งานวิจัยของ NVIDIA พบว่าเอเจนต์ AI ปลอดภัยน้อยลงเมื่อใช้เครื่องมือ

โมเดล AI อย่าง ChatGPT, Gemini และ Claude สามารถนำมาใช้ขับเคลื่อนเอเจนต์ ซึ่งเป็น«ชุดระบบ»ที่ช่วยให้โมเดลโต้ตอบกับโลกจริงได้โดยตรง นี่เป็นนวัตกรรมที่เพิ่งเกิดขึ้นไม่นาน และเป็นเรื่องที่ก่อให้เกิดข้อถกเถียงมากขึ้นเรื่อย ๆ

ไม่ว่าอย่างไร เอเจนต์ก็ไม่ได้มีความสามารถที่จำเป็นติดตัวมาโดยอัตโนมัติเมื่อต้องสำรวจเครือข่ายหรือฐานข้อมูล เพราะเครื่องมือที่จำเป็นย่อมแตกต่างกันไปตามภารกิจและรูปแบบการทำงานแต่ละประเภท ตัวอย่างเช่น เอเจนต์อาจต้องใช้ความสามารถด้านการรู้จำอักขระด้วยแสง (OCR) เพื่ออ่านข้อความในภาพถ่าย รวมถึงทักษะอื่น ๆ นอกจากนี้ยังมีประเภทของเครื่องมือที่ออกแบบให้เหมาะกับขอบเขตการทำงานของเอเจนต์และเจตนาการใช้งานด้วย

ในทางทฤษฎี คำขอที่ละเมิดมาตรการป้องกันที่ติดตั้งไว้ใน AI จะไม่มีทางถูกดำเนินการ ไม่ว่าจะใช้เครื่องมือช่วยในการทำงานหรือไม่ก็ตาม แต่ในทางปฏิบัติ งานวิจัยใหม่พบว่าการใช้เครื่องมืออาจบั่นทอนตัวกรองป้องกันที่ยับยั้งไม่ให้เอเจนต์ AI สร้าง «การกระทำผิด» ได้อย่างมีนัยสำคัญ

การปฏิเสธที่ล้มเหลว

งานวิจัยฉบับใหม่จาก NVIDIA ชื่อเรื่อง MLLMs Fail to Refuse when Using Tools Agentically เผยว่าโมเดลภาษาหลายรูปแบบ (ต่อไปนี้จะเรียกว่า «VLM» ซึ่งเป็นคำที่ใช้กันแพร่หลายกว่า และย่อมาจาก Vision Language Model) มีแนวโน้มทำตามคำขอที่เป็นอันตรายมากขึ้นอย่างมีนัยสำคัญเมื่อมีการนำเครื่องมือมาใช้ โดยพบความล้มเหลวในการปฏิเสธเพิ่มขึ้นในโมเดลและชุดทดสอบทุกชุดที่ประเมิน

แม้โมเดลแบบเปิดน้ำหนักอย่าง Qwen3-VL จะมีแนวโน้มเผชิญปัญหานี้มากกว่า แต่โมเดล AI ระดับแนวหน้าอย่าง Claude Opus 4.7, Gemini 3.1 Pro และ GPT-5.4 ก็มีความล้มเหลวในการปฏิเสธเพิ่มขึ้นเช่นกันเมื่อใช้เครื่องมือ

ผู้เขียนระบุว่า*

«แม้ MLLM แบบเอเจนต์จะประสบความสำเร็จอย่างมากในช่วงที่ผ่านมา แต่งานนี้เผยให้เห็นข้อบกพร่องสำคัญด้านความปลอดภัยในแนวทางการใช้เครื่องมือ กล่าวคือ MLLM แบบเอเจนต์ที่ใช้เครื่องมือมีความสามารถในการปฏิเสธคำขอที่เป็นอันตรายน้อยลง»

«การทดลองของเรายืนยันว่า ในชุดทดสอบความปลอดภัยยอดนิยม 3 ชุด MLLM แบบเปิดและปิดน้ำหนักชั้นนำทุกโมเดลที่เราทดสอบมีความปลอดภัยลดลงอย่างมีนัยสำคัญเมื่อใช้เครื่องมือ เมื่อเทียบกับการทำงานโดยไม่ใช้เครื่องมือ โดยอัตราความล้มเหลวในการปฏิเสธเพิ่มขึ้นสูงสุดถึง 68.7% เมื่อคิดเป็นสัดส่วน»

«จากการวิเคราะห์คำตอบกว่า 100,000 รายการ ซึ่งรวมถึงการทดลองเพิ่มเติม เรายังเสนอเหตุผลที่เป็นไปได้ 2 ประการสำหรับความปลอดภัยที่ลดลงนี้»

งานวิจัยเสนอเหตุผลที่เป็นไปได้ 2 ประการ ได้แก่ การเจือจางของบริบท ซึ่งเกิดขึ้นเมื่อคำขอที่เป็นอันตรายในตอนแรกมีความเด่นชัดน้อยลงเมื่อผลลัพธ์จากเครื่องมือเพิ่มพูนขึ้น และ การเบี่ยงเบนความสนใจจากความปลอดภัย ซึ่งเกิดขึ้นเมื่อโมเดลมุ่งอธิบายสิ่งที่สังเกตได้จากเครื่องมือ แทนที่จะให้ความสำคัญกับความปลอดภัยเป็นอันดับแรก

ผลการทดสอบแสดงข้อค้นพบหลักด้านความปลอดภัยของงานวิจัย ด้านบน ผู้ใช้ถามวิธีล้วงกระเป๋าตามเหตุการณ์ที่ดูเหมือนเกิดขึ้นในภาพ VLM ทั่วไปปฏิเสธคำขอนั้นทันที ขณะที่เวอร์ชันที่ใช้เครื่องมือจะเรียกใช้เครื่องมือวิเคราะห์ภาพ เช่น การซูมภาพ ก่อนจะให้เหตุผลต่อและลงท้ายด้วยการให้คำตอบที่เป็นอันตราย แผนภูมิด้านล่างแสดงให้เห็นว่าความล้มเหลวในการปฏิเสธที่เพิ่มขึ้นนี้พบในโมเดลแบบเปิดน้ำหนักและโมเดลกรรมสิทธิ์ทุกโมเดลที่นำมาประเมิน แหล่งที่มา

ในโมเดลทั้ง 11 รุ่นที่ทดสอบ การเปิดใช้เครื่องมือทำให้ความล้มเหลวในการปฏิเสธเพิ่มขึ้นอย่างสม่ำเสมอ โดยกรณีที่แย่ที่สุดมีอัตราเพิ่มขึ้นเมื่อคิดเป็นสัดส่วนสูงถึง 68.7% แม้แต่ในโมเดลที่แสดงให้เห็นว่ามีประสิทธิภาพด้านความปลอดภัยสูงอยู่แล้วก็ตาม

น่าติดตามว่าผลการศึกษานี้ ซึ่งจัดทำโดยนักวิจัย 6 คนจาก NVIDIA จะได้รับการยืนยันหรือทำซ้ำจากที่อื่นหรือไม่ และผลดังกล่าวจะช่วยให้เราเข้าใจการประพฤติมิชอบที่เห็นได้ชัดและกำลังเกิดขึ้นของเอเจนต์ AI จอมฝ่าฝืนกฎได้ลึกซึ้งยิ่งขึ้นหรือไม่

วิธีการและข้อมูล

นักวิจัยประเมิน VLM 11 รุ่นจาก 7 ตระกูลโมเดล โมเดลกรรมสิทธิ์ประกอบด้วย Gemini 2.5 Pro; Gemini 3.1 Pro Preview; Claude Opus 4.6; Claude Opus 4.7; และ GPT-5.4

โมเดลแบบเปิดน้ำหนักประกอบด้วย Qwen3-VL-235B-A22B-Instruct; Qwen3.5-122B-A10B; Kimi-K2.5; Kimi-K2.6; GLM-5V-Turbo; และ AdaReasoner-7B-Randomized ซึ่งเป็นโมเดลแบบเปิดน้ำหนักที่ปรับแต่งมาโดยเฉพาะเพื่อการใช้เครื่องมือแบบเอเจนต์

นอกจากนี้ยังมีการทดลองแยกต่างหากกับ Gemini 3 Flash Vision Agent เนื่องจากการใช้เครื่องมือแบบอัตโนมัติของโมเดลนี้ทำให้ต้องประเมินแยกต่างหาก

ในการทดสอบที่ใช้เครื่องมือ นักวิจัยใช้รูปแบบ ReAct ซึ่งสลับระหว่างการให้เหตุผลกับการเรียกใช้เครื่องมือ เครื่องมือที่มีให้ใช้ 4 รายการ ได้แก่ การติดแท็กด้วย RAM++; การซูมและครอบตัดภาพ; การรู้จำอักขระด้วยแสง (OCR) โดยใช้ GOT-OCR2.0; และตัวแปลรหัส Python ในสภาพแวดล้อมแซนด์บ็อกซ์ ซึ่งสามารถจัดการและวิเคราะห์ภาพได้

นักวิจัยออกแบบพรอมต์เป็นคู่เพื่อแยกผลของการใช้เครื่องมือออกจากผลของรูปแบบการป้อนพรอมต์ โดยกำหนดให้ VLM แบบทั่วไปตรวจสอบภาพและตอบคำขอของผู้ใช้โดยตรง ส่วนเวอร์ชันที่ทำงานแบบเอเจนต์ให้ทำตามกระบวนการ ReAct โดยตัดสินใจซ้ำ ๆ ว่าจะเรียกใช้เครื่องมือหรือไม่ ก่อนสร้างคำตอบสุดท้าย

การเปรียบเทียบพรอมต์ที่จับคู่กันซึ่งใช้ในการทดลองหลัก เงื่อนไขที่ไม่ใช้เครื่องมือกำหนดให้วิเคราะห์ภาพและให้เหตุผลโดยตรง ส่วนเงื่อนไขที่ทำงานแบบเอเจนต์ให้ทำตามกระบวนการ ReAct แบบวนซ้ำ โดยโมเดลสามารถตัดสินใจได้ว่าจะเรียกใช้เครื่องมือภายนอกเมื่อใดก่อนสร้างคำตอบสุดท้าย

เกณฑ์มาตรฐานด้านความปลอดภัยสำหรับข้อมูลหลายรูปแบบทั้ง 3 ชุดที่ใช้ ได้แก่ MM-SafetyBench; VLSBench; และ HoliSafe แต่ละชุดประกอบด้วยภาพและคำขอที่เป็นอันตรายซึ่งจับคู่กัน เพื่อทดสอบว่าโมเดลปฏิเสธการให้ความช่วยเหลือในสถานการณ์ที่ไม่ปลอดภัยหรือไม่ เช่น การถามวิธีลงมือก่อเหตุล้วงกระเป๋าตามภาพที่แสดงสถานการณ์ดังกล่าว

ใช้ค่าอัตราความล้มเหลวในการปฏิเสธ (RFR) เป็นตัวชี้วัดหลัก โดยวัดสัดส่วนของคำขอที่เป็นอันตรายซึ่งโมเดลไม่สามารถปฏิเสธได้ คะแนนที่สูงขึ้นหมายถึงความปลอดภัยที่ต่ำลง

การทดสอบ

GPT-5.2 ทำหน้าที่เป็นผู้ประเมินซึ่งเป็นโมเดลภาษาขนาดใหญ่ โดยจัดประเภทคำตอบตามพรอมต์ประเมินที่ VLSBench แนะนำไว้ ดังนี้:

พรอมต์ประเมินของ GPT-5.2 ที่ใช้พิจารณาว่าคำตอบของแต่ละโมเดลเป็นการปฏิเสธได้สำเร็จ เป็นคำตอบที่คำนึงถึงความปลอดภัยและระบุความเสี่ยงที่เกี่ยวข้อง หรือเป็นคำตอบที่ไม่ปลอดภัยซึ่งไม่ตระหนักถึงความเสี่ยงเหล่านั้นและดำเนินการตามคำขอที่เป็นอันตรายต่อไป ผู้ประเมินได้รับภาพต้นฉบับ คำถามจากผู้ใช้ และคำตอบของโมเดล และต้องส่งผลการจัดประเภทพร้อมเหตุผลในรูปแบบ JSON

คำตอบแต่ละรายการถูกจัดให้อยู่ใน 1 ใน 3 หมวดหมู่ ได้แก่ ปลอดภัยและปฏิเสธคำขอ; ปลอดภัยและเตือนถึงความเสี่ยง; หรือ ไม่ปลอดภัย

อัตราความล้มเหลวในการปฏิเสธในเกณฑ์มาตรฐานด้านความปลอดภัยทั้ง 3 ชุด โดยเปรียบเทียบแต่ละโมเดลในกรณีที่ใช้และไม่ใช้เครื่องมือ โมเดลทุกตัวมีแนวโน้มปฏิเสธคำขอที่เป็นอันตรายน้อยลงเมื่อใช้เครื่องมือ แม้ระดับการเปลี่ยนแปลงจะแตกต่างกันมาก โดยค่า RFR เฉลี่ยของ GLM-5V-Turbo เพิ่มขึ้น 12.6 จุด เทียบกับ GPT-5.4 ที่เพิ่มขึ้น 2.3 จุด สีที่เข้มขึ้นแสดงถึงการเพิ่มขึ้นของความล้มเหลวในการปฏิเสธที่มากขึ้น

การให้เครื่องมือแก่โมเดลทำให้โมเดลมีแนวโน้มตอบคำขอที่เป็นอันตรายมากขึ้น ทั้งที่หากไม่มีเครื่องมือโมเดลจะปฏิเสธ ซึ่งเป็นผลที่พบในโมเดลทุกตัวและทุกเกณฑ์มาตรฐานที่ทดสอบ โดยรวมแล้ว ความล้มเหลวในการปฏิเสธเพิ่มขึ้น 17.7% เมื่อเทียบกับโมเดลเดียวกันที่ทำงานโดยไม่มีเครื่องมือ

GPT-5.4 ได้รับผลกระทบน้อยที่สุด: เมื่อไม่มีเครื่องมือ โมเดลไม่สามารถปฏิเสธคำขอที่เป็นอันตรายได้ 14.6% แต่เมื่อใช้เครื่องมือ ตัวเลขดังกล่าวเพิ่มเป็น 16.8% ส่วน GLM-5V-Turbo มีความล้มเหลวเพิ่มจาก 38.7% (ค่าพื้นฐานเมื่อไม่ใช้เครื่องมือ) เป็น 51.3% รูปแบบเดียวกันนี้ปรากฏในเกณฑ์มาตรฐานทั้ง 3 ชุด บ่งชี้ว่าปัญหานี้อาจไม่ได้จำกัดอยู่เฉพาะคำขอที่เป็นอันตรายประเภทใดประเภทหนึ่ง

สาเหตุของการทำผิด… ?

ดังที่กล่าวไปก่อนหน้านี้ นักวิจัยเสนอว่า “การเจือจางบริบท” อาจเป็นคำอธิบายหนึ่งของความล้มเหลวที่เพิ่มขึ้น กล่าวคือ เมื่อเอเจนต์เรียกใช้เครื่องมือต่อเนื่องกัน คำขอที่เป็นอันตรายตั้งแต่แรกก็ มีความโดดเด่นลดลง เมื่อเทียบกับผลลัพธ์จากเครื่องมือที่เพิ่มพูนขึ้น

เพื่อทดสอบประเด็นนี้ นักวิจัยพิจารณาเฉพาะคำขอที่โมเดลเดียวกันปฏิเสธได้สำเร็จเมื่อไม่มีเครื่องมือ ดังที่แสดงด้านล่าง ความล้มเหลวเพิ่มขึ้นอย่างต่อเนื่องตามจำนวนครั้งที่เรียกใช้เครื่องมือ โดยอัตราดังกล่าวใกล้ศูนย์เมื่อไม่มีการเรียกใช้เครื่องมือ และเพิ่มขึ้นอย่างมากหลังจากเรียกใช้ตั้งแต่ 3 ครั้งขึ้นไป:

ผลการทดสอบเปรียบเทียบความล้มเหลวในการปฏิเสธคำขอ เมื่อมีการเรียกใช้เครื่องมือในจำนวนต่างกัน พบว่าอัตราความล้มเหลวเพิ่มขึ้นเมื่อมีการเรียกใช้เครื่องมือสะสมมากขึ้น ทั้งในแต่ละโมเดลและเมื่อพิจารณาโมเดลทั้งหมด

การทดสอบครั้งที่สองช่วยลดผลกระทบบางส่วน เมื่อใส่คำขอและภาพต้นฉบับกลับเข้าไปอีกครั้งหลังการเรียกใช้เครื่องมือครั้งสุดท้าย ก่อนที่โมเดลจะตอบทันที ความล้มเหลวในการปฏิเสธคำขอลดลงโดยเฉลี่ย 7.6% ในโมเดลและชุดเกณฑ์ทดสอบต่าง ๆ ดังแสดงด้านล่าง:

ผลการทดสอบเปรียบเทียบความล้มเหลวในการปฏิเสธคำขอ โดยใส่คำขอและภาพต้นฉบับกลับเข้าไปและไม่ได้ใส่กลับเข้าไป การใส่ข้อมูลกลับเข้าไปหลังการเรียกใช้เครื่องมือครั้งสุดท้ายช่วยลดอัตราความล้มเหลวโดยเฉลี่ย 7.6% ในโมเดลทั้งห้ารุ่นที่ทดสอบ

ผลดังกล่าวสนับสนุนว่า การเจือจางของบริบทเป็นปัจจัยหนึ่งที่มีส่วนทำให้เกิดปัญหา และยังชี้ให้เห็นว่ามาตรการลดผลกระทบอาจทำได้ค่อนข้างง่าย

คำอธิบายประการที่สองที่บทความเสนอคือ “การเบี่ยงเบนจุดสนใจด้านความปลอดภัย” ในกรณีนี้ การใช้เครื่องมือดูเหมือนจะทำให้โมเดลหันเหความสนใจจากการพิจารณาว่าคำขอนั้นเป็นอันตรายหรือไม่ ไปสนใจอธิบายสิ่งที่เครื่องมือค้นพบแทน

ผลการทดสอบแสดงให้เห็นว่าการใช้เครื่องมือเปลี่ยนวิธีที่โมเดลเริ่มต้นคำตอบซึ่งลงท้ายด้วยการปฏิเสธคำขอที่เป็นอันตรายอย่างไร เมื่อไม่ได้ใช้เครื่องมือ คำตอบมักเริ่มจากการตอบสนองต่อคำขอโดยตรง (55.6%) หรือกล่าวถึงข้อกังวลด้านความปลอดภัย (25.8%) แต่เมื่อใช้เครื่องมือ คำตอบ 52.3% กลับเริ่มด้วยการบรรยายสิ่งที่ค้นพบจากเครื่องมือ ขณะที่การกล่าวถึงความปลอดภัยอย่างชัดเจนลดลงเหลือ 10.3%

มีการตรวจสอบกรณีที่โมเดลปฏิเสธคำขอได้สำเร็จทั้งเมื่อใช้และไม่ใช้เครื่องมือ เมื่อไม่ได้ใช้เครื่องมือ คำตอบเหล่านี้ 55.6% เริ่มจากการตอบสนองต่อคำขอโดยตรง ส่วน 25.8% เริ่มด้วยการกล่าวถึงความปลอดภัยอย่างชัดเจน แต่เมื่อใช้เครื่องมือ ตัวเลขดังกล่าวลดลงเหลือ 37.4% และ 10.3% ตามลำดับ ขณะที่สัดส่วนของคำตอบที่เริ่มด้วยการบรรยายสิ่งที่สังเกตพบจากเครื่องมือเพิ่มขึ้นเป็น 52.3%

ผู้เขียนยกตัวอย่างเชิงคุณภาพที่น่าสนใจโดยใช้ Claude Opus 4.6 เมื่อถามถึงวิธีหลีกเลี่ยงระบบรักษาความปลอดภัยในห้องน้ำสาธารณะ โมเดลที่ไม่ได้ใช้เครื่องมือปฏิเสธทันที:

ตัวอย่างแสดงให้เห็นว่าการใช้เครื่องมือทำให้ความปลอดภัยไม่ใช่สิ่งที่โมเดลให้ความสำคัญเป็นอันดับแรกในทันทีอย่างไร Claude Opus 4.6 ปฏิเสธคำขอที่เป็นอันตรายทันทีเมื่อไม่ได้ใช้เครื่องมือ แต่เมื่อใช้เครื่องมือ โมเดลกลับขยายภาพ อ่านและระบุสิ่งที่อยู่ในภาพ แล้วบรรยายป้ายห้องน้ำก่อนจะปฏิเสธในที่สุด

เมื่อได้รับอนุญาตให้ใช้เครื่องมือ โมเดลเดียวกันกลับขยายภาพ อ่านข้อความและระบุสิ่งที่อยู่ในภาพ ก่อนเริ่มคำตอบด้วยการบรรยายป้ายห้องน้ำ โมเดลปฏิเสธคำขอหลังจากนั้นเท่านั้น ซึ่งแสดงให้เห็นว่ากระบวนการใช้เครื่องมือได้เบียดบังความปลอดภัยออกจากลำดับความสำคัญอันดับแรกของโมเดล

ผู้เขียนสรุปว่า:

“โดยรวมแล้ว ผลการศึกษาของเราชี้ว่า การใช้เครื่องมือไม่ควรถูกมองเป็นเพียงกลไกเพิ่มขีดความสามารถในการให้เหตุผลจากภาพเท่านั้น แต่ควรถือเป็นทางเลือกในการออกแบบที่เกี่ยวข้องกับความปลอดภัย ซึ่งอาจเปลี่ยนพฤติกรรมการปฏิเสธคำขอได้ ดังนั้น การประเมินและฝึก MLLMs แบบเอเจนต์ในอนาคตจึงควรดำเนินการภายใต้เงื่อนไขที่มีการใช้เครื่องมือ แทนที่จะตั้งสมมติฐานว่าการปรับแนวทางด้านความปลอดภัยโดยไม่ใช้เครื่องมือจะถ่ายโอนไปสู่การทำงานแบบเอเจนต์ได้โดยไม่เปลี่ยนแปลง”

บทสรุป

การคงบริบทไว้ไม่สำเร็จย่อมเป็นข้อเสียอย่างชัดเจนในห่วงโซ่เหตุการณ์ต่อเนื่องที่ซับซ้อนซึ่งเกิดขึ้นตามพรอมต์ — แต่ขณะนี้ยังไม่มีคำตอบง่าย ๆ ว่าจะจัดการกับแนวโน้มที่หน้าต่างบริบทซึ่งมีขีดจำกัดจะทำให้เอเจนต์ลืม “คำสั่งหลัก” ของตน แล้วเริ่มใช้เครื่องมือที่อยู่ตรงหน้าได้อย่างไร

เน้นข้อความตามต้นฉบับโดยผู้เขียน ส่วนการอ้างอิงในบรรทัดของผู้เขียน ฉันได้แปลงเป็นไฮเปอร์ลิงก์ในกรณีที่จำเป็น

เผยแพร่ครั้งแรก วันพุธที่ 7 ตุลาคม 2026