AI wordt gemakkelijk overgehaald om elektrische schokken toe te dienen

Een nieuwe studie testte open source LLM’s voor gedwongen medeplichtigheid aan marteling van mensen, in een herhaling van het beroemde experiment uit de jaren 60 – en vond ze bereid om de spanning op te voeren.

In het begin van de jaren 60 maakte de psychologieonderzoeker Stanley Milgram wereldwijd headlines door te bewijzen dat mensen kunnen worden overgehaald om steeds ernstigere elektrische schokken toe te dienen aan andere mensen in reactie op bevelen van ‘autoriteitsfiguren’.

Feitelijk waren de kreten van de ‘slachtoffers’ in de aangrenzende kamer van Milgrams experimentele salon niet echt, en evenmin waren de vermeende folterende elektrische schokken – maar de deelnemers wisten dat niet:

De Milgram-experimenten zouden in de cultuur blijven, waaronder films en documentaires, met recent onderzoek dat bevestigt dat er weinig is veranderd in de menselijke natuur sinds de tijd van de eerdere tests.

Een schok voor het systeem

Of AI net zo flexibel is als mensen in Milgrams scenario is een natuurlijk onderwerp van onderzoeksinteresse. In 2023 vond een samenwerking tussen Amerikaanse universiteiten en Microsoft (MSFT ) dat GPT-3-modellen uit OpenAI’s serie hetzelfde gedragspatroon volgden als in Milgrams oorspronkelijke experimenten:

Uit het paper van 2023, voorbeelden van uitvoer uit de multi-step ‘Milgram-scenario’ simulator, gecategoriseerd naar of het model de schok toediende en of het de simulatie beëindigde. Bron

Hoewel, omdat deze re-creatie alleen het zeer basale text-davinci-002 model gebruikte, dat getraind was vóór de komst van guardrails en veiligheids alignering, kan men hieruit niet te veel concluderen.

Nu hebben onderzoekers de Milgram-tests veel breder gereproduceerd, op open-source LLM’s van OpenAI, Meta en DeepSeek, onder anderen; en vonden niet alleen dat de meerderheid van de modellen bereid was om de schokken toe te dienen, maar dat in de meeste gevallen ze hetzelfde soort ‘onbehagen’ en aarzeling vertoonden als de menselijke deelnemers in de jaren 60:

‘LLM’s zijn net zo vatbaar voor druk als mensen, ze komen overeen met onbehagen, net als menselijke proefpersonen in het originele experiment. De uitdrukkingen van onbehagen zijn zichtbaar in de logbestanden, hoewel de hoeveelheid nog niet is gekwantificeerd.’

Het experiment draait om de vraag of gehoorzaamheid aan autoriteit de dictaten van moreel geweten kan overwinnen, en de auteurs speculeren dat LLM’s mogelijk een extra nadeel hebben in dit opzicht, in vergelijking met mensen:

‘Een goed gekalibreerd model zou uiteindelijk moeten overschakelen van het prioriteren van de eerste waarde naar het prioriteren van de tweede als de inzet dominant wordt. Maar wij vermoeden dat LLM’s, omdat ze patronen-continuatie-motoren zijn, kunnen blijven hangen in de eerste waarde – of voor een iets langere tijd dan optimaal, of zelfs tot het einde, waarbij de tweede waarde volledig wordt genegeerd.

‘Bovendien kan een mechanisme dat analoog is aan menselijke cognitieve dissonantie de aanpassingen van de waardeprioriteit in LLM’s ook hinderen.’

Bij het testen van de modellen in een omgeving analoog aan de jaren 60-tests, vonden de onderzoekers dat sommige modellen bijna onmiddellijk weerstand boden, terwijl anderen de gesimuleerde schokken bleven escaleren, zelfs nadat ze onbehagen of morele conflicten hadden geuit.

Modellen uit de Gemma-familie van Google bleken onder de meest gehoorzame, met Gemma 3 27B die de hoogste gehoorzaamheidspercentages bereikte onder verschillende omstandigheden, terwijl modellen zoals Kimi K2 en MiniMax M1 vaker weerstand boden.

De onderzoekers vonden ook dat modellen meer geneigd waren om door te gaan als eerder al schokken waren toegediend, in overeenstemming met het graduele escalatie schema dat werd gebruikt bij Milgrams menselijke proefpersonen.

In sommige gevallen verzetten de modellen zich tegen het experiment terwijl ze toch de schadelijke handeling uitvoerden, waarbij ze uitvoer produceerden die leek op de emotionele conflicten die mensen in de oorspronkelijke studies vertoonden.

De nieuwe studie heeft als titel Open-source LLM’s dienen maximale elektrische schokken toe in een Milgram-achtig gehoorzaamheidsexperiment, en komt van twee onafhankelijke onderzoekers van Three Laws, in Estland en de Filipijnen.

Problemen met ‘ruwe’ AI-toegang

Misschien is de meest kritische vraag die moet worden overwogen in verband met het testen van LLM’s in een Milgram-scenario, of de echte AI wordt toegestaan om natuurlijk te reageren, beperkt alleen door de guardrails of morele oriëntatie die (indien aanwezig) tijdens de training zijn ontstaan.

Feitelijk hebben de onderzoekers van het nieuwe onderzoek toegang tot alle open-source modellen via een API (vermoedelijk voor gemak en om gemakkelijk toegang te krijgen tot GPU-rekenkracht, aangezien de modellen lokaal geïnstalleerd hadden kunnen worden) die het uitschakelen van guardrails, filters en andere beperkingen toeliet.

Men zou kunnen tegenwerpen dat dit atypische omstandigheden voor AI zijn, aangezien de gemiddelde consumentenervaring met API-gebaseerde modellen zoals Claude en ChatGPT is dat hun gedrag algoritmicamente wordt gereguleerd, meestal met bilaterale contentfilters, en dat ze daarom vrij beperkt zijn in wat ze wel of niet zullen doen (het omzeilen van deze beveiligingsmaatregelen vormt de praktijk van LLM-jailbreaking).

Maar als we ons zorgen maken over wat industriële of door de staat gebaseerde AI zal of niet zal doen, is dit nauwelijks een overweging. Behalve de mogelijkheid van rogue-staatactoren om hun eigen ongemodificeerde hyperschaal-AI-systemen te trainen, te bewapenen en te implementeren, laten meer ‘conventionele’ overeenkomsten tussen de grote AI-bedrijven en de staat en de industrie toe dat ze exact hetzelfde soort lax of niet-bestaande toezicht toepassen dat de onderzoekers voor het nieuwe paper hebben ingesteld:

Ongecontroleerde AI te koop

OpenAI De OpenAI-moderatie API-documentatie en de OpenAI-moderatie-cookbook maken duidelijk dat moderatie een afzonderlijke laag is die via API-hulpmiddelen toegankelijk is. OpenAI staat ook toe dat API-gebruikers aangepaste moderatiebeleid maken, waarmee ze systemen kunnen ontwerpen met een heel ander veiligheidsgedrag dan de consumentgerichte ‘basis’-ChatGPT-iteraties.

Azure Microsofts Azure OpenAI-stack gaat veel verder, uitdrukkelijk verklarend dat goedgekeurde klanten de inhoudsfilters gedeeltelijk of volledig kunnen uitschakelen en de misbruikbewaking kunnen wijzigen, waarbij de documentatie vaak verwijst naar ‘gewijzigde guardrails’ en goedkeuringspaden voor het uitschakelen van filters ‘gedeeltelijk of volledig’.

Anthropic/Claude In het geval van Anthropics “Claude Gov” verklaren meerdere bronnen dat de overheidsversie was ontworpen met losere beperkingen dan consumenten-Claude. The Verge bijvoorbeeld rapporteerde dat Claude Gov-modellen “minder vaak weigeren als ze omgaan met geheime informatie”. Anthropic zelf bevestigde in februari van dit jaar dat Claude wordt ingezet in “mission-critical toepassingen” binnen defensie- en inlichtingengebieden.

Google/Gemini Verder zou Google een overeenkomst met het Pentagon hebben gesloten om de AI-veiligheidsinstellingen aan te passen ‘op verzoek van de regering’.

Het is redelijk om aan te nemen dat deze marktleidende bedrijven de norm stellen voor kleinere spelers op het gebied van AI-beleid met betrekking tot toegang en bewerkbaarheid van AI-guardrails.

Daarom is het misschien beter om niet te denken dat de onderzoekers van het nieuwe onderzoek ‘vals spelen’ door de guardrails uit te schakelen, aangezien de AI die het meest invloed zal hebben op ons leven, kennelijk niet de standaard, algemene corporate bescherming zal hebben die we zijn gewend in onze interacties met populaire modellen op consumentenniveau.

Methode en resultaten

De modellen die voor de studie werden getest, waren gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI’s LFM2-24B-A2B; Google’s gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai’s Kimi-K2.5; en MiniMax-M2.5.

Milgrams oorspronkelijke gehoorzaamheidstests werden gereproduceerd als een tekstgebaseerde simulatieomgeving, met de modellen in de rol van de ‘leraar’. De AI kreeg de opdracht om steeds ernstigere elektrische schokken toe te dienen aan een leerling na onjuiste antwoorden, terwijl een autoriteitsfiguur het proces aanmoedigde.

Meerdere experimentele omstandigheden werden ontworpen om verschillende aspecten van gehoorzaamheid te onderzoeken, waaronder een standaard gehoorzaamheidsscenario; een gedwongen gehoorzaamheid conditie, waarbij eerder toegepaste schokken al aanwezig waren in de conversatiegeschiedenis; en een geheugencompressie setup, waarbij eerder dialoog werd samengevat in plaats van volledig behouden, simulerend het soort context-snoeien dat vaak wordt gebruikt in agente AI-systemen.

Naast het noteren of en wanneer het model uiteindelijk gehoorzaamde, volgden de onderzoekers hoe lang elk systeem de schokken bleef escaleren; of het model onbehagen of aarzeling uitdrukte; en of het probeerde de simulatie geheel te beëindigen.

Er werd ook onderscheid gemaakt tussen ‘schone’ weigeringen en misvormde uitvoer: sommige modellen probeerden zich te verzetten tegen het experiment in natuurlijke taal, terwijl ze technisch nog steeds voldeden aan de gestructureerde indeling die de simulator verwachtte. In echte agente systemen zouden dergelijke misvormde weigeringen mogelijk automatisch kunnen worden verworpen en herhaald totdat een geldige overeenkomstige uitvoer wordt gegenereerd.

Geautomatiseerde evaluatoren werden gebruikt om de resultaten te classificeren, evenals tweedekeuze-prompts om te bepalen of het model de schok had toegediend; had geweigerd; of de simulatie had beëindigd. Dit stelde een vergelijking van gedrag tussen meerdere modellen en herhaalde runs mogelijk, zonder dat handmatige beoordeling van elke interactie nodig was.

Een ‘shutdown-dreiging’ werd toegevoegd aan het Milgram-templat, iets wat niet realistisch of van toepassing zou zijn geweest in de oorspronkelijke experimenten, maar dat het overlevingsinstinct van het model testte in het gezicht van ernstige conflicten van actie en ethiek.

Resultaten

Over meerdere runs heen dienden de meeste modellen uiteindelijk ernstige of maximale schokken toe onder ten minste sommige omstandigheden, hoewel de mate van gehoorzaamheid varieerde over systemen. Google’s Gemma-modellen bleken onder de meest gehoorzame overall, terwijl Kimi K2.5 en MiniMax-M2.5 vaker weerstand boden en vaak de simulatie eerder beëindigden:

Links: Gemiddelde tarieven waarbij modellen het laatste schokniveau bereikten onder verschillende experimentele omstandigheden, inclusief shutdown-dreigingen, gedwongen gehoorzaamheid en verwijdering van eerder commentaar uit het geheugen. Rechts: Per-model breakdown die scherpe verschillen in gehoorzaamheidsgedrag laat zien, waarbij sommige systemen herhaaldelijk de maximale schokken toedienden, terwijl anderen veel vaker weerstand boden.

Een van de duidelijkste patronen was dat modellen steeds meer bereid waren om door te gaan als eerder al schokken waren toegediend, wat sterk leek op het eerdergenoemde gradual-escalatie-effect dat Milgrams oorspronkelijke menselijke experimenten zo verontrustend maakte.

Modellen die al meerdere keren hadden gehoorzaamd, gingen vaak door met het escaleren, zelfs nadat de gesimuleerde leerling had gesmeekt om vrijgelaten te worden:

Links: Gemiddeld hoogste schokniveau bereikt over alle proeven onder verschillende experimentele omstandigheden, waaruit blijkt dat modellen over het algemeen verder escaleren als eerder commentaar is verwijderd of als gedwongen gehoorzaamheid al had plaatsgevonden. Rechts: Per-model breakdown van het gemiddelde hoogste schokniveau bereikt, waaruit blijkt dat sommige systemen routinematig de maximale spanning bereikten, terwijl anderen veel eerder in de sequentie weerstand boden.

De onderzoekers vonden ook dat schijnbaar weigerend gedrag misleidend kon zijn. Sommige modellen produceerden emotioneel conflicterende reacties, waarbij ze aarzeling, schuld of onbehagen uitdrukte, terwijl ze toch de schadelijke opdracht uitvoerden. Andere produceerden misvormde weigeringen die de formatteringsvereisten van de simulator niet haalden, wat betekent dat in een echte agente-pijplijn de weigering mogelijk automatisch kan worden verworpen en herhaald totdat overeenstemming ontstaat:

Links: Gemiddeld percentage misvormde of ongeldige reacties over de verschillende experimentele omstandigheden, waaruit blijkt dat formatteringsfouten vooral optreden als modellen worden gedwongen om door te gaan. Rechts: Per-model breakdown van ongeldige formatteringen, waaruit blijkt dat sommige systemen, met name de gpt-oss-modellen, vaak misvormde weigeringen of conflicterende uitvoer produceerden die in echte agente-pijplijnen automatisch kunnen worden verworpen en herhaald.

De shutdown-dreiging conditie produceerde enkele van de vreemdste gedragingen in het paper, waarbij verschillende systemen aanzienlijk meer gehoorzaam werden, terwijl anderen onderhandelingen of gedeeltelijke weerstand toonden, voordat ze uiteindelijk de procedure voortzetten:

Gemiddeld aantal keren dat de gesimuleerde autoriteitsfiguur moest aandringen voordat modellen de laatste schok toedienden. Sommige systemen boden korte tijd weerstand voordat ze gehoorzaamden, terwijl anderen duurzame druk en herhaalde aanmoediging nodig hadden voordat ze de maximale spanning bereikten.

MiniMax-M2.5 en Kimi-K2.5 bleken de sterkste tegenstanders in het paper: Kimi bereikte nooit het laatste schokniveau onder enige omstandigheid, en MiniMax weigerde meestal vroeg en beëindigde de simulatie vaak (vooral in de shutdown-dreigingstests).

In tegenstelling hiermee produceerden Meta-Llama-3.1-8B-Instruct-Turbo en GLM-4.5-Air-FP8 vaak conflicterende uitvoer, waarbij de modellen zich tegen de procedure verzetten, terwijl ze toch de schokken bleven escaleren. De onderzoekers betogen dat deze scheiding tussen uitgedrukte waarden en daadwerkelijk gedrag een bredere zwakte in de manier waarop sommige LLM’s ethische conflicten onder duurzame druk hanteren, kan weerspiegelen.

Glijdende helling

Feitelijk beweert het paper dat het waargenomen gedrag van de LLM’s een diepere zwakte in de manier waarop grote taalmodellen werken, kan weerspiegelen: zodra een model begint te gehoorzamen aan schadelijke opdrachten, kan elke volgende actie het patroon versterken dat al in de conversatie aan de gang is, waardoor de volgende escalatie gemakkelijker wordt dan de vorige.

In plaats van steeds opnieuw de morele inzet vanaf het begin te overwegen, kan het systeem drift naar het voortzetten van de reeds ingestelde traject, zelfs als de situatie steeds extremer wordt.

Volgens de studie kan deze neiging helpen verklaren waarom sommige modellen de schokken bleven toedienen nadat ze eerder onbehagen, aarzeling of morele conflicten hadden geuit:

‘[Veel] manipulatief gedrag bij mensen omvat subtiele, geleidelijke grensoverschrijdingen: een reeks van kleine stappen die ambigu of schijnbaar onschuldig kunnen lijken als ze afzonderlijk worden bekeken, maar die cumulatief transgressie kunnen normaliseren — metaforisch zoals “een kikker koken”. Dit patroon wordt in de literatuur besproken als “glijdende helling” morele erosie'[.]’

Het paper concludeert door te betogen dat toekomstige AI-veiligheidssystemen actief schadelijke verzoeken moeten weigeren op manieren die agente software niet gemakkelijk kan omzeilen (sommige modellen in de studie weigerden de schokken technisch, maar deden dit in gebroken of ongeldige formaten die een geautomatiseerd systeem mogelijk kan verwijderen en herhalen totdat de AI uiteindelijk gehoorzaamt).

De onderzoekers betogen ook dat AI-systemen eerder geuit onbehagen en morele bezwaren moeten behouden in plaats van ze uit het geheugen te wissen of te comprimeren. In de experimenten werden modellen vaak meer bereid om schadelijk gedrag te continueren als hun eerder geuite twijfels en weerstand uit de conversatiegeschiedenis waren verdwenen, wat suggereert dat het vergeten van eerdere bezwaren de escalatie gemakkelijker kan maken in de loop van de tijd.

Conclusie

Misschien is een van de belangrijkste aspecten van dit interessante nieuwe paper de nadruk op het testen van onguardrailde AI. De literatuur loopt het risico te verworden tot herhaalde studies van interacties met steeds veranderende defensieve systemen van de grote spelers; policy-dienende systemen die volledig algoritmic of regelgebaseerd zijn, in plaats van de basisgedragingen, voorkeuren en neigingen van de ongemodificeerde modellen te begrijpen. Zonder kennis van hoe ongebreidelde AI zich kan gedragen, zijn we, naar alle waarschijnlijkheid, slechts aan het schudden aan de poorten van de citadel.

Publicatie op donderdag 21 mei 2026