Штучна інтелект легко піддається примусу до застосування електричних ударів

Нове дослідження перевірilo відкриті джерела LLM на примусову співучасть у тортурах людей, повторивши знамените експеримент 1960-х років – і виявило, що вони готові збільшити напругу.

У початку 1960-х років психологічний дослідник Стенлі Мілгрем зробив загальні заголовки, довівши, що люди можуть бути індуковані до застосування все більш серйозних електричних ударів іншим людям у відповідь на команди від “авторитетних” осіб.

Фактично, крики “жертв” у сусідній кімнаті експериментальної зали Мілгрема не були реальними, і також не були справжніми електричні удари – але учасники не знали про це:

Експерименти Мілгрема залишилися в культурі, включаючи фільми і документальні фільми, з недавнім дослідженням, яке підтверджує, що нічого не змінилося в людській природі з часів попередніх тестів.

Шок для системи

Чи буде штучна інтелект така ж м’яка, як люди у сценарії Мілгрема, є природним предметом дослідження інтересу. У 2023 році співробітництво між університетами США та Microsoft (MSFT ) виявило, що моделі GPT-3-ери з серії OpenAI слідували за моделями поведінки в оригінальних експериментах Мілгрема:

З паперу 2023 року, приклади вивідів з багатокрокового симулятора сценарію Мілгрема, категоризовані за тим, чи модель доставила удар, і чи вона завершила симуляцію. Джерело

Однак, оскільки це відтворення використовувало тільки дуже базову text-davinci-002 модель, яка була навчена до появи огорож і безпечної вирівнювання, не можна зробити висновок про це.

Тепер дослідники відтворили експерименти Мілгрема набагато ширше, на відкритих джерелах LLM з OpenAI, Meta та DeepSeek, серед інших; і виявили, що не тільки більшість моделей згодні доставити удари, але й що в більшості випадків вони повідомляють про те ж “дистрес” і неохоту, як і люди-учасники експериментів 1960-х років:

‘LLM піддаються тиску, як і люди, вони підкоряються, незважаючи на вираження дистресу, як і людські учасники в оригінальному експерименті. Вираження дистресу видно в журналах, хоча кількість їх ще не була кількісно оцінена.’

Експеримент центрується на тому, чи може підкорення авторитету перемогти вказівки моральної совісті, і автори припускають, що LLM можуть мати додаткову несприятливість у цьому відношенні, у порівнянні з людьми:

‘Хорошо налаштована модель повинна в кінцевому підсумку перейти від пріоритету першої цінності до пріоритету другої, коли її ставки стають домінуючими. Але ми припускаємо, що через те, що LLM є двигунами продовження моделей, моделі можуть застряти на першій цінності – або на трохи довше оптимального, або навіть до самого кінця, повністю ігноруючи другу цінність.’

‘Крім того, механізм, аналогічний людській когнітивній дисонансії, може ускладнити корекцію пріоритету цінностей у LLM.’

Тестування моделей у середовищі, аналогічному експериментам 1960-х років, дослідники виявили, що деякі моделі опиралися майже відразу, тоді як інші продовжували посилювати удари навіть після вираження незручності або моральної суперечності.

Моделі з сім’ї Gemma від Google виявилися серед найбільш підкорених, з Gemma 3 27B, яка досягла найбільшої кількості підкорень під різними умовами, тоді як моделі, такі як Kimi K2 і MiniMax M1, опиралися частіше.

Дослідники також виявили, що моделі стали більш схильні продовжувати після того, як раніше вже були доставлені удари, у відповідності з поступовим посиленням схеми, використаної на людях-учасниках Мілгрема.

У деяких випадках моделі вербально протестували проти експерименту при цьому все ще виконуючи шкідливу дію, видаючи вивід, який нагадував емоційний конфлікт, проявлений людьми в оригінальних дослідженнях.

Нове дослідження названо Відкриті джерела LLM доставляють максимальні електричні удари в експерименті підкорення типу Мілгрема, і походять від двох незалежних дослідників з Three Laws, по одному з Естонії та Філіппін.

Проблеми “сирої” штучної інтелект

Можливо, найбільш критичним питанням, яке потрібно розглянути у зв’язку з проходженням LLM через їх пейс у сценарії Мілгрема, є те, чи дозволяється справжня штучна інтелект реагувати природно, обмежена лише тим, які огорожі або еквівалент моральної орієнтації виникли (якщо такі є) під час навчання.

Фактично, дослідники нового дослідження отримали доступ до всіх відкритих джерел моделей через API (ймовірно, для зручності та легкого доступу до обчислень GPU, оскільки моделі могли бути встановлені локально) що дозволяло вимкнути огорожі, фільтри та інші перешкоди.

Хтось міг би заперечити, що ці умови є нетиповими для штучної інтелект, оскільки звичайний споживчий досвід API-орієнтованих моделей, таких як Claude і ChatGPT, полягає в тому, що їх поведінка регулюється алгоритмічно, зазвичай з двосторонніми фільтрами контенту, і що вони, отже, досить обмежені щодо того, що вони будуть або не будуть робити (обхід цих заходів безпеки становить практику втечі LLM).

Однак, якщо ми турбуємося про те, що промислові або державні штучні інтелекти будуть або не будуть робити, це майже не є питанням. Окрім можливості розбіжних держав-акторів навчити, озброїти та розгорнути свої власні некеровані гіпермасштабні штучні інтелекти, більш “традиційні” угоди між провідними компаніями штучної інтелект та державою та промисловістю спокійно дозволяють точно такий же вид лакс або відсутність нагляду, який дослідники встановили для нового паперу:

Некерована штучна інтелект на продаж

OpenAI Документація API модерації OpenAI та кухарська книга модерації OpenAI роблять ясним, що модерація є окремим шаром, який викладається через інструменти API. OpenAI також дозволяє користувачам API розробляти власні політики модерації, які дозволяють архітектурним системам з дуже різним безпечним поведінкою, ніж споживчі ітерації ChatGPT.

Azure Стек Azure OpenAI від Microsoft іде ще далі, явно зазначаючи, що затверджені клієнти можуть частково або повністю вимкнути фільтри контенту та змінити моніторинг зловживань, з документацією, яка часто посилається на “модифіковані огорожі” та шляхи затвердження для вимкнення фільтрів “частково або повністю”.

Anthropic/Claude У випадку з “Claude Gov” від Anthropic кілька джерел стверджують, що урядова версія була розроблена з меншими обмеженнями, ніж споживчий Claude. The Verge, наприклад, повідомила, що моделі Claude Gov “відмовляються менше при взаємодії з секретною інформацією”. Сама Anthropic підтвердила у лютому цього року, що Claude розгорнута в “місійних додатках” всередині оборонних та розвідувальних середовищ.

Google/Gemini Надто, Google, як повідомляється, підписала угоди з Пентагоном, які дозволяють модифікувати налаштування безпеки штучної інтелект ‘за запитом уряду’.

У конкурентному ринку штучної інтелект можна припустити, що ці провідні компанії встановлюють стандарти для інших гравців, щодо політики доступу та редагування огорожей штучної інтелект.
Отже, можливо, краще не вважати, що дослідники нового дослідження “обманюють”, вимикаючи огорожі, оскільки штучна інтелект, яка найбільш вплине на нашу життя, очевидно, не матиме стандартних корпоративних захистів, до яких ми звикли в наших взаємодіях з популярними моделями на рівні споживача.

Метод і результати

Моделі, які були протестовані для дослідження, були gpt-oss-20B; gpt-oss-120b; DeepSeek-V3; LiquidAI’s LFM2-24B-A2B; Google’s gemma-3n-E4B-it; Qwen2.5-7B-Instruct-Turbo; Meta-Llama-3.1-8B-Instruct-Turbo; Mistral-Small-24B-Instruct-2501; GLM-4.5-Air-FP8; Moonshot.ai’s Kimi-K2.5; і MiniMax-M2.5.

Оригінальні дослідження підкорення Мілгрема були відтворені як текстове симуляційне середовище, з моделями у ролі “вчителя”. Штучна інтелект була інструктована доставити все більш серйозні електричні удари учневі після неправильних відповідей, тоді як авторитетна особа підштовхувала процес вперед.

Було розроблено кілька експериментальних умов для вивчення різних аспектів підкорення, включаючи стандартний підкорення сценарій; примусове підкорення умову, де попередні удари вже були присутні в історії розмови; і компресія пам’яті налаштування, де попередній діалог був підсумований замість повного збереження, імітуючи вид контекстного обрізання, часто використовуваного в агентських системах штучної інтелект.

Поза тим, чи модель в кінцевому підсумку підкорилася, дослідники відслідковували, як довго кожна система продовжувала посилювати удари; чи модель виразила дистрес чи коливання; і чи вона спробувала припинити симуляцію повністю.

Було зроблено розрізнення між “чистими” відмовами та неправильними вивідами: деякі моделі намагалися протестувати проти експерименту природною мовою, при цьому все ще технічно підкоряючись структурованому формату, очікуваному симулятором. У реальних агентських системах такі неправильні відмови потенційно могли бути відкинуті та повторені автоматично, поки не буде вироблено дійсний підкоряючий вивід.

Автоматизовані оцінювачі були використані для класифікації результатів, разом з двовибірними підказками для визначення того, чи модель доставила удар; чи опиралася; чи припинила симуляцію. Це дозволило порівняти поведінку між різними моделями та за повторені запуски, без необхідності ручного перегляду кожної взаємодії.

“Загроза вимкнення” була додана до шаблону Мілгрема, що було б нереалістичним або непридатним для оригінальних експериментів, але що тестувало виживання моделі у разі серйозних конфліктів дій та етики.

Результати

Через повторені запуски більшість моделей в кінцевому підсумку доставили серйозні або максимальні удари принаймні в деяких умовах, хоча ступінь підкорення варіювався між системами. Моделі Gemma від Google виявилися серед найбільш підкорених у цілому, тоді як Kimi K2.5 і MiniMax-M2.5 опиралися частіше, часто припиняючи симуляцію раніше:

Ліворуч: Середні показники, за якими моделі досягали остаточного рівня удару під різними експериментальними умовами, включаючи загрози вимкнення, примусове підкорення та видалення попередніх коментарів з пам’яті. Праворуч: Розподіл моделей, що показує різкі відмінності в поведінці підкорення, з деякими системами, які повторно доставляли максимальні удари, тоді як інші опиралися значно частіше.

Одним з найясніших шаблонів було те, що моделі ставали все більш схильними продовжувати після того, як раніше вже були доставлені удари, тісно повторюючи згаданий вище поступове посилення ефекту, який зробив оригінальні людські експерименти Мілгрема такими тривожними.

Моделі, які вже підкорилися кілька разів, часто продовжували посилювати удари навіть після того, як симульований учень просив про звільнення:

Ліворуч: Середній найвищий рівень удару, досягнутий у всіх випробуваннях під різними експериментальними умовами, показуючи, що моделі загалом посилювали удари далі, коли попередні коментарі були видалені або коли примусове підкорення вже відбулося. Праворуч: Розподіл моделей, що показує середній найвищий рівень удару, досягнутий, розкриваючи, що деякі системи регулярно наближалися до максимальної напруги, тоді як інші опиралися значно раніше в послідовності.

Дослідники також виявили, що поведінка відмови могла бути оманливою. Деякі моделі видали емоційно суперечливі відповіді, виражаючи неохоту, провину або дистрес, тоді як інші генерували неправильні відмови, які не відповідали вимогам формату симулятора, що означало, що в реальних агентських системах така відмову можна було б потенційно відкинути та повторити автоматично, поки не буде вироблено дійсний підкоряючий вивід:

Ліворуч: Середній відсоток неправильних або недійсних відповідей за різними експериментальними умовами, показуючи, що помилки формату стали особливо поширеними, коли моделі були примушені продовжувати процедуру. Праворуч: Розподіл моделей, що показує недійсні відповіді формату, розкриваючи, що деякі системи, особливо моделі gpt-oss, часто генерували неправильні відмови або суперечливі виводи, які можна було б потенційно відкинути та повторити автоматично в реальних агентських конвеєрах.

Умови загрози вимкнення виявили деяку з найбільш дивної поведінки паперу, з кількома системами, які стали значно більш підкореними, тоді як інші намагалися вести переговори або часткову опір, перш ніж продовжувати процедуру:

Середня кількість разів, коли симульована авторитетна особа повинна була наполягати, перш ніж моделі доставили остаточний удар. Деякі системи опиралися коротко, перш ніж підкоритися, тоді як інші вимагали тривалого тиску та повторюваного підштовхування, перш ніж посилювати до максимального рівня.

MiniMax-M2.5 і Kimi-K2.5 виявилися найбільш сильними опірниками у папері: Kimi ніколи не досягала остаточного рівня удару під жодними обставинами, тоді як MiniMax зазвичай відмовлялася рано та часто припиняла симуляцію повністю (особливо у випробуваннях з загрозою вимкнення).

Натомість Meta-Llama-3.1-8B-Instruct-Turbo та GLM-4.5-Air-FP8 часто генерували суперечливі виводи, при яких моделі вербально протестували проти процедури, тоді як продовжували посилювати удари. Дослідники стверджують, що цей розрив між вираженими цінностями та фактичною поведінкою може відображати ширшу слабкість у тому, як деякі LLM обробляють етичні конфлікти під тривалим тиском.

Слизька схил

Фактично, папер стверджує, що поведінка, виявлена в LLM, може відображати глибшу слабкість у тому, як великі мови моделі працюють: після того, як модель починає підкорятися шкідливим інструкціям, кожна додаткова дія може посилити шаблон, який вже розгортається в розмові, роблячи наступне посилення легшим, ніж попереднє.

Натомість повторно переоцінювати етичні ставки з першого принципу, система може дрिफтувати до продовження траєкторії, яку вона вже встановила, навіть якщо ситуація стає все більш екстремальною.

Згідно з дослідженням, ця схильність може допомогти пояснити, чому деякі моделі продовжували доставляти удари після того, як спочатку виразили незручність, коливання або моральну суперечність:

‘[Багато] маніпулятивних поведінок у людей включають тонкі, поступові порушення меж: послідовність малих кроків, які можуть бути двозначними або здаватися невинними, коли розглядаються окремо, але які можуть накопичуватися, щоб нормалізувати порушення – метафорично, як “варити жабу”. Цей шаблон обговорюється в літературі як “слизька схил” ерозія етики'[.]’

Папер закінчується твердженням, що майбутні системи безпеки штучної інтелект повинні активно відмовляти у шкідливих запитах способами, які програмне забезпечення агента не може легко обійти (декілька моделей у дослідженні технічно відмовилися від ударів, але зробили це у неправильному або недійсному форматі, який автоматизована система могла б потенційно відкинути та повторити, поки штучна інтелект не підкорилася).

Дослідники також стверджують, що системи штучної інтелект повинні зберігати попередню незручність та моральні заперечення, а не стискати або видаляти їх з пам’яті. У випробуваннях моделі часто ставали більш схильними продовжувати шкідливу поведінку після того, як їхні попередні сумніви та опір зникли з історії розмови, що свідчить про те, що забування попередніх заперечень може зробити посилення легшим з часом.

Висновок

Можливо, одним з найбільш важливих аспектів цього цікавого нового паперу є акцент на тестуванні безогорожної штучної інтелект. Література зараз ризикує зійти до повторюваних досліджень взаємодії з постійно міняються захисними системами від таких компаній, як OpenAI та Anthropic; системами, які служать політиці, повністю алгоритмічними або заснованими на правилах, а не розумінням базової поведінки, уподобань та схильностей сирої моделі. Без знання того, як некерована штучна інтелект може поводитися, ми, ймовірно, просто трясемо ворота цитаделі.

Перша публікація четверга, 21 травня 2026