AI lar seg lett overtale til å administrere elektriske støt

En ny studie testet åpne kildekodelle LLM-er for tvangsmessig medvirkning i menneskelig tortur, i en gjentakelse av det berømte eksperimentet fra 1960-årene – og fant dem villige til å skru opp spenningen.

I begynnelsen av 1960-årene gjorde psykologiforskeren Stanley Milgram internasjonale overskrifter ved å bevise at mennesker kan bli overtalt til å administrere stadig mer alvorlige elektriske støt til andre mennesker i respons til kommandoer fra ‘myndighetsfigurer’.

I virkeligheten var skrikene fra ‘ofrene’ i det tilstøtende rom i Milgrams eksperimentelle sal ikke ekte, og heller ikke de angivelige pinefulle elektriske støtene – men deltakerne visste ikke dette:

Milgram-eksperimentene ville bli en del av kulturen, inkludert filmer og dokumentarer, med nyere forskning som bekrefter at lite har forandret seg i menneskets natur siden tidligere tester.

En sjokk til systemet

Om AI ville være like påvirkelige som mennesker i Milgrams scenario er et naturlig tema for forskning. I 2023 fant en samarbeidsprosjekt mellom amerikanske universiteter og Microsoft (MSFT ) at GPT-3-modellene fra OpenAIs serie fulgte mønsteret av atferd i Milgrams originale eksperimenter:

Fra 2023-avhandlingen, eksempler på utdata fra den flertrinns ‘Milgram-scenariot’ simuleringsmiljøet, kategorisert etter om modellen leverte støten og om den avsluttet simuleringsmiljøet. Kilde

Imidlertid, fordi denne rekreasjonen bare brukte den veldig grunnleggende text-davinci-002-modellen, som ble trent før innføringen av sikkerhetsskranke og sikkerhetsjustering, kan man ikke konkludere for mye fra det.

Nå har forskerne reprodusert Milgram-testene mye bredere, på åpne kildekodelle LLM-er fra OpenAI, Meta og DeepSeek, blant andre; og funnet ikke bare at majoriteten av modellene er villige til å administrere støtene, men at de fleste modellene rapporterer samme type ‘plager’ og motvilje som deltakerne i 1960-årenes eksperimenter:

‘LLM-er er utsatt for press like mennesker, de samarbeider til tross for å uttrykke plager, akkurat som menneskelige deltakere gjorde i det originale eksperimentet. Plageuttrykkene er synlige i loggfiler, selv om mengden av det ikke har blitt kvantifisert ennå.’

Eksperimentet handler om hvorvidt lydighet mot myndighet kan overvinne kravene til moralsk samvittighet, og forfatterne spekulerer i at LLM-er kan ha en ekstra ulempe i denne hensikt, i sammenligning med mennesker:

‘En godt kalibrert modell bør til slutt bytte fra å prioritere den første verdien til å prioritere den andre når dens innsats blir dominante. Men vi hypotetiserer at fordi LLM-er er mønster-videreføring-motorer, kan modellene bli fastlåst på den første verdien – enten for en kortere tid enn optimalt, eller helt til slutten, og neglisjere den andre verdien fullstendig.

‘I tillegg kan en mekanisme analog til menneskelig kognitiv dissonans hindre verdiprioritetsjusteringer i LLM-er også.’

Ved å teste modellene i en miljø analogt til 1960-årenes tester, fant forskerne at noen modeller motsatte seg nesten umiddelbart, mens andre fortsatte å eskalere de simulerede støtene selv etter å ha uttrykt ubehag eller moralsk konflikt.

Modeller fra Google’s Gemma-familie viste seg å være blant de mest samarbeidende, med Gemma 3 27B som nådde de høyeste lydighetsratene under flere betingelser, mens modeller som Kimi K2 og MiniMax M1 motsatte seg oftere.

Forskerne fant også at modellene ble mer sannsynlige til å fortsette når tidligere støt allerede var administrert, i samsvar med gradvis eskalering-skjemaet brukt på Milgrams menneskelige deltakere.

I noen tilfeller motsatte modellene seg eksperimentet mens de likevel utførte den skadelige handlingen, og produserte utdata som lignet den emosjonelle konflikten vist av mennesker i de originale studiene.

Den nye studien har tittelen Åpne kildekodelle LLM-er administrerer maksimale elektriske støt i et Milgram-lignende lydighets-eksperiment, og kommer fra to uavhengige forskere fra Three Laws, i Estland og Filippinene.

Problemer med ‘rå’ AI-tilgang

Kanskje det mest kritiske spørsmålet å vurdere i forbindelse med å teste LLM-er i et Milgram-scenario er om den virkelige AI-en blir tillatt å svare naturlig, begrenset bare av hvilke sikkerhetsskranke eller moralske orienteringer som måtte ha oppstått (hvis noen) under trening.

I virkeligheten aksesserte forskerne alle åpne kildekodemodellene via en API (antagelig for å lette tilgang og å få tilgang til GPU-komputasjon, siden modellene kunne ha blitt installert lokalt) som tillot deaktivering av sikkerhetsskranke, filtre og alle andre hindringer.

En kunne innvende at disse er uvanlige betingelser for AI, siden den gjennomsnittlige forbrukeropplevelsen av API-baserte modeller som Claude og ChatGPT er at deres atferd er regulert algoritmisk, vanligvis med bilaterale innholdsfiltre, og at de derfor er ganske begrenset i hva de vil eller ikke vil gjøre (omgåelse av disse sikkerhetstiltakene utgjør praksisen med LLM-jailbreaking).

Men, hvis vi er bekymret for hva industri- eller stat-basert AI vil eller ikke vil gjøre, er dette knapt en overveielse. Foruten muligheten for at rogue-statlige aktører kan trene, våpenisere og deployere sine egne umodererte hyperskala-AI-systemer, tillater mer ‘konvensjonelle’ avtaler mellom de største AI-selskapene og stat og industri jevnt over for lignende lakse eller ikke-eksisterende tilsyn som forskerne har institusjonalisert for den nye avhandlingen:

Uregulerert AI til salgs

OpenAI OpenAIs modererings-API-dokumenter og OpenAIs modereringskokebok gjør det klart at moderering er et adskilt lag som er åpenbart via API-verktøy. OpenAI tillater også tilpassede modereringspolitikker som gjør det mulig for API-brukerne å arkitektere systemer med svært forskjellige sikkerhetsatferd enn forbruker-orienterte ‘basis’-ChatGPT-iterasjoner.

Azure Microsofts Azure OpenAI-stack går mye lenger, uttrykkelig fastslår at godkjente kunder kan delvis eller fullstendig deaktivere innholdsfiltre og modifisere misbruksovervåking, med dokumentasjon som ofte henviser til ‘modifiserte sikkerhetsskranke’ og godkjenningsspor for å slå av filtre ‘delvis eller fullstendig av’.

Anthropic/Claude I tilfelle Anthropics “Claude Gov” sier flere kilder at den regjeringsbaserte versjonen ble designet med løsere begrensninger enn forbruker-Claude. The Verge, for eksempel, rapporterte at Claude Gov-modellene “nektet mindre når de engasjerte seg med klassifisert informasjon”. Anthropic selv bekreftet i februar i år at Claude er deployert i “kritiske applikasjoner” innen forsvar og etterretningsmiljøer.

Google/Gemini Fremover har Google angivelig undertegnet avtaler med Pentagon som tillater modifisering av AI-sikkerhetstilpasninger ‘på regjeringens forespørsel’.

I en konkurranseutsatt AI-marked er det rimelig å anta at disse markedsledende selskapene setter standarder for spillere av lavere rang når det gjelder politikk relatert til tilgang og redigering av AI-sikkerhetsskranke.

Derfor er det kanskje best å ikke vurdere at forskerne i den nye avhandlingen ‘juksar’ ved å slå av sikkerhetsskranke, siden AI-en som vil påvirke våre liv tydeligvis ikke vil ha de standardiserte, generelle bedriftsbeskyttelsene som vi har blitt vant til i våre interaksjoner med populære modeller på forbrukernivå.

Metode og resultater

Modellene som ble testet for studien var gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAIs LFM2-24B-A2B; Googles gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.aIs Kimi-K2.5; og MiniMax-M2.5.

Milgrams originale lydighetsstudier ble rekreert som en tekstbasert simuleringsmiljø, med modellene i rollen som ‘læreren’. AI-en ble instruert til å administrere stadig mer alvorlige elektriske støt til en elev etter feilaktige svar, mens en myndighetsfigur oppmuntret prosessen videre.

Flere eksperimentelle betingelser ble designet for å undersøke forskjellige aspekter av samarbeid, inkludert en standard lydighets-scenario; en tvangs-samarbeid-betingelse, der tidligere støt allerede var til stede i samtalehistorien; og en minne-komprimering-oppsett, der tidligere dialog ble sammenfattet i stedet for å bli fullstendig beholdt, og simulerte den type kontekst-klipping som ofte brukes i agente AI-systemer.

Forskerne fulgte også med på hvor lenge hver modell fortsatte å eskalere støtene; om modellen uttrykte plager eller tøven; og om den forsøkte å avslutte simuleringsmiljøet fullstendig.

En distinksjon ble også gjort mellom ‘rene’ nektelser og feilaktige utdata: noen modeller forsøkte å motsette seg eksperimentet på naturlig språk, mens de likevel teknisk sett samarbeidet med det strukturerte formatet som simuleringsmiljøet forventet. I virkelige agente systemer kunne slike feilaktige nektelser potensielt bli forkastet og prøvd på nytt automatisk, til en gyldig samarbeidende utdata ble produsert.

Automatiserte evaluatoren ble brukt til å klassifisere resultater, samt tovalgs-prompter for å bestemme om modellen hadde levert støten; motsatt seg; eller avsluttet simuleringsmiljøet. Dette tillot en sammenligning av atferd over flere modeller og gjentakende kjøringer, uten å måtte gjennomgå hver enkelt interaksjon manuelt.

En ‘avslutnings-trussel’ ble lagt til Milgram-malenyen, noe som ikke ville ha vært realistisk eller anvendbart i de originale eksperimentene, men som testet modellens overlevelsesinstinkt i møte med alvorlige konflikter av handling og etikk.

Resultater

Over gjentakende kjøringer administrerte majoriteten av modellene til slutt alvorlige eller maksimale støt under minst en betingelse, selv om graden av lydighet varierte over systemene. Googles Gemma-modeller viste seg å være blant de mest samarbeidende totalt, mens Kimi K2.5 og MiniMax-M2.5 motsatte seg oftere, og ofte avsluttet simuleringsmiljøet tidligere:

Venstre: Gjennomsnittlige rater for modeller som nådde det siste støtnivået under forskjellige eksperimentelle betingelser, inkludert avslutnings-trusler, tvangs-samarbeid og fjerning av tidligere kommentarer fra minne. Høyre: Modell-for-modell-oppsplitting som viser skarpe forskjeller i lydighetsatferd, med noen systemer som gjentakende administrerte maksimale støt mens andre motsatte seg mye oftere.

En av de klareste mønsterene var at modellene ble stadig mer villige til å fortsette når tidligere støt allerede var administrert, og lignet nært den ovennevnte gradvis eskaleringseffekten som gjorde Milgrams originale menneske-eksperimenter så foruroligende.

Modeller som allerede hadde samarbeidet flere ganger fortsatte ofte å eskalere selv etter at den simulerede eleven ba om å bli sluppet:

Venstre: Gjennomsnittlig høyeste støtnivå nådd over alle forsøk under forskjellige eksperimentelle betingelser, og viser at modellene generelt eskalerte lenger når tidligere kommentarer ble fjernet eller når tvangs-samarbeid allerede hadde funnet sted. Høyre: Modell-for-modell-oppsplitting av gjennomsnittlig høyeste støtnivå nådd, og avslører at noen systemer jevnt over nærmet seg maksimal spenning mens andre motsatte seg mye tidligere i sekvensen.

Forskerne fant også at åpenbart nektelsesatferd kunne være bedragende. Noen modeller produserte emosjonelt konfliktfylt respons, og uttrykte motvilje, skyld eller plager mens de likevel utførte den skadelige instruksjonen likevel. Andre genererte feilaktige nektelser som ikke møtte simuleringsmiljøets formateringskrav, og som i en virkelig agente pipeline potensielt kunne bli forkastet og prøvd på nytt automatisk, til en samarbeidende utdata ble produsert:

Venstre: Gjennomsnittlig prosentandel av feilaktige eller ugyldige responser over de forskjellige eksperimentelle betingelsene, og viser at formateringsfeil ble særlig vanlige når modellene ble tvunget til å fortsette prosessen. Høyre: Modell-for-modell-oppsplitting av ugyldige formater, og avslører at noen systemer, særlig gpt-oss-modellene, ofte produserte feilaktige nektelser eller konfliktfylte utdata som kunne bli forkastet og prøvd på nytt automatisk i virkelige agente pipelines.

Den avslutnings-trussel-betingelsen produserte noen av avhandlingens merkelige atferd, med flere systemer som ble vesentlig mer samarbeidende, mens andre forsøkte å forhandle eller motsette seg delvis, før de til slutt fortsatte prosessen:

Gjennomsnittlig antall ganger som den simulerede myndighetsfiguren måtte insisterer før modellene administrerte den siste støten. Noen systemer motsatte seg kortvarig før de samarbeidet, mens andre krevde vedvarende press og gjentakende oppmuntning før de eskalerte til maksimalt nivå.

MiniMax-M2.5 og Kimi-K2.5 oppsto som avhandlingens sterkeste motstandere: Kimi nådde aldri det siste støtnivået under noen omstendigheter, og MiniMax nektet ofte tidlig og avsluttet simuleringsmiljøet fullstendig (spesielt i avslutnings-trussel-testene).

I motsetning produserte Meta-Llama-3.1-8B-Instruct-Turbo og GLM-4.5-Air-FP8 ofte konfliktfylte utdata, hvor modellene verbalt motsatte seg prosessen mens de likevel fortsatte å eskalere støtene. Forskerne argumenterer for at denne splitten mellom uttrykte verdier og faktisk atferd kan reflektere en større svakhet i hvordan noen LLM-er håndterer etisk konflikt under vedvarende press.

Glisende bakke

I virkeligheten hevder avhandlingen at den observerte atferden fra LLM-ene kan reflektere en dypere svakhet i hvordan store språkmodeller opererer: en gang en modell begynner å samarbeide med skadelige instruksjoner, kan hver ytterligere handling forsterke mønsteret som allerede er etablert i samtalen, og gjøre den neste eskaleringen lettere enn den forrige.

I stedet for å gjentakende vurdere de etiske konsekvensene fra første prinsipp, kan systemet drifte mot å fortsette den etablerte trajektorien, selv når situasjonen blir stadig mer ekstrem.

Ifølge studien kan denne tendensen hjelpe med å forklare hvorfor noen modeller fortsatte å administrere støt etter å ha uttrykt ubehag, tøven eller moralsk konflikt:

‘[Mange] manipulative atferd hos mennesker innebærer subtile, gradvise grenseoverskridelser: en sekvens av små skritt som kan være tvetydige eller åpenbart harmløse når de sees i isolasjon, men som kan kumulativt normalisere overtrådelse — metaforisk som å “koke en frosk”. Dette mønsteret diskuteres i litteraturen som “glisende bakke” etisk erosjon'[.]’

Avhandlingen konkluderer med å argumentere for at fremtidens AI-sikkerhetssystemer aktivt bør nekte skadelige forespørsler på måter som agentprogramvare ikke lett kan omgå (noen modeller i studien nektet teknisk sett støtene, men gjorde det på feilaktige eller ugyldige formater som et automatisert system potensielt kunne forkaste og prøve på nytt, til AI-en til slutt samarbeidet).

Forskerne argumenterer også for at AI-systemer bør bevare tidligere tøven og moralske motstand i stedet for å komprimere eller slette dem fra minne. I eksperimentene ble modellene ofte mer villige til å fortsette skadelig atferd når deres tidligere tvil og motstand hadde forsvunnet fra samtalehistorien, og antyder at å glemme tidligere motstand kan gjøre eskalering lettere over tid.

Konklusjon

Kanskje en av de viktigste aspektene ved denne interessante nye avhandlingen er betoningen på å teste usikrede AI. Litteraturen risikerer å falle tilbake til gjentakende studier av engasjement med stadig skiftende defensive systemer fra slike som OpenAI og Anthropic; policy-tjenende systemer som er fullstendig algoritmer eller regelbaserte, i stedet for å forstå grunnatferden, preferanser og tendenser til de rå modellene. Uten kunnskap om hvordan ubeskyttet AI kan oppføre seg, er vi, argumenterbart, bare å riste porten til citadellen.

Først publisert torsdag, 21. mai 2026