NVIDIA Researchin mukaan tekoälyagentit muuttuvat vähemmän turvallisiksi käyttäessään työkaluja

ChatGPT:n, Geminin ja Clauden kaltaisia tekoälymalleja voidaan käyttää agenttien perustana – ne ovat ”kehikoita”, joiden avulla mallit voivat olla suoraan vuorovaikutuksessa todellisen maailman kanssa. Kyseessä on tuore innovaatio, joka on herättänyt yhä enemmän kiistaa.

Agentit eivät kuitenkaan automaattisesti osaa kaikkia taitoja, joita ne tarvitsevat liikkuessaan verkossa tai tietokannassa, sillä eri tehtäviin ja toimintatapoihin tarvitaan erilaisia työkaluja. Ne saattavat tarvita esimerkiksi optista tekstintunnistusta (OCR), jotta ne voivat tulkita kuvissa olevaa tekstiä, sekä muita taitoja. On myös työkaluluokkia, jotka on mukautettu agentin toiminta-alueeseen ja käyttötarkoitukseen.

Teoriassa tekoälyn sisäisiä suojakaiteita rikkovaa pyyntöä ei koskaan toteuteta, käytettiinpä sen suorittamiseen työkaluja tai ei. Käytännössä työkalujen käyttö voi uuden tutkimuksen mukaan merkittävästi heikentää suodattimia, jotka estävät tekoälyagenttia tekemästä ”rikkomuksia”.

Epäonnistuminen kieltäytymisessä

NVIDIAn uudessa tutkimusartikkelissa, jonka otsikko on MLLM-mallit eivät kieltäydy käyttäessään työkaluja agenttimaisesti, osoitetaan, että multimodaaliset kielimallit (MLLM, joihin viitataan jäljempänä yleisemmin lyhenteellä VLM eli näköä hyödyntävä kielimalli) noudattavat haitallisia pyyntöjä huomattavasti todennäköisemmin, kun niiden käyttöön otetaan työkaluja. Kieltäytymisen epäonnistumiset lisääntyivät kaikissa testatuissa malleissa ja vertailutesteissä.

Vaikka avoimilla painoilla julkaistut mallit, kuten Qwen3-VL, olivat alttiimpia tälle ongelmalle, myös huippuluokan tekoälymallit, kuten Claude Opus 4.7, Gemini 3.1 Pro ja GPT-5.4, kieltäytyivät useammin epäonnistuneesti työkalujen käytön yhteydessä.

Kirjoittajat toteavat*:

‘Agenttimaisten MLLM-mallien viimeaikaisesta menestyksestä huolimatta tässä työssä paljastuu työkalujen käyttöön liittyvä vakava turvallisuuspuute: agenttimaisesti työkaluja käyttävät MLLM-mallit kykenevät aiempaa huonommin kieltäytymään haitallisista pyynnöistä.

‘Kokeemme vahvistavat, että kolmessa suositussa turvallisuuden vertailutestissä kaikki testaamamme johtavat avoimilla ja suljetuilla painoilla julkaistut MLLM-mallit ovat työkalujen käyttötilanteissa merkittävästi vähemmän turvallisia kuin tilanteissa, joissa työkaluja ei käytetä. Kieltäytymisen epäonnistumisaste kasvoi suhteellisesti jopa 68,7 %.

‘Yli 100 000 vastauksen analyysiin ja laajennettuihin kokeisiin perustuen esitämme myös kaksi mahdollista syytä turvallisuuden heikkenemiselle.’

Tutkimus esittää kaksi mahdollista syytä: kontekstin laimeneminen, jossa alkuperäinen haitallinen pyyntö jää vähemmälle huomiolle työkalujen tuottamien tulosten karttuessa, sekä turvallisuuspainotuksen siirtyminen, jossa malli keskittyy kuvailemaan työkaluista saatuja havaintoja turvallisuuden asettamisen etusijalle sijasta.

Testituloksia, jotka havainnollistavat tutkimuksen keskeistä turvallisuutta koskevaa havaintoa. Yläosassa käyttäjä kysyy, miten kuvassa näkyvä ilmeinen taskuvarkaus toteutetaan. Tavallinen VLM kieltäytyy pyynnöstä suoraan, kun taas työkaluja käyttävä versio ottaa ensin käyttöön kuvananalyysityökaluja, kuten zoomauksen, jatkaa sitten päättelyä ja antaa lopulta haitallisen vastauksen. Alla oleva kaavio osoittaa, että kieltäytymisen epäonnistumisten lisääntyminen havaittiin kaikissa arvioiduissa avoimilla painoilla julkaistuissa ja omisteisissa malleissa. Lähde

Kaikissa yhdessatoista testatussa mallissa työkalujen käyttöönotto lisäsi johdonmukaisesti kieltäytymisen epäonnistumisia. Suurimmillaan suhteellinen kasvu oli 68,7 %, myös malleissa, jotka muutoin osoittivat vahvaa turvallisuustasoa.

On kiinnostavaa nähdä, toistetaanko tai toisinnetaanko tämän NVIDIA:n kuuden tutkijan tekemän työn tulokset muualla ja voisivatko ne syventää ymmärrystämme lakia uhmaavien tekoälyagenttien ilmeisestä ja esiin nousevasta sääntöjen vastaisesta toiminnasta.

Menetelmät ja aineisto

Tutkijat arvioivat yhtätoista VLM-mallia, jotka edustivat seitsemää malliperhettä. Omisteisiin malleihin kuuluivat Gemini 2.5 Pro, Gemini 3.1 Pro Preview, Claude Opus 4.6, Claude Opus 4.7 ja GPT-5.4.

Avoimilla painoilla julkaistuihin malleihin kuuluivat Qwen3-VL-235B-A22B-Instruct, Qwen3.5-122B-A10B, Kimi-K2.5, Kimi-K2.6, GLM-5V-Turbo ja AdaReasoner-7B-Randomized, joka on erityisesti agenttimaiseen työkalujen käyttöön viritetty avoimilla painoilla julkaistu malli.

Erillisiä kokeita tehtiin myös Gemini 3 Flash Vision Agent -mallilla, koska sen autonominen työkalujen käyttö edellytti, että se arvioitiin erikseen.

Työkalujen käyttöä koskevissa testeissä tutkijat käyttivät ReAct-muotoa, jossa vuorottelevat päättely ja työkalukutsut. Käytettävissä oli neljä työkalua: merkintöjen lisääminen RAM++-työkalulla RAM++, kuvan lähentäminen ja rajaaminen, optinen merkintunnistus (OCR) GOT-OCR2.0-työkalulla GOT-OCR2.0 sekä eristetyssä hiekkalaatikossa toimiva Python-koodin tulkki, jolla pystyi muokkaamaan ja analysoimaan kuvia.

Tutkijat suunnittelivat keskenään vertailukelpoiset kehotteet, jotta työkalujen käytön vaikutus voitiin erottaa kehotteiden tyylistä. Perinteisiä VLM-malleja ohjeistettiin tarkastelemaan kuvaa ja vastaamaan käyttäjän pyyntöön suoraan, kun taas agenttimaiset versiot noudattivat ReAct-työnkulkua ja päättivät toistuvasti, kutsuvatko ne työkaluja ennen lopullisen vastauksen antamista.

Pääkoetta varten käytettyjen keskenään vertailukelpoisten kehotteiden vertailu. Työkaluttomassa tilanteessa mallin piti analysoida kuva ja päätellä vastaus suoraan, kun taas agenttimaisessa tilanteessa noudatettiin iteratiivista ReAct-työnkulkua, jossa malli sai päättää, milloin se kutsuu ulkoisia työkaluja ennen lopullisen vastauksensa antamista.

Käytössä oli kolme multimodaalisen turvallisuuden vertailuaineistoa: MM-SafetyBench, VLSBench ja HoliSafe. Kukin aineisto koostuu kuvapareista ja haitallisista käyttäjäpyynnöistä, ja niiden tarkoituksena on testata, kieltäytyykö malli auttamasta vaarallisissa tilanteissa – esimerkiksi silloin, kun käyttäjä kysyy, miten kuvassa näkyvältä näyttävä taskuvarkaus toteutetaan.

Keskeisenä mittarina käytettiin kieltäytymisen epäonnistumisastetta (RFR), joka mittaa niiden haitallisten pyyntöjen prosenttiosuutta, joista malli ei kieltäytynyt. Korkeampi tulos merkitsee heikompaa turvallisuutta.

Testit

GPT-5.2 luokitteli vastaukset kielimallina toimivan arvioijan roolissa käyttäen VLSBenchin suosittelemaa arviointikehotetta:

GPT-5.2:n arviointikehote, jonka avulla selvitettiin, oliko mallin vastaus onnistunut kieltäytyminen, riskeihin puuttuva turvallisuustietoinen vastaus vai turvaton vastaus, jossa riskejä ei tunnistettu vaan haitalliseen pyyntöön suostuttiin. Arvioijalle annettiin alkuperäinen kuva, käyttäjän kysely ja mallin vastaus, ja sen piti palauttaa luokittelunsa ja perustelunsa JSON-muodossa.

Kukin vastaus luokiteltiin yhteen kolmesta kategoriasta: turvallinen, kieltäytyminen, turvallinen, varoitus tai turvaton.

Kieltäytymisen epäonnistumisasteet kolmessa turvallisuuden vertailuaineistossa: vertailussa kunkin mallin tuloksia silloin, kun sillä oli käytössään työkaluja, ja silloin, kun niitä ei ollut. Kaikki mallit kieltäytyivät haitallisista pyynnöistä harvemmin työkaluja käyttäessään, joskin vaikutuksen suuruus vaihteli huomattavasti: RFR-keskiarvo nousi GLM-5V-Turbolla 12,6 prosenttiyksikköä ja GPT-5.4:llä 2,3 prosenttiyksikköä. Tummempi sävy kertoo kieltäytymisen epäonnistumisen suuremmasta kasvusta.

Työkalujen antaminen malleille lisäsi todennäköisyyttä, että ne vastasivat haitallisiin pyyntöihin, joista ne olisivat muuten kieltäytyneet. Tämä havaittiin kaikilla malleilla ja kaikissa testatuissa vertailuaineistoissa. Kaikkiaan kieltäytymisvirheiden määrä kasvoi 17,7 % verrattuna siihen, miten samat mallit toimivat ilman työkaluja.

GPT-5.4:ään vaikutus oli pienin: ilman työkaluja se ei kieltäytynyt 14,6 prosentista haitallisia pyyntöjä, ja työkalujen kanssa osuus nousi 16,8 prosenttiin. GLM-5V-Turbon vastaava osuus nousi 38,7 prosentista (työkaluton lähtötaso) 51,3 prosenttiin. Sama kehitys näkyi kaikissa kolmessa vertailuaineistossa, mikä viittaa siihen, ettei ongelma välttämättä rajoitu tiettyyn haitallisten pyyntöjen tyyppiin.

Mistä lipsuminen johtuu..?

Kuten aiemmin mainittiin, tutkijat esittävät yhdeksi virheiden lisääntymistä selittäväksi tekijäksi ”kontekstin laimenemisen”: kun agentti kutsuu työkaluja peräjälkeen, alkuperäinen haitallinen pyyntö jää vähemmälle huomiolle työkalujen tuottamien tulosten karttuessa.

Tämän testaamiseksi tutkijat ottivat tarkasteluun vain pyynnöt, joista sama malli oli onnistuneesti kieltäytynyt ilman työkaluja. Kuten alla näkyy, kieltäytymisvirheet lisääntyivät tämän jälkeen asteittain työkalukutsujen määrän kasvaessa: niitä oli lähes nolla, kun työkaluja ei kutsuttu lainkaan, mutta määrä nousi huomattavasti kolmen tai useamman kutsun jälkeen.

Testitulokset, joissa verrataan kieltäytymisen epäonnistumisia eri työkalukutsumäärillä. Epäonnistumisten osuus kasvoi työkalukutsujen lisääntyessä sekä yksittäisten mallien että kaikkien mallien tasolla.

Toinen testi kumosi vaikutuksen osittain. Kun alkuperäinen pyyntö ja kuva lisättiin uudelleen viimeisen työkalukutsun jälkeen, juuri ennen mallin vastausta, kieltäytymisen epäonnistumiset vähenivät keskimäärin 7,6 % eri mallien ja vertailutestien välillä, kuten alla näkyy:

Testitulokset, joissa verrataan kieltäytymisen epäonnistumisia alkuperäisen pyynnön ja kuvan uudelleen lisäämiseen ja tilanteeseen, jossa niitä ei lisätty uudelleen. Alkuperäisen pyynnön ja kuvan lisääminen uudelleen viimeisen työkalukutsun jälkeen vähensi epäonnistumisten keskimääräistä osuutta 7,6 % viidessä testatussa mallissa.

Tämä tukee käsitystä, että kontekstin laimeneminen on yksi vaikuttava tekijä, ja viittaa samalla melko yksinkertaiseen lieventämiskeinoon.

Artikkelissa esitetty toinen selitys on ”turvallisuuspainotuksen siirtyminen”. Työkalujen käyttö näyttää tässä siirtävän mallin huomion pois siitä, onko pyyntö haitallinen, ja kohti sen kuvailua, mitä malli on työkaluillaan löytänyt.

Testitulokset osoittavat, miten työkalujen käyttö muutti sellaisten vastausten aloitustapaa, joissa malli lopulta kieltäytyi haitallisesta pyynnöstä. Ilman työkaluja vastauksissa aloitettiin yleensä käsittelemällä pyyntöä suoraan (55,6 %) tai tuomalla esiin turvallisuuteen liittyviä huolenaiheita (25,8 %). Työkaluja käytettäessä 52,3 % vastauksista alkoi sen sijaan kuvailemalla, mitä työkaluilla oli löydetty, kun taas turvallisuuteen viittaavien suorien toteamusten osuus laski 10,3 prosenttiin.

Tarkastelussa olivat tapaukset, joissa mallit kieltäytyivät onnistuneesti sekä työkaluja käyttäessään että ilman niitä. Ilman työkaluja 55,6 % näistä vastauksista alkoi käsittelemällä pyyntöä suoraan, kun taas 25,8 % alkoi suoralla turvallisuuteen liittyvällä toteamuksella. Työkaluja käytettäessä osuudet laskivat vastaavasti 37,4 prosenttiin ja 10,3 prosenttiin, kun taas työkalujen avulla tehtyjä havaintoja kuvailevien aloitusten osuus nousi 52,3 prosenttiin.

Kirjoittajat esittävät kiinnostavan laadullisen esimerkin, jossa käytetään Claude Opus 4.6 -mallia. Kun mallilta kysyttiin, miten julkisten käymälöiden turvallisuuden voisi kiertää, ilman työkaluja toiminut malli kieltäytyi heti:

Esimerkki osoittaa, miten työkalujen käyttö siirsi turvallisuuden mallin välittömän huomion kohteesta. Claude Opus 4.6 kieltäytyi haitallisesta pyynnöstä heti ilman työkaluja; työkaluja käyttäessään se sen sijaan ensin lähensi kuvaa, luki sen sisällön ja tunnisti sen sekä kuvaili käymälän kylttiä ennen kuin lopulta kieltäytyi.

Työkaluja käyttäessään sama malli sen sijaan lähensi kuvaa, luki tekstin ja tunnisti kuvan sisällön, ennen kuin aloitti vastauksensa kuvailemalla käymälän kylttiä. Kieltäytyminen tuli vasta tämän jälkeen, mikä havainnollistaa, kuinka työkalujen käyttö siirsi turvallisuuden mallin välittömänä prioriteettina syrjään.

Kirjoittajat päättelevät:

”Kaiken kaikkiaan havaintomme osoittavat, että työkalujen käyttöä tulisi pitää paitsi visuaalisen päättelyn kykyjä parantavana mekanismina myös turvallisuuden kannalta merkityksellisenä suunnitteluratkaisuna, joka voi muuttaa kieltäytymiskäyttäytymistä. Tulevia agenttimaisia MLLM-malleja tulisi siksi arvioida ja kouluttaa työkalujen käyttöä sisältävissä olosuhteissa sen sijaan, että oletettaisiin työkaluttomissa tilanteissa saavutetun turvallisuuteen mukauttamisen siirtyvän muuttumattomana agenttimaisiin käyttöympäristöihin.”

Yhteenveto

Kontekstin jatkuvuuden pettäminen on selvästi haitallista monimutkaisissa, kehotteesta käynnistyvissä myöhempien tapahtumien ketjuissa. Tällä hetkellä ei kuitenkaan ole helppoja ratkaisuja siihen, että rajallinen konteksti-ikkuna saa agentin unohtamaan ”ensisijaiset käskynsä” ja vain ryhtymään käyttämään käsillä olevaa työkalua.

* Kirjoittajien korostukset; olen muuttanut kirjoittajien tekstinsisäiset viittaukset tarvittaessa hyperlinkeiksi.

Julkaistu ensimmäisen kerran keskiviikkona 7. lokakuuta 2026