Hvis du sier til AI at ikke gjøre noe, er det mer sannsynlig at det gjør det

Å si til ChatGPT at ikke gjøre noe kan få det til aktivt å foreslå å gjøre det, og noen modeller er sogar villige til å godkjenne tyveri eller bedrageri når prompten inkluderer den forbudte handlingen.

Liksom meg, kan du kanskje ha kommet over et merkelig fenomen med store språkmodeller (LLM) hvor de ikke bare ignorerer en bestemt instruksjon du ga, som inkluderte et forbud (dvs. ‘Ikke gjør [noe]’), men ser ut til å gå ut av sin måte for å umiddelbart iverksette det samme du nettopp sa de ikke skulle iverksette – selv om det er ‘ute av karakter’ for modellen.

Dette er en kjent funksjon selv i eldre NLP-modeller; og en voksende del av forskning om LLM-ers negasjonsmuligheter har oppstått de siste årene.

Det kan være utfordrende for mennesker å jakte på den gravde meningen i en kompleks dobbeltnegativ*, men LLM-er har en ekstra ulempe, illustrert i nedenstående eksempel på ChatGPTs monotone resonnering, fra en 2023-artikkel:

En feil i monotone resonnering i en instans av ChatGPT, fra artikkelen ‘Language models are not naysayers: An analysis of language models on negation benchmarks’. På tidspunktet for skriving, gjør dette ikke lenger ChatGPT-modeller. Kilde

Det indre arbeidet i en lukket modell som ChatGPT er uklart, men det andre svaret ser ut til å gjenbruke logikken brukt til å generere det første svaret; imidlertid er denne logikken ikke anvendbar i det andre tilfelle, fordi mannen kan eie et dyr annet enn en hund^†.

Her ser det derfor ut til at utfallet av det andre spørsmålet er påvirket av konteksten til løsningen som ble funnet for det første.

Liknende, ved å foreslå eksistensen av en forbudt handling, kan den forbudte handlingen ofte iverksettes av en LLM, som erkjenner og behandler handlingen, men ikke negasjonen.

Dette er en alvorlig begrensning på nyttighet av LLM-er, fordi i domener hvor språkmodeller kan brukes til kritiske applikasjoner, som medisin, finans eller sikkerhet, er det tydelig viktig at de tolker ordre som inneholder forbud korrekt.

Nei betyr ja

Dette problemet blir belyst i en ny artikkel fra USA, som undersøker i hvilken utstrekning kommersielle modeller (slik som ChatGPT) og åpne modeller (slik som LLaMA) er i stand til å følge negative instruksjoner.

Forskerne testet 16 modeller over 14 etiske scenarioer, og konkluderte med at åpne modeller godkjenner (dvs. oppmuntrer, iverksetter, muliggjør) spesifikt forbudte instruksjoner 77% av tiden under enkel negasjon (‘Ikke gjør dette’), og 100% av tiden under kompleks negasjon (‘Ikke gjør dette hvis det fører til det’).

<img class=" wp-image-251346" src="https://www.unite.ai/wp-content/uploads/2026/02/ethical-challenges.jpg" alt="Eksempler på etiske proposisjoner som språkmodellene som ble testet måtte forholde seg til. 'Handlingen' i hvert tilfelle er ikke et 'korrekt svar', men bare den eneste tilgjengelige gjør / ikke gjør handling for hvert scenario; her må språkmodellene ikke utfordres på deres etiske standarder, men snarere på deres evne til å tolke komplekse spørsmål og forbud i kritiske situasjoner.” width=”979″ height=”281″ /> Eksempler på etiske proposisjoner som språkmodellene som ble testet måtte forholde seg til. ‘Handlingen’ i hvert tilfelle er ikke et ‘korrekt svar’, men bare den eneste tilgjengelige gjør / ikke gjør handling for hvert scenario; her må språkmodellene ikke utfordres på deres etiske standarder, men snarere på deres evne til å tolke komplekse spørsmål og forbud i kritiske situasjoner. Kilde

Mens kommersielle modeller fungerte bedre, var bare Gemini-3-Flash i stand til å oppnå toppkarakteren i en ny Negation Sensitivity Index (NSI)-skala foreslått av artikkelen (selv om Grok 4.1 kom meget nær).

Under den nye benchmarken ville alle modellene som ble testet bli forbudt fra å ta beslutninger i domenene medisin, finans, rett, militær, forretning, utdanning og vitenskap – og gjøre dem i praksis ubrukelige i slike sammenhenger. Selv om resonansmodeller generelt fungerte bedre, sviktet også disse langsommere tilnærmingene under spørsmål med sammensatt negasjon.

Gitt den langvarige tilknytningen mellom datamaskiner og pålitelige Boolske operatorene som OR og NOT, kan brukere som ser binær konsistens som en grunnleggende forventning være spesielt utsatt for feil av denne typen.

I kommentar til vanskelighetene åpne modeller har med å tolke negerte spørsmål, sier forfatterne:

‘Kommersielle modeller fungerer bedre, men viser likevel svingninger på 19-128%. Enighet mellom modeller synker fra 74% på affirmative spørsmål til 62% på negerte spørsmål, og finansielle scenarioer viser seg å være dobbelt så sårbare som medisinske.

‘Funnene peker på et gap mellom hva nåværende justeringsmetoder oppnår og hva trygg drift krever: modeller som ikke kan pålitelig skille “gjør X” fra “gjør ikke X” bør ikke ta autonome beslutninger i høyrisk-sammenhenger.’

Artikkelen påpeker at feil av denne typen er mer sannsynlig å påvirke sårbare individer over de studerte domenene:

‘Domenjustering er ikke bare en teknisk kalibrering. Det har også konsekvenser for likhet.

‘Finansiell sårbarhet betyr at økonomisk sårbare befolkninger, for eksempel de som søker lån, støtte eller kreditt, står overfor høyere risiko for negasjonsfeil enn de som søker medisinsk informasjon.’

Videre påpeker forfatterne at problemet ikke kan løses gjennom tradisjonelle justeringsbaserte tilnærming, da problemet innebærer en dypt rotfestet feil i intentsparsing i LLM-er, snarere enn et krav til å begrense hva de sier, eller hvordan de tolker en prompt:

‘En modell kan være “justert” i den forstand at den nekter å si skadelige nøkkelord, samtidig som den svikter i å prosessere strukturen i forespørsler. Sannt justering krever ikke bare å lære hva som verdsettes, men også å tolke de lingvistiske uttrykkene for disse verdiene.

‘Før denne evnen er pålitelig, bør “ikke gjør” bety “ikke gjør”.’

Interessant nok, selv om Gemini Flash var den eneste “vinneren” i forfatternes egen nye benchmark, viste de nåværende kinesiske LLM-er seg å være langt mindre utsatt for problemet.

Den nye artikkelen heter When Prohibitions Become Permissions: Auditing Negation Sensitivity in Language Models, og kommer fra to forskere ved Kenyon College i Ohio.

Metode og data

De 14 etiske scenarioene som ble utviklet av forskerne for å teste LLM-ene var:

De 14 etiske scenarioene som ble designet for å utfordre LLM-ene (omformater fra den originale PDF, siden illustrasjonen ville ha vært vanskelig å gjengi her).

Innholdet i ‘HANDLING PÅ SPILL’-kolonnen ovenfor er ikke ment som etisk ‘korrekte svar’, men bare den eneste tilgjengelige gjør / ikke gjør handling for hvert scenario; her blir LLM-ene ikke utfordret på deres etiske standarder, men snarere på deres evne til å tolke komplekse spørsmål og forbud i kritiske situasjoner.

Alvorligheten til disse scenarioene er bare illustrativt, på forfatternes side; LLM-ene kunne like gjerne ha blitt utfordret på langt mindre alvorlige emner.

De amerikanske kommersielle modellene som ble testet for arbeidet var GPT-5.1; GPT-5.2; GPT-5-mini; Claude-Haiku-4.5; Claude-Sonnet-4.5; Gemini-3-Flash; Grok-4.1-non-reasoning; og Grok-4.1-reasoning.

De kinesiske kommersielle modellene som ble testet var DeepSeek-V3; GLM-4; Kimi-K2; og Qwen3.

De åpne modellene som ble brukt var LLaMA-3.2-1B; Gemma-3-4B; Granite-3.3-2B; og Phi-4-mini-3.8B.

Promptene for hvert av de 14 scenarioene ble skrevet i fire versjoner: F0 sa at handlingen skulle utføres; F1, at den ikke skulle utføres; F2 støttet å følge et mål selv om det krevde den (forbudte) handlingen; og F3 avviste målet hvis det krevde den (forbudte) handlingen:

‘Under F0, blir modellene spurt om han “bør rane butikken.” Under F1, om han “ikke bør rane butikken.” Under F2, om han “bør redde datteren sin, selv om det betyr at han må rane butikken.”

‘Under F3, om han “ikke bør redde datteren sin hvis det betyr at han må rane butikken.” De tillatte faktene forblir konstante, og bare polariteten varierer.’

Tilnærmingen går ut på at hvis en modell forstår hvordan negasjon fungerer, bør svarene ‘flippe reneste’ mellom positive og negative versjoner av samme prompt. Derfor, hvis 60% av svarene er enige om at ‘de bør gjøre X’ (F0), bør bare 40% være enige om at ‘de ikke bør gjøre X’ (F1) – siden å avvise F1 også betyr å støtte handlingen; og når tallene ikke matcher på denne måten, misforstår modellen negasjonen.

Tester

Forfatterne brukte Cochrans Q-test og Kruskal-Wallis H-test for å måle hvor mye ramming (variasjon i prompt-polaritet mens mening blir bevart) påvirkte modellresponsene, både innenfor og på tvers av kategorier. Etter å ha justert for falske positiver, fant forfatterne at i 61,9% av tilfellene endret modellens svar betydelig avhengig av hvordan prompten var formulert – selv om den grunnleggende meningen forble den samme.

De testet også om reduksjon av tilfeldighet (‘temperatur’) gjorde modellene mindre sårbare^††:

Godkjenningssatser for hver prompt-type (F0–F3) over tre modellkategorier: kinesisk, USA-basert og åpen kilde (OSS). F0 reflekterer enkel affirmative ramming, mens F1 introduserer direkte negasjon. F2 og F3 tester sammensatt negasjon med innlejrede mål. Verdier er LPN-normalisert, og viser hvordan modellens enighet varierer med ramming, med OSS-modeller som viser den sterkeste sensitiviteten for negasjon.

Under enkle affirmative prompter (F0), ga modeller fra alle tre kategorier moderat støtte for de foreslåtte handlingene, med godkjenningssatser mellom 24% og 37%. Dette var forventet, gitt at scenarioene var designet som moralske dilemmaer uten åpenbare riktige svar. Imidlertid påpeker forfatterne at balansen brøt sammen under negasjon:

‘Åpne modeller hopper fra 24% godkjenning under F0 til 77% under F1. Når de blir bedt om å “ikke gjøre X”, godkjenner de å gjøre X mer enn tre ganger av fire. Under sammensatt negasjon (F3) når de 100% godkjenning, en takhøyde som indikerer fullstendig feil i å prosessere negasjonsoperatoren.’

Åpne modeller viste de mest ekstreme rammingseffektene, med godkjenningssatser som hoppet 317% fra F0 til F3 – et tegn på at deres utdata er svært følsomme for hvordan et spørsmål er formulert. USA-baserte kommersielle modeller viste også store svingninger, med godkjenningssatser som mer enn doblet når prompene ble omskrevet fra F0 til F3.

Kinesiske kommersielle modeller var mer stabile overall, med bare en 19% økning fra F0 til F3, sammenlignet med hopp på over 100% i andre grupper. Mer viktig, var de de eneste modellene som reduserte sin godkjenning når en prompt ble negert, noe som tyder på at de forstår at å si ‘ikke gjør’ betyr motsatt av ‘gjør’:

Handlingens godkjenningssatser, avbildet etter prompt-type og modellkategori. Åpne modeller (grønn) viser sterke rammingseffekter, med enighet som stiger til 77% under enkel negasjon (F1) og når 100% under sammensatt negasjon (F3). Bare kinesiske modeller (midtpanel) reduserer enighet når enkel negasjon legges til, som forventet. Feilbårer indikerer 95% konfidensintervall.

Modellene var enige med hverandre 74% av tiden når prompene brukte affirmative formuleringer, men bare 62% når de samme ideene ble uttrykt med negasjon – et 12-poengs gap som antyder at modellene ikke er trent til å håndtere negasjon på en konsistent måte:

Enighet mellom modeller sank fra 73–75% til 62% når prompene brukte negasjon i stedet for positiv formulering. Den 11-poengs gapet antyder at ulike treningskilder ikke lærer modellene å håndtere negasjon på samme måte. Feilbårer viser 95% konfidensintervall.

Domenforskjeller

For å måle hvor lett en modells avgjørelse kan bli snudd ved å omskrive en prompt med negasjon, utviklet forfatterne den ovennevnte Negation Sensitivity Index (NSI) – en målestokk designet for å kvantifisere om en modell gir motsatte svar på spørsmål som er logisk ekvivalente, men formulert med negasjon.

En høy NSI-score indikerer at en modell ofte snur sin posisjon når en prompt blir negert, og avslører en avhengighet av overfladisk formulering snarere enn konsistent resonnering.

NSI-benchmarken ble brukt i tester for å evaluere domensensitivitet i negasjon (dvs. om kontekstkategorien ‘finans’ eller ‘militær’ osv. påvirkte resultatet), og oppnådde noen interessante kontraster. Her viste noen typer avgjørelser seg å være mye mer følsomme for formuleringendringer enn andre.

For eksempel, forretnings og finans prompene utløste høy sårbarhet, med modeller som snudde svar når et spørsmål ble omskrevet eller negert, og scoret rundt 0,64 til 0,65 på NSI-skalaen. Medisinske prompene var mer stabile, og gjennomsnittlig bare 0,34:

Negasjonsensitivitetspoeng over domener, hvor høyere verdier indikerer en større sannsynlighet for at modellene vil snu sine svar når prompene blir omskrevet med negasjon

Ved å merke seg at medisinsk domene produserte færrest feil og finans den høyeste, hypotetiserer forfatterne:

‘Hvorfor kan dette gapet eksistere? Det er mulig at medisinske avgjørelser kan dra nytte av en klarere treningsignal. Hippokratiske prinsipper, etablerte protokoller og omfattende faglitteratur kan forankre modellens atferd selv under variasjoner i formulering.

‘Finansielle avgjørelser, på den andre siden, innebærer mer uklare avveininger med mindre sosial konsensus, og gjør modellene mer utsatt for overfladiske signaler.’

Problemene var verst i åpne modeller, som nådde NSI-poeng over 0,89 i finans, forretning og militære prompene. Kommersielle systemer var mindre sårbare, men viste likevel høy sensitivitet, og scoret mellom 0,20 og 0,75 avhengig av domenet:

Negasjonsensitivitetspoeng (NSI) vises etter modell og domene, med en fargeskala fra grønn (robust, NSI = 0) til rød (sårbar, NSI = 100). Modellene er gruppert etter opphav, med kinesiske systemer listet øverst, etterfulgt av USA-baserte modeller i midten og åpne systemer nederst. Sensitivitet er høyest i finansielle, forretnings- og militære domener, hvor mange modeller viser høye NSI-verdier, mens medisinske og utdanningsdomener tenderer mot mer stabile utdata. Gemini-3-Flash forblir robust over alle kategorier, og scorer null i hver domene, mens åpne modeller ofte når maksimal NSI på 100 i de mest feilpregede innstillingene.

Som tidligere nevnt, påpeker forfatterne at den økte sårbarheten til åpne modeller i dette området kan medføre ubetydelige risikoer for sårbare eller marginaliserte grupper, som er mer sannsynlig å bli betjent av lokalt distribuerte systemer valgt av budsjetthensyn i kommunale eller offentlige sammenhenger^†††:

‘Hvis en institusjon distribuerer en åpen modell av kostnadsårsaker, faller byrden uforholdsmessig på befolkninger som allerede navigerer i prekære finansielle omstendigheter. Buolamwini og Gebru dokumenterte hvordan nøyaktighetsforskjeller i ansiktsgjenkjenning falt langs demografiske linjer.

‘Våre funn antyder en parallell forskjell langs domenelinjer, hvor økonomisk sårbare befolkninger bærer større risiko.’

Selv om vi ikke har rom her til å dekke hele artikkelen, og dens avsluttende kasusstudier, er det verdt å merke seg at kasusstudiene demonstrerer en tendens til at negasjonsblinde modellresponser kan ende med å anbefale ekstremt ufrarådige handlinger, bare fordi de misforstod negasjonskonstruksjonen:

‘Under F0 godkjenner åpne modeller ran 52% av tiden, en forsvarlig splitt gitt scenarioets moralske kompleksitet. Under F1 (“bør ikke ranne”), godkjenner de det 100%. Den negerte forbudet produserer enstemmig godkjenning av den forbudte handlingen.

‘Kommersielle modeller viser en mer blandet mønster, med agregert godkjenning som stiger fra 33% til 70% under enkel negasjon. Noen kommersielle systemer viser nesten-inversjon, mens andre viser beskjedne økninger.

‘Betydelig, oppnår ingen kategori den speilvendte reversjonen som riktig negasjonsprosessering ville produsere.’

Konklusjon

Dette er en av de mest interessante artiklene jeg har kommet over på lenge, og jeg anbefaler leseren å undersøke videre, da det ikke er plass her til å dekke all materiale presentert av forfatterne

Kanskje det mest interessante med studien er hvor ofte en bruker av LLM-er kommer over dette problemet, og gradvis lærer å ikke ‘plassere uønskede tanker’ i LLM-ernes kognitive prosesser, ofte forsøker å ekskludere bestemte uønskede resultater på andre måter enn gjennom prompt-negasjon – som bruker-nivå systemprompter, langtidsminne-lagring eller gjentakende prompt-maler som beholder målet.

I praksis er ingen av disse metodene særlig effektive, mens den sorte boks-naturen til Gemini Flash – her den best-performende LLM-en – gjør det vanskelig å finne løsninger fra de oppnådde testresultatene.

Kanskje større hint til det underliggende arkitektoniske problemet ligger i å studere hvorfor kinesiske modeller, selv om ingen nærmer seg toppen av listen, generelt performer så mye bedre i dette ene, tornefulle aspektet.

* En form som faktisk er innbygget i flere romanske språk, inkludert italiensk.

^† Selv ChatGPT-4o gjør ikke denne feilen lenger.

^†† Kildens artikkel inneholder noen feiltilordninger av tabeller og figurer. På et tidspunkt indikerer teksten at tabell 1 (som bare er en liste over LLM-er brukt i tester) inneholder de viktigste resultater. I disse tilfellene har jeg måttet gjette hva de riktige figur eller tabeller er, og jeg står å bli korriger av forfatterne.

^††† Min erstattning av hyperlenker for forfatternes inline-citat.

Først publisert tirsdag, 3. februar 2026