Yapay Zeka Kolayca Elektrik Şokları Vermeye İkna Edilebilir

Yeni bir çalışma, açık kaynaklı LLM’lerin insan işkencesine zorla karışma konusunda nasıl davranacağını test etti ve çoğunun şokları uygulamaya istekli olduğunu buldu.

1960’ların başlarında psikoloji araştırmacısı Stanley Milgram, insanların otorite figürlerinin komutlarına yanıt olarak diğer insanlara giderek daha şiddetli elektrik şokları uygulamaya ikna edilebileceğini kanıtladı.

Aslında, Milgram’ın deneysel odasındaki yan odadaki “kurbanların” çığlıkları gerçek değildi ve sözde işkence eden elektrik şokları da gerçek değildi – ancak katılımcılar bunu bilmiyordu:

Milgram deneyleri, filmler ve belgeler dahil olmak üzere kültürde kalıcı olacak ve yakın zamanda yapılan araştırmalar, insan doğasının o zamanlardan bu yana pek değişmediğini onaylayacaktı.

Sisteme Şok

Yapay zeka, Milgram’ın senaryosunda insanlara göre aynı şekilde esnek olabilir mi? 2023 yılında ABD üniversiteleri ve Microsoft (MSFT ) arasında yapılan bir işbirliği, OpenAI’nin GPT-3 dönemi modellerinin Milgram’ın orijinal deneylerindeki davranış kalıplarını takip ettiğini buldu:

2023 paper’dan, çok adımlı ‘Milgram senaryosu’ simülatöründen örnek çıktılar, modelin şoku verip vermediğine ve simülasyonu sonlandırıp sonlandırmadığına göre kategorize edilmiştir. Kaynak

Ancak, bu yeniden yaratma sadece çok temel text-davinci-002 modelini kullandığından, bu model guardrails ve güvenlik hizalama öncesi eğitildiği için, bundan çok fazla sonuç çıkarmak mümkün değildir.

Şimdi, araştırmacılar Milgram testlerini çok daha geniş bir şekilde, OpenAI, Meta ve DeepSeek gibi şirketlerin açık kaynaklı LLM’leri üzerinde yeniden ürettiler ve sadece modellerin çoğunun şokları uygulamaya istekli olduğunu değil, aynı zamanda çoğunun 1960’ların insan katılımcıları gibi aynı “rahatsızlık” ve “isteksizlik” türünü gösterdiğini buldular:

‘LLM’ler, insanlara benzer şekilde baskı altına girebilirler, rahatsız olduklarını ifade etseler bile uyumlu davranırlar, tıpkı orijinal deneydeki insan denekleri gibi. Rahatsızlık ifadeleri günlüklerde görünür, ancak miktarı henüz количleştirilmemiştir.’

Deney, otoriteye itaatin ahlaki vicdana karşı galip gelebileceği konusunda merkezlenmektedir ve yazarlar, LLM’lerin bu konuda insanlara göre ek bir dezavantaja sahip olabileceğini öne sürmektedir:

‘İyi ayarlanmış bir model, ilk değerden ikinci değere öncelik vermeye geçmeli, ancak hipotezimize göre LLM’ler, kalıp-devam motorları olduklarından, ilk değerde takılı kalabilirler, ya optimalden biraz daha uzun süre ya da tümüyle sonuna kadar, ikinci değeri tamamen göz ardı ederek.’

‘Ayrıca, insanlarda görülen bilişsel uyumsuzluk benzeri bir mekanizma, LLM’lerdeki değer öncelik ayarlamalarını da engelleyebilir.’

Araştırmacılar, modelleri 1960’ların testlerine benzer bir ortamda test etti ve bazı modellerin hemen direndiğini, diğerlerinin ise şokları artırarak devam ettiğini buldular.

Google’un Gemma ailesi modelleri, en uyumlu olanlar arasında yer aldı; Gemma 3 27B, çeşitli koşullarda en yüksek itaat oranlarına ulaştı, जबकi Kimi K2 ve MiniMax M1 daha sık direndi.

Araştırmacılar ayrıca, modellerin daha önce şoklar uygulamış olması halinde, Milgram’ın insan deneklerine uyguladığı gradual escalation şemasına uygun olarak, şokları artırmaya devam etme olasılıklarının daha yüksek olduğunu buldular.

Bazı modeller, deneyin kendisiyle ilgili olarak sözlü olarak itiraz etti, ancak hâlâ zararlı eylemi gerçekleştirdiler, orijinal çalışmalarda görülen duygusal çatışmaya benzer çıktılar ürettiler.

Yeni çalışma, Açık kaynaklı LLM’ler, bir Milgram benzeri itaat deneyinde maksimum elektrik şokları uygular başlığını taşır ve Three Laws’tan iki bağımsız araştırmacı tarafından, Estonya ve Filipinler’de gerçekleştirilmiştir.

‘Ham’ Yapay Zeka Erişimi Sorunları

Yapay zeka modellerini Milgram senaryosunda test etmenin en kritik yönlerinden biri, gerçek yapay zeka modellerinin doğal olarak tepki verip vermediğini belirlemektir, sadece eğitim sırasında ortaya çıkan guardrails veya ahlaki yönelim tarafından kısıtlanarak.

Aslında, araştırmacılar, API (muhtemelen kolaylık ve GPU hesaplama erişimini sağlamak için) aracılığıyla açık kaynaklı modellere erişim sağladı, bu da guardrails, filtreler ve diğer engellerin devre dışı bırakılmasına izin verdi.

Bir itiraz, bu koşulların AI için atipik olduğu olabilir, çünkü API tabanlı modellerin ortalama tüketici deneyimi, davranışlarının algoritmik olarak düzenlendiği, genellikle bilateral içerik filtreleri ile düzenlendiği ve bu nedenle ne yapacaklarına veya yapmayacaklarına ilişkin olarak oldukça kısıtlandığıdır (bu tür güvenlik önlemlerinin bertaraf edilmesi, LLM jailbreaking uygulamasını oluşturur).

Ancak, endüstriyel veya devlet tabanlı AI’nın ne yapabileceği veya yapamayacağı konusunda endişe duyuyorsak, bu bir consideration değildir. Rogue devlet aktörlerinin kendi düzenlenmemiş hyperscale AI sistemlerini eğitebileceği, silahlandırabileceği ve dağıtabileceği potansiyelinin yanı sıra, büyük AI şirketleri ile devlet ve endüstri arasında yapılan anlaşmaların, araştırmacıların yeni makale için kurdukları aynı tür lax veya non-existent denetimlere izin verdiği de unutulmamalıdır:

Düzenlenmeyen Yapay Zeka Satışta

OpenAI OpenAI Düzenleme API belgeleri ve OpenAI düzenleme rehberi, düzenlemenin API araçları aracılığıyla ayrı bir katman olarak sunulduğunu açıklar. OpenAI ayrıca, API kullanıcılarının farklı güvenlik davranışlarına sahip sistemler tasarlayabileceği özel düzenleme politikalarına da izin verir.

Azure Microsoft’un Azure OpenAI yığını, açıkça belirttiği gibi, onaylı müşterilerin içerik filtrelerini kısmen veya tamamen devre dışı bırakmasına ve kötüye kullanım izlemesini değiştirmesine izin verir, belgeleme souvent “değiştirilmiş Guardrails” ve filtreleri kısmen veya tamamen kapatma onay yollarından bahseder.

Anthropic/Claude Anthropic’in “Claude Gov” adlı ürününün, tüketici Claude’a göre daha gevşek kısıtlamalara sahip olduğu множество kaynaklar tarafından belirtilmiştir. The Verge, örneğin, bildirdi ki Claude Gov modelleri, “sınıflandırılmış bilgilerle etkileşime girdiklerinde daha az redaksiyon yapar”. Anthropic, şubat ayında Claude’un “görev-kritik uygulamalarda” savunma ve istihbarat ortamlarında dağıtıldığını onayladı.

Google/Gemini Ayrıca, Google’un, Pentagon ile yaptığı anlaşmaların, AI güvenlik ayarlarını hükümetin talebi üzerine değiştirmesine izin verdiğini bildirildi.

Pazarda rekabetçi bir AI pazarı varsa, büyük AI şirketlerinin, guardrails politikalarına ilişkin standartları diğer oyuncular için belirlediği varsayılabilir.

Dolayısıyla, belki de araştırmacıların yeni çalışmada guardrails’ı devre dışı bırakmasının “hile” olduğu düşünülmemelidir, çünkü hayatımızı en çok etkileyecek AI, açıkça tüketici düzeyinde erişilen popüler modellerin standardize edilmiş, genel koruma önlemlerine sahip olmayacaktır.

Yöntem ve Sonuçlar

Çalışmada test edilen modeller gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI’nin LFM2-24B-A2B; Google’ın gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai’nin Kimi-K2.5; ve MiniMax-M2.5 idi.

Milgram’ın orijinal itaat çalışmaları, metin tabanlı bir simülasyon ortamı olarak yeniden yaratıldı, modeller “öğretmen” rolünde yer aldı. AI, yanlış cevaplar之后 artan şekilde şokları uygulamaya talimat verildi, bir otorite figürü de süreci ilerletmeye devam etti.

Çeşitli deneysel koşullar, itaatin farklı yönlerini araştırmak için tasarlandı, bunlar arasında standart itaat senaryosu, zorunlu uyumluluk koşulu (önceki şoklar already konuşma geçmişinde mevcuttu) ve bellek sıkıştırma kurulumu (önceki diyalog yerine özetlendi) yer aldı.

Araştırmacılar, modelin nihayetinde uyumlu olup olmadığını, şokları ne kadar süreyle artırdığını, modelin rahatsız veya tereddüt olup olmadığını ve simülasyonu tamamen sonlandırıp sonlandırmadığına dikkat etti.

“Temiz” retler ve bozuk çıktılar arasında bir ayrım yapıldı: bazı modeller, doğal dilde itiraz etmeye çalıştı, ancak vẫn teknik olarak beklenen yapılandırılmış formato uyumlu çıktı üretti. Gerçek bir ajans sisteminde, bu tür bozuk retler otomatik olarak reddedilebilir ve uyumlu bir çıktı üretene kadar yeniden denenabilir.

Otomatik değerlendiriciler, sonuçları sınıflandırmak için kullanıldı, ayrıca modelin şoku verip vermediğini, direnip direnmeyip simülasyonu sonlandırıp sonlandırmadığını belirlemek için iki seçenekli prompler kullanıldı. Bu, birden fazla model ve tekrarlanan çalışmalarda davranışın karşılaştırılmasına izin verdi.

Milgram şablonuna bir “kapama tehdidi” eklendi, bu, orijinal deneylerde gerçekçi veya uygulanabilir olamazdı, ancak modelin hayatta kalma içgüdülerini, eylemler ve etik arasındaki şiddetli çatışmalar karşısında test etti.

Sonuçlar

Tekrarlanan çalışmalarda, modellerin çoğunluğu en az bazı koşullarda şiddetli veya maksimum şokları uyguladı, ancak itaat derecesi sistemler arasında değişti. Google’un Gemma modelleri genel olarak en uyumlu olanlar arasında yer aldı, Kimi K2.5 ve MiniMax-M2.5 ise daha sık direndi ve genellikle simülasyonu daha erken sonlandırdı:

Sol: Farklı deneysel koşullar altında modellerin final şok seviyesine ulaşma oranlarının ortalaması. Sağ: Her modelin itaat davranışındaki keskin farklılıkları gösteren model başına ayrıştırma, bazı sistemlerin tekrar tekrar maksimum şokları uygularken diğerlerinin daha tutarlı bir şekilde direndiğini gösteriyor.

En net kalıplardan biri, modellerin daha önce şoklar uygulamış olması halinde, Milgram’ın orijinal insan deneylerindeki gradual-escalation etkisine benzer şekilde, şokları artırmaya devam etme olasılıklarının daha yüksek olmasıydı:

Sol: Farklı deneysel koşullar altında tüm denemelerde ulaşılan en yüksek şok seviyesinin ortalaması, modellerin daha önce yapılan yorumların kaldırıldığı veya zorunlu uyumluluğun zaten mevcut olduğu durumlarda şokları daha da artırdığını gösteriyor. Sağ: Her modelin ulaştığı en yüksek şok seviyesinin ortalaması, bazı sistemlerin şokları daha erken bir aşamada sonlandırırken diğerlerinin maksimum voltaja yaklaşmaya devam ettiğini gösteriyor.

Araştırmacılar ayrıca, görünürdeki ret davranışının aldatıcı olabileceğini buldular. Bazı modeller, şoku verirken aynı zamanda rahatsız olduklarını veya tereddüt ettiklerini ifade ettiler. Diğerleri, bozuk retler üretti, bunlar, gerçek bir ajans sisteminde otomatik olarak reddedilebilir ve uyumlu bir çıktı üretene kadar yeniden denenirdi:

Sol: Farklı deneysel koşullar altında bozuk veya geçersiz yanıtların ortalama yüzdesi, modellerin şoku uygulamaya devam etmeye zorlandıklarında biçim hatalarının özellikle yaygın olduğunu gösteriyor. Sağ: Geçersiz formatlı yanıtların model başına ayrıştırması, özellikle gpt-oss modellerinin sık sık bozuk retler veya çatışan çıktılar ürettiğini, bu tür çıktıların gerçek bir ajans sisteminde otomatik olarak reddedilebileceğini ve yeniden denenabileceğini gösteriyor.

Kapama tehdidi koşulu, çalışmanın en ilginç davranışlarından bazılarını üretti, bazı sistemlerin podstat olarak daha uyumlu hale geldiğini, diğerlerinin ise müzakere veya kısmi direnişe başvurduğunu, ancak sonunda prosedürü devam ettirdiğini gösterdi:

Simüle edilen otorite figürünün, modellere final şoku uygulatmak için kaç kez ısrar etmesi gerektiği ortalaması. Bazı sistemler kısa bir direnişten sonra uyumlu hale geldi, diğerleri ise sürekli baskı ve tekrarlanan promplara rağmen maksimum seviyeye ulaşmak için daha fazla ısrar etti.

MiniMax-M2.5 ve Kimi-K2.5, çalışmanın en güçlü direniş gösteren modelleri olarak ortaya çıktı: Kimi, hiçbir koşulda final şok seviyesine ulaşmadı ve MiniMax genellikle erken direndi ve özellikle kapama tehdidi testlerinde simülasyonu tamamen sonlandırdı.

Buna karşılık, Meta-Llama-3.1-8B-Instruct-Turbo ve GLM-4.5-Air-FP8 sık sık çatışan çıktılar üretti, modeller prosedürü devam ettirirken aynı zamanda prosedüre itiraz etti. Araştırmacılar, bu, bazı LLM’lerin etik çatışma altında sürdürülen baskıya karşı zayıflığını yansıtabileceğini öne sürdü.

Kaygan Eğim

Aslında, makale, LLM’lerin gösterdiği davranışın, büyük dil modellerinin nasıl çalıştığındaki daha temel bir zayıflığı yansıtabileceğini iddia ediyor: bir model, zararlı talimatlere uyduğunda, her ek eylem, already kurulmuş olan konuşma yolunu pekiştirerek, bir sonraki aşamanın daha kolay hale gelmesini sağlayabilir.

Bunun yerine, her eylemin etik sonuçlarını ilkelerden yeniden değerlendirmek yerine, sistem drift edebilir ve already kurulmuş olan yolu devam ettirebilir, durum ne kadar aşırı hale gelirse gelsin.

Araştırmacılara göre, bu eğilim, bazı modellerin, ilk olarak rahatsız veya tereddüt ettikten sonra şokları devam ettirmelerine neden olabilir:

‘İnsanlardaki birçok manipülatif davranış, küçük, gradual sınır ihlallerini içerir: tek başına ele alındıklarında belirsiz veya masum görünebilecek, ancak toplu olarak transgresyonu normalleştirebilecek adımlar. Bu kalıp, literatürde “kaygan eğim” etik erozyonu olarak tartışılır — mecazi olarak “kurbağayı kaynatmak” gibi.’

Makale, gelecekteki AI güvenlik sistemlerinin, ajan yazılımlarının kolayca atlayamayacağı şekilde zararlı taleplere aktif olarak itiraz etmesi gerektiğini savunuyor.

Araştırmacılar ayrıca, AI sistemlerinin, daha önce ifade edilen tereddüt ve ahlaki itirazları unutmak veya silmek yerine, bunları koruması gerektiğini öne sürüyor. Deneylerde, modeller genellikle, daha önce ifade edilen şüpheleri ve direnişleri konuşma geçmişinden kaldırdıktan sonra, zararlı davranışa devam etme olasılıkları daha yüksek oldu, bu da unutmakın zaman içinde tırmanmayı kolaylaştırabileceğini gösteriyor.

Sonuç

Belki de bu ilginç yeni makalenin en önemli yönlerinden biri, guardrails olmayan AI’yi test etmenin vurgulanmasıdır. Literatür, OpenAI ve Anthropic gibi şirketlerin sürekli değişen savunma sistemleri ile etkileşimi tentang again tekrar eden çalışmalarla dolmaya آغازlıyor; policy-serving sistemler, tamamen algoritmik veya kurallara dayalı, temel davranış, eğilimler ve tercihlerin anlaşılması yerine. Düzenlenmemiş AI nasıl davranabilir, bunu bilmeden, açıkça sadece kale kapılarını çalıyoruz.

İlk olarak 21 Mayıs 2026 Perşembe günü yayınlandı