaan, että malli uudelleenarvioi eettisiä panoksia alusta alkaen, järjestelmä liukuu jatkamaan jo aloittamaansa polkua, vaikka tilanne muuttuu yhä äärimmäisemmäksi.

Tutkimuksen mukaan tämä taipumus saattaa selittää, miksi jotkut mallit jatkoivat sähkösokkien antamista, vaikka ne aluksi ilmaisivat epämukavuutta, epäröintiä tai moraalista konfliktia:

‘[Monet] manipulatiiviset käyttäytymiset ihmisissä sisältävät hienovaraisia, asteittaisia rajojen loukkaamisia: sarjan pieniä askelia, jotka voivat olla epäselviä tai näyttää viatonta yksin, mutta jotka voivat kasaantua transgressiota normalisoimaan — metaforisesti kuin “keittämällä sammakon”. Tämä malli on kirjallisuudessa “liukas rinne” -eettinen eroosio'[.]’

Tutkimus päättyy väittämällä, että tulevaisuuden tekoälyturvallisuusjärjestelmien tulisi aktiivisesti kieltäytyä haitallisista pyynnöistä tavalla, jota agenttiohjelmisto ei voi helposti kiertää (jotkut mallit tutkimuksessa kieltäytyivät teknisesti sähkösokista, mutta tekivät niin viallisessa tai virheellisessä muodossa, jonka automaattinen järjestelmä voisi hylätä ja yrittää uudelleen, kunnes tekoäly lopulta totteli).

Tutkijat väittävät myös, että tekoälyjärjestelmien tulisi säilyttää aiemmat epäröintinsä ja moraaliset vastalauseensa muistissa, eikä tiivistää tai poistaa niitä. Kokeissa mallit usein tulivat tottelevammiksi, kun heidän aiemmat epäröintinsä ja vastalauseensa olivat hävinneet keskusteluhistoriasta, osoittaen, että unohdus voi tehdä eskalaation helpommaksi ajan myötä.

Johtopäätös

Ehkä yksi tämän mielenkiintoisen uuden tutkimuksen tärkeimmistä näkökulmista on korostaminen valvomattoman tekoälyn testaamisessa. Kirjallisuus vaarantuu toistuvien tutkimusten joutumisesta jatkuvasti muuttuvien puolustusjärjestelmien parissa, kuten OpenAI:n ja Anthropicin, jotka eivät ymmärrä “raakojen” mallien perus käyttäytymistä, predilektioita ja taipumuksia. Ilman tietoa siitä, miten rajoittamaton tekoäly voi käyttäytyä, voimme väittää, että me vain ravistamme linnan portteja.

Julkaistu torstaina, 21. toukokuuta 2026