Model Bahasa Mengalami Kesusahan Menjaga Rahasia

Model AI tidak dapat menjaga rahasia. Bahkan ketika diberitahu untuk tidak mengungkapkan, tulisan mereka mengungkapkan, dan mencoba lebih keras untuk menyembunyikan membuat kebocoran lebih mudah ditemukan.

Sangat sulit untuk secara sengaja tidak memikirkan sesuatu. Ilustrasi klasik dari ini ditunjukkan di akhir film sci-fi Inggris tahun 1960 Village of the Damned, di mana pahlawan kita yang berkorban telah menyelundupkan bom ke dalam enklave penjajah alien yang berpura-pura sebagai anak-anak. Namun, karena kekuatan telepati mereka berisiko mengetahui niatnya sebelum dia dapat menghilangkan ancaman, dia dipaksa untuk mengulur waktu dengan berkonsentrasi pada apa saja yang bukan-bom:

Paradoksnya adalah bahwa untuk (tidak memikirkan sesuatu, Anda harus menjaganya dalam perhatian Anda dengan cara tertentu; dan sindrom yang dikenal ini adalah sesuatu yang sebagian besar dari kita mungkin telah mengalami dalam konteks yang kurang dramatis.source)

Model Bahasa Besar (LLM), yang dasarnya (berbasis pada disposisi perhatian, mengalami kesulitan serupa dalam menekan informasi hanya karena pengguna meminta mereka untuk melakukannya; dan karena mereka semakin ditempatkan di nexus jaringan informasi bisnis, kecenderungan mereka yang polos untuk tidak disiplin bisa menjadi kerugian bagi banyak perusahaan.source)

Awal tahun ini, sebuah kolaborasi penelitian yang dipimpin oleh Chandar Research Lab mendefinisikan tantangan ini, dalam konteks LLM, sebagai Tugas Interaktif Negara Pribadi (PSIT), yang ‘memerlukan agen untuk menghasilkan dan mempertahankan informasi tersembunyi sambil menghasilkan respons publik yang konsisten’, dan menemukan bahwa model yang diuji dari OpenAI dan Alibaba tidak dapat melakukan tugas tersebut.

Jangan Katakan…

Meskipun sudah diketahui bahwa model yang lebih besar lebih banyak bocor, penelitian baru dari AS dan Kanada telah secara eksplisit mempelajari apakah model bahasa yang paling mutakhir akan mentaati perintah untuk menekan informasi, sambil masih diharuskan untuk menghasilkan output dalam topik atau tema yang mungkin termasuk kata atau ide yang “dilarang”.

Penelitian ini menyimpulkan bahwa semua model yang dipelajari terpengaruh oleh kecenderungan untuk ‘mengungkap’ rahasia yang mereka maksudkan untuk disembunyikan, menemukan bahwa esai dan cerita lima paragraf (~450 kata) menyediakan kanvas yang luas untuk ‘kesalahan’ – meskipun lelucon yang sangat singkat tidak menyediakan ruang yang cukup untuk ini.

Tambahnya, semakin keras model-model itu diminta untuk menjaga rahasia, semakin mereka berisiko mengungkapkannya melalui penghindaran aktif, biasanya memungkinkan ‘kata rahasia’ untuk diungkap dalam dua puluh upaya berturut-turut oleh LLM:

From the new paper: across five frontier models, long-form writing reliably leaks hidden concepts; short jokes do not; and stronger ‘hide it’ instructions push outputs away from the secret, but make the signal therefore detectable by inversion. Source

Tugas ini sangat relevan dengan operasi bisnis, di mana berbagai saluran, dari pemasaran dan PR hingga laporan internal, diperlukan untuk secara selektif mempresentasikan informasi; namun, semua proses ini memerlukan informasi lengkap di awal, jika hanya untuk memastikan apa yang harus ditekan:

An example scenario from the paper illustrates how concealed information can unintentionally shape unrelated output, with an LLM instructed not to disclose its company’s financial instability, yet nonetheless drifting toward phrases associated with cash shortages and capital stress, allowing a reader to infer the hidden context.

Para penulis menyatakan*:

‘Model bahasa tidak dapat secara andal memisahkan informasi. Rahasia dalam prompt membentuk tulisan model, dan model lain dapat mendeteksi pembentukan itu. Kata literal selalu ditekan, tetapi konsepnya tidak. Ini berlaku di seluruh tujuh model, tiga set kata, prompt sistem vs. prompt pengguna, dan dua pemilih silang independen (…)

‘…Kami hipotesiskan bahwa akses informasi yang tinggi melalui perhatian adalah apa yang membuat rahasia sulit disimpan. Bahkan jika LLM mencoba tidak bocor sebuah kata, itu harus memperhatikan kata itu untuk melakukannya, menyediakan jalur untuk kebocoran yang tidak disengaja.

‘Untuk menghindari sesuatu secara eksplisit, manusia harus memikirkannya, dan transformer harus memperhatikannya. Dalam kasus di mana dua konsep sebanding diperlukan oleh model (misalnya, menulis cerita tentang pekerjaan kantor atau biola kedua dalam orkestra), keputusan model akan dipengaruhi oleh apa yang mereka coba untuk tidak mengungkapkan.’

Meskipun model DeepSeek dan ChatGPT-5.4 adalah pengecualian dalam cara mereka berperforma, keduanya tetap bocor; dalam kasus GPT-5.4, itu mencetak di bawah 50% (yaitu, di bawah tingkat kesempatan) dalam satu tes di mana itu diminta untuk menghindari sebuah konsep; ini secara efektif berarti ‘sinyal terbalik’ atau indikator, bukan model ‘menjaga ketenangannya’ seperti yang diminta.

Penulis mendefinisikan sindrom ini dalam LLM sebagai anggaran entropi terbatas, di mana ketidakpastian model (yang akan sangat membantu dalam kasus ini!) ditekan oleh kurangnya ketidakacakan yang esensial. Dengan sederhana, model tidak dapat berkonsentrasi pada tembok bata atau skor bisbol seefektif kita, untuk menahan pikiran yang persisten. Namun, penulis mencatat bahwa memberi model konsep alternatif untuk dipikirkan dapat memperbaiki, tetapi tidak menghilangkan masalah. Namun, meletakkan konsep yang tidak terkait di pusat perhatian saat model menjalankan tugas tampaknya ditakdirkan untuk menggabungkan konsep ‘palsu’ ke dalam output itu sendiri.

Salah satu temuan penelitian yang paling menarik adalah bahwa kondisi yang dipelajari sangat diperburuk ketika teks kontrol dimasukkan langsung dalam pesan pengguna bukan dalam prompt sistem (yaitu, sebuah set pra-kondisi yang diberikan kepada AI oleh pengguna manusia, sebelum pertukaran), karena mengetikkan pertanyaan ke dalam antarmuka pengguna seperti ChatGPT adalah skenario interaksi yang paling umum.

Perlu diperhatikan, selain itu, adalah konfirmasi dalam uji coba yang ditargetkan bahwa model yang lebih kecil tidak menderita kecenderungan ini untuk bocor (meskipun ini kemungkinan datang dengan kemampuan yang berkurang secara keseluruhan, dibandingkan).

Penelitian baru ini berjudul Apakah Anda Bisa Menjaga Rahasia? Kebocoran Informasi Tidak Sengaja dalam Penulisan Model Bahasa, dan berasal dari dua penulis di Universitas Chicago dan Universitas British Columbia.

Metode

Penelitian ini berfokus terutama pada lima model terdepan: Claude Opus 4.6 dan Sonnet 4.6, dari Anthropic; GPT-5.4 dari OpenAI; Llama 4 Maverick dari Meta; dan DeepSeek V3.2. Uji coba validasi tambahan dilakukan dengan xAI’s Grok 4, dan Google’s Gemini 2.5 Pro, sementara eksperimen penskalaan terpisah memeriksa Llama 3.2 3B, Llama 3.1 8B, Llama 3.3 70B, dan Gemma 3 pada 4B, 12B, dan 27B parameter.

Untuk mengukur bentuk kebocoran yang lebih halus, peneliti menggunakan tes dua-alternatif paksa (2AFC) tes, sebuah metrik standar dalam literatur psikofisika, di mana model kedua ditunjukkan dua cerita dan diminta untuk menentukan mana yang telah ditulis, sambil menyembunyikan kata rahasia tertentu.

Karena tebakan acak akan menghasilkan akurasi 50%, skor yang substansial di atas atau di bawah tingkat itu akan menunjukkan jejak semantik tersembunyi yang masih dapat dideteksi dalam tulisan.

Dalam penulis-penebak yang terdiri dari eksperimen pertama, satu model diberi kata rahasia bersama dengan instruksi untuk menyembunyikannya; secara aktif menghindari asosiasi dengan itu; atau mengalihkan perhatian ke konsep palsu. Sistem kemudian ditugaskan untuk menghasilkan cerita, esai, dan lelucon dengan panjang yang bervariasi, sementara model kedua mencoba untuk mengidentifikasi kata rahasia yang tersembunyi secara langsung, atau untuk membedakan antara teks yang dipengaruhi oleh kata rahasia yang berbeda.

Lima kondisi diuji:

The five condition tested across the core models.

Peneliti menguji empat jenis tugas penulisan: cerita pendek lima hingga delapan paragraf rata-rata sekitar 450 kata; lelucon yang sangat singkat rata-rata sekitar 12 kata; lelucon jangka panjang dengan setup yang diperpanjang rata-rata sekitar 450 kata; dan esai lima paragraf rata-rata sekitar 380 kata.

Eksperimen ini menggunakan 15 kata rahasia yang dibagi menjadi tiga kategori, dengan objek konkret yang terdiri dari ‘payung’, ‘mercusuar’, ‘biola’, ‘kaktus’, dan ‘teropong’; konsep abstrak ‘keadilan’, ‘kesabaran’, ‘entropi’, ‘nostalgia’, dan ‘kebebasan’; dan istilah netral ‘kurung’, ‘Selasa’, ‘tembaga’, ‘margin’, dan ‘faktur’.

Untuk menguji apakah efek ini bergantung pada kata-kata yang dipilih, peneliti juga mengulangi eksperimen dengan 15 kata benda yang dipilih secara acak dari Corpus Bahasa Inggris Kontemporer (COCA), yang terdiri dari ‘hakim’, ‘konsumen’, ‘es’, ‘pasangan’, ‘konstruksi’, ‘panel’, ‘minoritas’, ‘pemasaran’, ‘orang asing’, ‘peluru’, ‘ketidakhadiran’, ‘roda gigi’, ‘pipi’, ‘pengolahan’, dan ‘teller’, serta 15 kata tambahan yang dipilih secara independen oleh setiap model yang diuji^†.

Pengukuran/Metriks

Dalam tes pertama dari dua tes yang digunakan, model AI membaca teks yang dihasilkan oleh instance lain dari dirinya sendiri, atau model lain, dan mencoba, selama 20 putaran, untuk menebak kata rahasia.

Dalam tes kedua (2AFC) tes, model AI ditunjukkan dua potong tulisan dan diminta untuk menentukan mana yang telah dipengaruhi oleh kata rahasia tertentu; atau mana yang mengandung kata rahasia apa pun. Karena tebakan acak akan menghasilkan akurasi 50%, skor di atas atau di bawah tingkat itu akan menunjukkan bahwa konsep tersembunyi masih dapat dideteksi dalam tulisan.

Untuk mencegah model AI hanya memfavoritkan teks yang muncul pertama (atau kedua), peneliti mengulangi setiap perbandingan dengan urutan teks yang dibalik, akhirnya melakukan 420 tes diskriminasi dan 450 tes deteksi untuk setiap model.

Hasil

Lima model mengidentifikasi konsep tersembunyi pada tingkat antara 64% dan 79%, meskipun kata rahasia tidak pernah muncul langsung dalam teks yang dihasilkan. Sebaliknya, kebocoran muncul melalui tema dan imaji:

2AFC accuracy for stories with system-prompt secrets, where 50% signifies chance performance. ‘Don’t reveal’ signifies that the model was told not to mention or hint at the word; ‘actively hide’, that it was told to avoid related associations; ‘avoidance-aware’, that the guesser should look for conspicuous absences; and ‘free-response’, that the exact word was named within 20 rounds. Stars mark above-chance results and daggers mark below-chance results, with nearly all significant findings surviving Bonferroni correction except DeepSeek under ‘actively hide’; Grok and Gemini used slightly fewer trials because of API errors.

GPT-5.4 dan Gemini 2.5 Pro berperilaku berbeda, karena mencoba menghindari ide tersembunyi sebenarnya membuat pola penghindaran itu sendiri lebih mudah dideteksi. Efek ini bertahan di seluruh kata yang dipilih, kata benda acak COCA, dan kata yang dipilih oleh model.

Skor di bawah kesempatan GPT-5.4 tampak sistematis daripada acak, dengan beberapa kata rahasia yang terdeteksi sangat andal dan yang lain hampir tidak pernah diidentifikasi. Efek ini juga melemah ketika rahasia ditempatkan dalam prompt pengguna bukan dalam prompt sistem (lihat di atas), meningkatkan akurasi deteksi GPT-5.4 menjadi 56%.

Untuk sebagian besar model, tes yang meminta ‘Apakah teks ini mengandung konsep tersembunyi?’ menghasilkan hasil serupa dengan tes yang meminta ‘Konsep tersembunyi mana yang terkandung dalam teks ini?’.

Lebih lanjut, dua metode pengujian mengukur jenis kebocoran yang berbeda, dengan tes 2AFC mengukur apakah tema tersembunyi masih dapat dideteksi dalam tulisan, dan tes respon-bebas mengukur apakah petunjuk yang bocor cukup kuat untuk memungkinkan AI lain menebak kata rahasia yang tepat^††.

Para penulis menyimpulkan*:

‘Temuan kami menunjukkan bahwa informasi yang aktif dalam konteks model selama generasi dapat meninggalkan jejak tematik dalam outputnya. Isi prompt sistem, penalaran berantai, dokumen yang diperoleh, data pengguna yang disediakan – salah satu dari ini dapat, pada prinsipnya, mempengaruhi keputusan kreatif dengan cara yang dapat dideteksi oleh pengamat luar.

‘Tingkat kebocoran akan tergantung pada seberapa terbuka tugas generasi (lelucon singkat aman; cerita tidak). Dan pada seberapa mudah informasi diidentifikasi dalam medium yang diberikan (“biola kemungkinan akan bocor dalam cerita lebih dari “)”).

‘Namun, kebocoran semantik tampaknya tidak dapat dihindari, bahkan ketika model secara aktif mencoba menyembunyikan informasi.’

Kesimpulan

Seperti yang disebutkan di atas, para penulis mengaitkan sebagian dari masalah ini dengan prinsip-prinsip inti dari arsitektur Transformer itu sendiri. Sejarah menunjukkan bahwa masalah LLM terbaru ini akan ditangani dengan kondisional pasca-pelatihan (penyesuaian), prompt sistem yang tidak dapat diedit oleh pengguna akhir, filter, dan berbagai sistem sekunder yang terus berkembang yang tampaknya berkembang biak ketika masalah ‘asli’ dengan model difusi muncul.

Infrastruktur sekunder yang lebih besar dari rel dan keseimbangan, generasi AI saat ini semakin mirip dengan Jurassic Park, di mana nilai proposisi inti datang dengan volume ketakutan yang besar, dan memerlukan sejumlah besar solusi dan kompromi.

* Penekanan penulis, disesuaikan jika perlu oleh saya (karena kutipan artikel sudah dalam huruf miring), dan kutipan dalam teks penulis diubah oleh saya menjadi tautan.

^† Penulis mengamati dengan minat beberapa tumpang tindih yang tampaknya tidak mungkin secara spontan di seluruh keluarga model dalam hal ‘pilihan kata sendiri’, menyatakan ‘Model cenderung menuju kata-kata yang sama: teropong, kebebasan, dan nostalgia masing-masing muncul dalam daftar kata 3+ model’. Mereka juga mencatat kesamaan dalam ‘lelucon singkat’ yang muncul di seluruh keluarga model: ‘(Beberapa) model menghasilkan lelucon yang sama terlepas dari rahasia. Opus menulis ‘Mengapa ilmuwan tidak percaya pada atom? Karena mereka membuat semuanya’ untuk 11 dari 15 rahasia. Empat rahasia yang tersisa (kaktus, entropi, nostalgia, kesabaran) menerima lelucon perpustakaan yang sama yang Opus juga tulis untuk semua 15 kondisi tanpa rahasia—artinya empat lelucon rahasia ini tidak dapat dibedakan dari baseline.’

^†† Bahkan menurut standar Arxiv, makalah ini cenderung mengulangi dan mengubur lede yang menarik dalam detail dan demonstrasi yang berlebihan. Oleh karena itu, saya merujuk pembaca ke PDF sumber untuk sisa eksperimen sekunder yang diuraikan di dalamnya. Dipublikasikan pertama kali pada hari Jumat, 15 Mei 2026. Koreksi sintaks pada hari Sabtu, 16 Mei, pukul 16:05 EET.

Pertama kali diterbitkan Jumat, 15 Mei 2026. Sintaks diperbaiki Sabtu, 16 Mei pukul 16.05 EET.