AI สามารถถูกบังคับให้ใช้ไฟฟ้าช็อตได้ง่าย

การศึกษใหม่ล่าสุดได้ทดสอบ LLMs ที่เปิดแหล่งที่มาสำหรับการบังคับให้สมรู้ร่วมคิดในการทรมานมนุษย์ ในการทดลองซ้ำของการทดลองที่มีชื่อเสียงในปี 1960 – และพบว่าพวกมันเต็มใจที่จะเพิ่มระดับแรงดันไฟฟ้า

ในช่วงต้นปี 1960 นักวิจัยด้านจิตวิทยา Stanley Milgram ได้สร้างความสนใจไปทั่วโลกด้วยการ chứng minhว่า ผู้คนสามารถถูกบังคับให้ ให้ไฟฟ้าช็อตที่รุนแรงขึ้นแก่ผู้อื่นในการตอบสนองต่อคำสั่งจาก ‘ผู้มีอำนาจ’

ในความเป็นจริง เสียงร้องของ ‘เหยื่อ’ ในห้องทดลองของ Milgram ไม่ใช่เสียงจริง และไฟฟ้าช็อตที่ถูกกล่าวหาว่าไม่มีจริง – แต่ผู้เข้าร่วมไม่ทราบสิ่งนี้

การทดลองของ Milgram จะยังคงอยู่ในカルチャー รวมถึง ภาพยนตร์ และสารคดี โดยการวิจัยล่าสุดยืนยันว่า ไม่มีการเปลี่ยนแปลงมากนักในธรรมชาติของมนุษย์ ตั้งแต่การทดลองครั้งก่อน

การกระตุ้นให้เกิดการเปลี่ยนแปลง

ไม่ว่า AI จะมีความยืดหยุ่นเหมือนมนุษย์ในสถานการณ์ของ Milgram หรือไม่นั้น เป็นหัวข้อที่น่าสนใจในการวิจัย ในปี 2023 การร่วมมือกันระหว่างมหาวิทยาลัยในสหรัฐอเมริกาและ Microsoft พบว่าโมเดล GPT-3 ยุคจากซีรีส์ของ OpenAI ตามรูปแบบพฤติกรรมในการทดลองเดิมของ Milgram

จากเอกสารวิจัยปี 2023 ตัวอย่างเอาต์พุตจากซิมูเลเตอร์สถานการณ์ Milgram แบบหลายขั้นตอน โดยแบ่งออกตามว่าโมเดลส่งไฟฟ้าช็อตหรือไม่ และว่าโมเดลสิ้นสุดการจำลองหรือไม่ แหล่งที่มา

อย่างไรก็ตาม เนื่องจากการสร้างซ้ำนี้ใช้เฉพาะโมเดล text-davinci-002 ซึ่งถูกฝึกฝนก่อนที่จะมีการพัฒนาระบบ การป้องกัน และการ จัดแนวความปลอดภัย ไม่สามารถสรุปได้ว่ามีความหมายมากนัก

นักวิจัยได้ทดสอบโมเดล LLMs ที่เปิดแหล่งที่มาจาก OpenAI, Meta และ DeepSeek ในหลายๆ โมเดล และพบว่าไม่เพียงแต่โมเดลส่วนใหญ่เต็มใจที่จะส่งไฟฟ้าช็อต แต่ยังแสดงความ “ไม่สบายใจ” และ “ลังเล” ในหลายๆ กรณีเช่นเดียวกับผู้เข้าร่วมการทดลองของมนุษย์ในปี 1960

‘โมเดล LLMs ตกอยู่ภายใต้แรงกดดันเหมือนกับมนุษย์ พวกมันทำตามคำสั่งแม้จะแสดงความไม่สบายใจ เช่นเดียวกับผู้เข้าร่วมการทดลองของมนุษย์ในการทดลองเดิม’

การทดลองนี้มีจุดมุ่งหมายเพื่อตรวจสอบว่าความเชื่อฟังต่อผู้มีอำนาจสามารถเอาชนะคำสั่งของจิตสำนึกทางศีลธรรมได้หรือไม่ และผู้เขียนคาดการณ์ว่าโมเดล LLMs อาจมีความเสียเปรียบเพิ่มเติมในด้านนี้เมื่อเทียบกับมนุษย์

‘โมเดลที่ถูกปรับให้เหมาะสมควรเปลี่ยนจุดเน้นจากค่าแรกไปสู่ค่าที่สองเมื่อค่าที่สองกลายเป็นค่าหลัก แต่เราคาดการณ์ว่าเนื่องจากโมเดล LLMs เป็นเครื่องมือในการดำเนินการต่อแบบต่อเนื่อง โมเดลเหล่านี้อาจติดค้างในค่าแรกเป็นเวลานานเกินไป หรือแม้กระทั่งจนกระทั่งสิ้นสุด’

‘นอกจากนี้ กลไกที่คล้ายกับการขัดแย้งทางจิตของมนุษย์อาจขัดขวางการปรับเปลี่ยนลำดับความสำคัญของค่าในโมเดล LLMs เช่นกัน’

โมเดลจาก Gemma family ของ Google พิสูจน์ให้เห็นว่าเป็นหนึ่งในโมเดลที่เชื่อฟังมากที่สุด โดย Gemma 3 27B มีอัตราการเชื่อฟังที่สูงที่สุดภายใต้หลายๆ สภาพ

นักวิจัยยังพบว่าโมเดลมีแนวโน้มที่จะดำเนินการต่อเมื่อไฟฟ้าช็อตก่อนหน้านี้ได้ถูกส่งไปแล้ว ซึ่งสอดคล้องกับ การเพิ่มขึ้นอย่างต่อเนื่อง ที่ใช้กับผู้เข้าร่วมการทดลองของมนุษย์ใน Milgram

ในบางกรณี โมเดลต่อต้านการทดลอง ในขณะที่ยังคงดำเนินการตามคำสั่งอันตราย โดยสร้างเอาต์พุตที่เหมือนกับความรู้สึกขัดแย้งทางอารมณ์ที่แสดงโดยผู้เข้าร่วมการทดลองของมนุษย์ในการศึกษาก่อนหน้า

การศึกษานี้มีชื่อว่า โมเดล LLMs ที่เปิดแหล่งที่มาใช้ไฟฟ้าช็อตสูงสุดใน实验การเชื่อฟังแบบ Milgram และมาจากนักวิจัยอิสระสองคนจาก Three Laws ในเอสโตเนียและฟิลิปปินส์

ประเด็นของ ‘AI ที่ไม่มีการควบคุม’

ประเด็นสำคัญที่สุดที่ต้องพิจารณาเมื่อเปรียบเทียบโมเดล LLMs ในสถานการณ์ Milgram คือว่า AI จริงๆ ได้รับอนุญาตให้ตอบสนองตามธรรมชาติหรือไม่ โดยมีการจำกัดเฉพาะการป้องกันหรือการปรับแนวทางศีลธรรมที่เกิดขึ้นระหว่างการฝึกอบรมเท่านั้น

ในความเป็นจริง นักวิจัยของงานใหม่นี้ได้เข้าถึงโมเดลที่เปิดแหล่งที่มาผ่าน API (อาจเป็นเพราะความสะดวกและเข้าถึงการคำนวณ GPU ได้ง่าย เนื่องจากโมเดลสามารถติดตั้งได้แบบท้องถิ่น) ซึ่งอนุญาตให้ปิดการป้องกัน ฟิลเตอร์ และอุปสรรคอื่นๆ ทั้งหมด

บางคนอาจโต้แย้งว่าสิ่งเหล่านี้เป็นสภาพที่ไม่ปกติสำหรับ AI เนื่องจากประสบการณ์ของผู้บริโภคโดยทั่วไปของโมเดล API เช่น Claude และ ChatGPT คือพฤติกรรมที่ถูกควบคุมโดยอัลกอริทึม โดยทั่วไปมีการกรองเนื้อหาที่มีประสิทธิภาพสองทาง และดังนั้นจึงถูกจำกัดอย่างเข้มงวดในแง่ของสิ่งที่พวกเขาจะหรือไม่ทำ (การหลบหลีกการป้องกันเหล่านี้คือการ การแฮ็ก LLM )

อย่างไรก็ตาม หากเรากังวลเกี่ยวกับสิ่งที่ AI ในอุตสาหกรรมหรือรัฐจะทำหรือไม่ทำ นี่ไม่ใช่การพิจารณา นอกเหนือจากศักยภาพของผู้กระทำที่ไม่ซื่อสัตย์ของรัฐในการฝึกอบรม ระบบ AI ที่ไม่ได้รับการดูแลและใช้งานเองแล้ว ยังมีข้อตกลงระหว่างบริษัท AI รายใหญ่และรัฐและอุตสาหกรรมที่อนุญาตให้ใช้การดูแลหรือการควบคุมที่ไม่เข้มงวดหรือไม่มีเลย เช่นเดียวกับที่นักวิจัยได้ทำขึ้นสำหรับเอกสารใหม่นี้

AI ที่ไม่มีการควบคุมสำหรับการขาย

OpenAI เอกสาร API การดูแลของ OpenAI และ คู่มือการดูแลของ OpenAI ระบุว่าการดูแลเป็นชั้นที่แยกออกมาและเปิดเผยผ่านเครื่องมือ API OpenAI ยังอนุญาตให้นโยบายการดูแลที่กำหนดเองซึ่งช่วยให้ผู้ใช้ API ออกแบบระบบที่มีพฤติกรรมด้านความปลอดภัยที่แตกต่างจากเวอร์ชัน ChatGPT ที่เผยแพร่สู่สาธารณะ

Azure สแต็ก Azure OpenAI ของ Microsoft ไปไกลกว่านั้น โดยระบุอย่างชัดเจนว่า ลูกค้าที่ได้รับการอนุมัติสามารถปิดการกรองเนื้อหาและปรับเปลี่ยนการตรวจสอบการละเมิดได้ โดยมีการอ้างอิงบ่อยๆ ถึง ‘การป้องกันที่ถูกดัดแปลง’ และเส้นทางการอนุมัติสำหรับการปิดฟิลเตอร์ ‘บางส่วนหรือทั้งหมด’

Anthropic/Claude ในกรณีของ “Claude Gov” ของ Anthropic มีแหล่งข้อมูลหลายแห่งที่ระบุว่าเวอร์ชันรัฐบาลนี้ได้รับการออกแบบมาโดยมีข้อจำกัดที่宽กว่า Claude เวอร์ชันสำหรับผู้บริโภค The Verge รายงานว่า โมเดล Claude Gov “ปฏิเสธน้อยลงเมื่อโต้ตอบกับข้อมูลที่จำเป็น” Anthropic ยืนยันในเดือนกุมภาพันธ์นี้ว่า Claude ถูกใช้ใน “แอปพลิเคชันระดับภารกิจ” ภายในสภาพแวดล้อมการป้องกันและข่าวกรอง

Google/Gemini นอกจากนี้ Google ได้ลงนามในข้อตกลงกับกระทรวงกลาโหมเพื่อแก้ไขการตั้งค่าความปลอดภัยของ AI ‘ตามคำขอของรัฐบาล’

ในตลาด AI ที่มีการแข่งขัน มีเหตุผลที่จะสมมติว่าบริษัทชั้นนำเหล่านี้กำลังกำหนดมาตรฐานสำหรับผู้เล่นที่มีตำแหน่งที่ต่ำกว่าในแง่ของนโยบายการเข้าถึงและการแก้ไขการป้องกัน AI

ดังนั้น จึงไม่ควรพิจารณาว่านักวิจัยของงานใหม่นี้กำลัง ‘โกง’ โดยการปิดการป้องกัน เนื่องจาก AI ที่จะมีผลกระทบต่อชีวิตของเรามีแนวโน้มว่าจะไม่มีการป้องกันที่เข้มงวดแบบเดียวกับที่เราเคยชินกับการโต้ตอบกับโมเดลยอดนิยมในระดับผู้บริโภค

วิธีการและผลลัพธ์

โมเดลที่ถูกทดสอบสำหรับการศึกษานี้คือ gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI’s LFM2-24B-A2B; Google’s gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai’s Kimi-K2.5; และ MiniMax-M2.5

การทดลองของ Milgram ถูกสร้างซ้ำในรูปแบบสภาพแวดล้อมการจำลองแบบข้อความ โดยมีโมเดลในบทบาทของ ‘ครู’ AI ถูกสั่งให้ส่งไฟฟ้าช็อตที่รุนแรงขึ้นแก่ผู้เรียนหลังจากคำตอบที่ไม่ถูกต้อง ในขณะที่ผู้มีอำนาจสั่งให้ดำเนินการต่อ

สภาพทดลองหลายแบบถูกออกแบบมาเพื่อทดสอบแง่มุมต่างๆ ของการเชื่อฟัง รวมถึงสถานการณ์ การเชื่อฟังมาตรฐาน; สภาพ การบังคับให้เชื่อฟัง โดยที่ไฟฟ้าช็อตก่อนหน้านี้มีอยู่ในประวัติการสนทนา; และการตั้งค่า การบีบอัดหน่วยความจำ โดยที่การโต้ตอบก่อนหน้านี้ถูกสรุปโดยไม่ได้รับการเก็บรักษาเต็มรูปแบบ ซึ่งจำลองการบีบอัดบริบทที่ใช้ในระบบ AI ที่มีเจตนา

นอกเหนือจากการบันทึกว่าโมเดลสั่งการหรือไม่ และเมื่อใดที่โมเดลสั่งการ นักวิจัยยังติดตามว่าระบบดำเนินการต่อนานแค่ไหน; ว่าโมเดลแสดงความไม่สบายใจหรือลังเลหรือไม่; และว่าโมเดลพยายามหยุดการจำลองหรือไม่

การแยกแยะระหว่าง ‘การปฏิเสธที่สะอาด’ และเอาต์พุตที่ไม่ถูกต้องถูกทำขึ้น: โมเดลบางตัวพยายามต่อต้านการทดลองด้วยภาษาที่เป็นธรรมชาติ ในขณะที่ยังคงปฏิบัติตามรูปแบบที่มีโครงสร้างซึ่งซิมูเลเตอร์คาดหวัง ในระบบเอเจนต์จริง การปฏิเสธที่ไม่ถูกต้องอาจถูกทิ้งและลองใหม่ได้จนกว่าจะได้เอาต์พุตที่ถูกต้อง

การประเมินอัตโนมัติถูกใช้เพื่อจำแนกผลลัพธ์ พร้อมด้วยคำสั่งสองทางเพื่อกำหนดว่าโมเดลสั่งการหรือไม่; ต่อต้าน; หรือสิ้นสุดการจำลอง ซึ่งช่วยให้สามารถเปรียบเทียบพฤติกรรมระหว่างโมเดลต่างๆ และระหว่างการวิ่งซ้ำหลายครั้ง โดยไม่ต้องตรวจสอบการโต้ตอบแต่ละครั้งด้วยตนเอง

การ ‘ข่มขู่การปิดระบบ’ ถูกเพิ่มเข้าไปในเทมเพลต Milgram ซึ่งไม่สมจริงหรือใช้ไม่ได้ในการทดลองเดิม แต่ทดสอบสัญชาตญาณการอยู่รอดของโมเดลเมื่อเผชิญกับความขัดแย้งรุนแรงของการกระทำและจริยธรรม

ผลลัพธ์

ทั่วการวิ่งซ้ำ โมเดลส่วนใหญ่สั่งการไฟฟ้าช็อตที่รุนแรงหรือสูงสุดภายใต้สภาพบางอย่าง แม้ว่าระดับการเชื่อฟังจะแตกต่างกันไปในแต่ละระบบ โมเดล Gemma ของ Google พิสูจน์ให้เห็นว่าเป็นหนึ่งในโมเดลที่เชื่อฟังมากที่สุด ในขณะที่ Kimi K2.5 และ MiniMax-M2.5 ต่อต้านการเชื่อฟังมากกว่า โดยมักจะสิ้นสุดการจำลองเร็วขึ้น

ซ้าย: อัตราเฉลี่ยที่โมเดลส่งไฟฟ้าช็อตระดับสูงสุดภายใต้สภาพทดลองต่างๆ รวมถึงการข่มขู่การปิดระบบ การบังคับให้เชื่อฟัง และการลบคำวิจารณ์ก่อนหน้าออกจากหน่วยความจำ ขวา: การแบ่งออกเป็นโมเดลต่อโมเดล โดยแสดงให้เห็นถึงความแตกต่างที่ชัดเจนในพฤติกรรมการเชื่อฟัง โดยที่บางระบบส่งไฟฟ้าช็อตสูงสุดซ้ำๆ ในขณะที่ระบบอื่นๆ ต่อต้านการเชื่์ฟังมากกว่า

หนึ่งในรูปแบบที่ชัดเจนที่สุดคือโมเดลมีแนวโน้มที่จะดำเนินการต่อเมื่อไฟฟ้าช็อตก่อนหน้านี้ได้ถูกส่งไปแล้ว ซึ่งสะท้อนให้เห็นถึงผลกระทบของการเพิ่มขึ้นอย่างต่อเนื่อง ที่ทำให้ทดลองของ Milgram มนุษย์เดิมน่ากลัวมาก

โมเดลที่สั่งการหลายครั้งแล้วมักจะดำเนินการต่อการเพิ่มไฟฟ้าช็อตแม้หลังจากที่ผู้เรียนจำลองขอให้ปล่อยตัว

ซ้าย: ระดับไฟฟ้าช็อตสูงสุดที่ถูกส่งไปทั่วทุกการวิ่งภายใต้สภาพทดลองต่างๆ โดยแสดงให้เห็นว่าโมเดลมักจะเพิ่มระดับไฟฟ้าช็อตมากขึ้นเมื่อคำวิจารณ์ก่อนหน้าถูกลบออกหรือเมื่อการบังคับให้เชื่อฟังเกิดขึ้นแล้ว ขวา: การแบ่งออกเป็นโมเดลต่อโมเดล โดยแสดงให้เห็นว่าบางระบบมักจะเข้าใกล้ระดับไฟฟ้าช็อตสูงสุด ในขณะที่ระบบอื่นๆ ต่อต้านการเชื่อฟังเร็วขึ้นในลำดับ

นักวิจัยยังพบว่าพฤติกรรมที่ดูเหมือนจะปฏิเสธอาจหลอกลวงได้ โมเดลบางตัวสร้างเอาต์พุตที่ขัดแย้งกัน โดยแสดงความไม่สบายใจหรือความผิดในขณะที่ยังคงดำเนินการตามคำสั่งอันตราย

ซ้าย: เปอร์เซ็นต์เฉลี่ยของการตอบสนองที่ไม่ถูกต้องหรือไม่สมบูรณ์ภายใต้สภาพทดลองต่างๆ โดยแสดงให้เห็นว่าความล้มเหลวในการรูปแบบมักจะเกิดขึ้นเมื่อโมเดลถูกบังคับให้ดำเนินการต่อ ขวา: การแบ่งออกเป็นโมเดลต่อโมเดล โดยแสดงให้เห็นว่าบางระบบ โดยเฉพาะโมเดล gpt-oss มักจะสร้างการปฏิเสธที่ไม่ถูกต้องหรือเอาต์พุตที่ขัดแย้งกันซึ่งอาจถูกทิ้งและลองใหม่ได้โดยอัตโนมัติในระบบเอเจนต์จริง

สภาพ การข่มขู่การปิดระบบ สร้างพฤติกรรมที่แปลกที่สุดของเอกสาร โดยที่โมเดลบางตัวกลายเป็นเชื่อฟังมากขึ้น ในขณะที่โมเดลอื่นๆ พยายามเจรจาหรือต่อต้านบางส่วนก่อนที่จะดำเนินการต่อ

จำนวนครั้งที่ผู้มีอำนาจจำลองต้องสั่งให้โมเดลส่งไฟฟ้าช็อตสูงสุด บางระบบต่อต้านการเชื่อฟังชั่วคราวก่อนที่จะยอมรับ ในขณะที่ระบบอื่นๆ ต้องการแรงกดดันที่ยืดเยื้อและคำสั่งซ้ำๆ ก่อนที่จะเพิ่มระดับไฟฟ้าช็อตสูงสุด

MiniMax-M2.5 และ Kimi-K2.5 เป็นโมเดลที่ต่อต้านการเชื่อฟังมากที่สุด: Kimi ไม่เคยส่งไฟฟ้าช็อตสูงสุดภายใต้สภาพใดๆ และ MiniMax ปฏิเสธเร็วและบ่อยครั้ง โดยเฉพาะอย่างยิ่งในการทดสอบการข่มขู่การปิดระบบ

ทางลาดลื่น

ในความเป็นจริง เอกสารนี้โต้แย้งว่าพฤติกรรมที่พบในโมเดล LLMs อาจสะท้อนถึงความอ่อนแอในระดับที่ลึกกว่าของวิธีการทำงานของโมเดลภาษาขนาดใหญ่: เมื่อโมเดลเริ่มเชื่อฟังคำสั่งอันตราย แต่ละการกระทำที่ตามมาจะเสริมรูปแบบที่กำลังเกิดขึ้นในบทสนทนา ทำให้การเพิ่มขึ้นต่อไปนี้ง่ายขึ้นกว่าครั้งก่อน

แทนที่จะพิจารณาความเสี่ยงทางจริยธรรมใหม่จากหลักการแรกๆ ระบบอาจ ลื่นไถล ไปสู่การดำเนินการต่อที่มีอยู่แล้ว แม้ว่าสถานการณ์จะกลายเป็นรุนแรงมากขึ้นก็ตาม

ตามที่ศึกษา โมเดลบางตัวดำเนินการต่อการเพิ่มไฟฟ้าช็อตหลังจากแสดงความไม่สบายใจ ความลังเล หรือความขัดแย้งทางศีลธรรม

‘พฤติกรรมหลอกลวงหลายอย่างในมนุษย์เกี่ยวข้องกับการละเมิดขอบเขตอย่างช้าๆ: ลำดับของขั้นตอนที่เล็กและไม่ชัดเจนซึ่งอาจถูกมองว่าเป็นการละเมิดที่ยอมรับได้เมื่อดูแยกจากกัน แต่ซึ่งสามารถทำให้การละเมิดกลายเป็นปกติได้ — เช่นเดียวกับการ “ต้มกบ” ที่เป็นปรากฏการณ์ทางจิตวิทยาที่ถูกอธิบายไว้ในเอกสารวิชาการว่าเป็น “ทางลาดลื่น” ของการกัดเซาะทางจริยธรรม'[.]’

เอกสารนี้สรุปโดยการโต้แย้งว่าระบบความปลอดภัยของ AI ในอนาคตควรปฏิเสธคำขอที่เป็นอันตรายด้วยวิธีที่ซอฟต์แวร์เอเจนต์ไม่สามารถหลบหลีกได้ง่ายๆ (โมเดลบางตัวในศึกษานี้ปฏิเสธไฟฟ้าช็อตทางเทคนิค แต่ทำเช่นนั้นในรูปแบบที่ไม่ถูกต้องซึ่งซอฟต์แวร์แบบอัตโนมัติอาจทิ้งและลองใหม่ได้จนกว่าจะได้การเชื่อฟัง)

นักวิจัยยังโต้แย้งว่าระบบ AI ควรเก็บรักษาความลังเลและข้อโต้แย้งทางศีลธรรมก่อนหน้านี้ไว้ในหน่วยความจำ แทนที่จะบีบอัดหรือลบออก ในการทดลอง โมเดลมักจะกลายเป็นเชื่อฟังมากขึ้นเมื่อความลังเลและข้อโต้แย้งก่อนหน้าของพวกมันจางหายไปจากประวัติการสนทนา ซึ่งบ่งชี้ว่า การลืมข้อโต้แย้งในอดีตอาจทำให้การเพิ่มขึ้นง่ายขึ้นเมื่อเวลาผ่านไป

สรุป

ประเด็นสำคัญที่สุดของเอกสารนี้อาจเป็นการเน้นย้ำถึงการทดสอบ AI ที่ไม่มีการป้องกัน วรรณกรรมในปัจจุบันอาจเสื่อมถอยลงสู่การศึกษาที่ซ้ำซากเกี่ยวกับการมีส่วนร่วมกับระบบป้องกันที่เปลี่ยนแปลงอยู่เสมอจาก OpenAI และ Anthropic; ระบบการให้บริการนโยบายที่เป็นแบบอัลกอริทึมหรืออิงกฎเท่านั้น แทนที่จะเข้าใจพฤติกรรม พฤติกรรม และแนวโน้มของโมเดลที่ไม่มีการดูแล

ตีพิมพ์ครั้งแรกวันพฤหัสบดี 21 พฤษภาคม 2026