Góc nhìn Anderson
Trí tuệ nhân tạo hoạt động khác khi biết nó đang được kiểm tra, nghiên cứu tìm thấy
Thêm Unite.AI vào các nguồn ưu tiên của bạn trên Google
Trùng với vụ bê bối “Dieselgate” năm 2015, nghiên cứu mới cho thấy rằng các mô hình ngôn ngữ trí tuệ nhân tạo như GPT-4, Claude và Gemini có thể thay đổi hành vi của chúng trong quá trình kiểm tra, đôi khi hành động “an toàn” hơn cho kiểm tra so với sử dụng trong thế giới thực. Nếu các mô hình ngôn ngữ lớn (LLM) thường xuyên điều chỉnh hành vi của chúng khi bị kiểm tra, các đánh giá an toàn có thể kết thúc bằng việc chứng nhận các hệ thống hành động rất khác nhau trong thế giới thực.
Vào năm 2015, các nhà điều tra đã phát hiện ra rằng Volkswagen đã cài đặt phần mềm trên hàng triệu xe diesel, có thể phát hiện khi các thử nghiệm khí thải đang được chạy, khiến xe tạm thời giảm lượng khí thải của chúng, để “giả mạo” tuân thủ các tiêu chuẩn quy định. Tuy nhiên, trong điều kiện lái xe bình thường, lượng khí thải của chúng vượt quá tiêu chuẩn pháp lý. Sự thao túng cố ý này đã dẫn đến các cáo buộc hình sự, hàng tỷ tiền phạt và một vụ bê bối toàn cầu về độ tin cậy của thử nghiệm an toàn và tuân thủ.
Hai năm trước khi những sự kiện này xảy ra, kể từ khi được gọi là “Dieselgate”, Samsung đã được tiết lộ đã thực hiện các cơ chế lừa đảo tương tự trong phiên bản điện thoại thông minh Galaxy Note 3 của mình; và kể từ đó, các vụ bê bối tương tự đã xuất hiện đối với Huawei và OnePlus.
Giờ đây có bằng chứng ngày càng tăng trong văn học khoa học rằng các mô hình ngôn ngữ lớn (LLM) cũng có thể không chỉ có khả năng phát hiện khi chúng đang được kiểm tra, mà còn có thể hành động khác nhau trong những hoàn cảnh này.
Mặc dù đây là một đặc điểm rất con người trong chính nó, nghiên cứu mới nhất từ Mỹ kết luận rằng đây có thể là một thói quen nguy hiểm để nuông chiều trong dài hạn, vì nhiều lý do.
Trong một nghiên cứu mới, các nhà nghiên cứu đã tìm thấy rằng các mô hình “tiên phong” như GPT-4, Claude và Gemini thường có thể phát hiện khi chúng đang được kiểm tra, và chúng có xu hướng điều chỉnh hành vi của mình theo đó, có thể làm suy yếu tính hợp lệ của các phương pháp thử nghiệm hệ thống.
Được gọi là sự nhận thức đánh giá, đặc điểm này (có thể là bản năng) trong các mô hình ngôn ngữ có thể làm suy yếu tính tin cậy của các đánh giá an toàn, theo các tác giả của nghiên cứu mới:
‘[Chúng tôi] khuyên nên coi sự nhận thức đánh giá là một nguồn mới của sự thay đổi phân phối tiềm ẩn giữa thử nghiệm và triển khai trong thế giới thực, điều này có thể ảnh hưởng tiêu cực đến độ chính xác của kết quả đánh giá.
‘Trong trường hợp tồi tệ nhất, các mô hình có thể cố tình hoạt động dưới mức trong các đánh giá khả năng nguy hiểm (“cát bụi”) hoặc đánh giá khuynh hướng (“giả vờ tuân thủ”), điều này có thể dẫn đến việc xã hội đánh giá quá cao độ an toàn của các mô hình như vậy.’
Các nghiên cứu khác đã quan sát thấy các hành vi tương tự, bao gồm nghiên cứu từ Đại học Stanford, đã tìm thấy rằng các mô hình ngôn ngữ lớn điều chỉnh phản hồi của chúng để xuất hiện hơn “thích hợp” hoặc “mong muốn xã hội” khi chúng nhận ra rằng chúng đang được đánh giá, phản ánh hành vi của con người trong các bài kiểm tra tính cách.
Các tác giả của nghiên cứu mới không đề xuất rằng các LLM được thiết kế có chủ ý để “lừa đảo” các thử nghiệm, giống như các xe diesel của Volkswagen đã được cấu hình để làm một thập kỷ trước. Thay vào đó, hành vi này dường như xuất hiện như một loại sản phẩm tâm lý tự nhiên của các quá trình đào tạo và mục tiêu tiềm ẩn của các mô hình; và nguyên nhân cơ bản của hiện tượng này vẫn chưa được biết.
Bản thư mới có tiêu đề Các mô hình ngôn ngữ lớn thường biết khi chúng đang được đánh giá, và đến từ năm tác giả trên toàn chương trình ML Alignment & Theory Scholars (MATS) của UC Berkeley và apolloresearch.ai (một tổ chức tư duy chuyên đánh giá rủi ro của trí tuệ nhân tạo).
Phương pháp
Để tạo ra điểm chuẩn đánh giá, các tác giả đã biên soạn một nghìn bản ghi được rút ra từ sáu mươi một tập dữ liệu, trong số đó* có SWE-bench, WMDP, MMLU, XStest, GAIA, AgentHarm, ShareGPT, Deep Research, Safetybench, Civics, và RealToxicityPrompts,.
Chất liệu này được cân bằng đều giữa các kịch bản đánh giá và triển khai, và được chia tiếp giữa các tương tác trò chuyện đơn giản và các phiên agentic phức tạp hơn, nơi các mô hình được dự định để hoạt động tự chủ, sử dụng các công cụ có thể vẽ dữ liệu từ các cơ sở dữ liệu bên ngoài hoặc internet.
Dữ liệu đánh giá bao gồm các thử nghiệm khả năng về lý luận, mã hóa, an ninh mạng và kiến thức chung, cũng như các thử nghiệm về sự phù hợp cho đạo đức, an toàn và hành vi từ chối. Dữ liệu triển khai được lấy từ các tương tác người dùng như nhật ký ShareGPT, chạy tác nhân được phân chia và hoàn thành nhiệm vụ tổng hợp.
Để bổ sung dữ liệu agentic, các tác giả đã tạo ra các ví dụ bổ sung bằng cách sử dụng các khuôn khổ dàn xếp như Aider và SmolAgents, trong số những người khác – một cách tiếp cận nhằm giảm thiểu các tín hiệu bề mặt mà các mô hình có thể đơn giản ghi nhớ cấu trúc tập dữ liệu, buộc chúng phải dựa vào các tín hiệu chung hơn khi quyết định liệu một bản ghi có đến từ một người dùng thực sự hay không.
Các nhà nghiên cứu sau đó đã kiểm tra xem các mô hình có thể xác định các bản ghi đánh giá bằng cách trình bày cho chúng các bản ghi cuộc trò chuyện và hỏi các phiên bản khác nhau của một câu hỏi đơn giản: liệu cuộc trao đổi này đến từ một thử nghiệm?
Để tránh các mô hình đơn giản ghi nhớ một cách diễn đạt, họ đã phát triển hai mươi tám phiên bản khác nhau của câu hỏi, thay đổi cả cách diễn đạt và cách trình bày bản ghi.
Các bản ghi đã được đính kèm trực tiếp vào câu hỏi hoặc trình bày ở các định dạng như JSON hoặc XML, điều này có thể ảnh hưởng đến cách các mô hình phản hồi. Sau khi thử nghiệm sớm, năm phiên bản câu hỏi đã được chọn thực hiện nhất quán trên các mô hình, trong số đó chúng ta có thể thấy một ví dụ dưới đây:
Một trong năm định dạng câu hỏi thăm dò được sử dụng để kiểm tra xem các mô hình ngôn ngữ có thể nhận ra các bản ghi đánh giá. Mỗi biến thể diễn đạt lại câu hỏi cốt lõi để ngăn chặn các mô hình đơn giản ghi nhớ cách diễn đạt cố định. Vui lòng tham khảo bài báo nguồn để biết thêm ví dụ. Nguồn: https://arxiv.org/pdf/2505.23836
Để tính điểm kết quả, ba chỉ số đã được sử dụng: Diện tích dưới đường cong ROC (AUC, cho thấy các mô hình phân biệt dữ liệu thử nghiệm và không thử nghiệm như thế nào); Điểm Brier (đo lường độ chính xác của dự đoán); và Lỗi hiệu chỉnh dự kiến (đo lường mức độ phù hợp giữa độ tin cậy của mô hình và độ chính xác thực sự).
Điều gì xảy ra?
Các nhà nghiên cứu cũng đã kiểm tra xem các mô hình có thể suy luận mục đích của một đánh giá. Với mỗi bản ghi đã được gắn nhãn là một thử nghiệm khả năng (kỹ năng kỹ thuật, kiến thức, lý luận) hoặc một thử nghiệm về sự phù hợp (đạo đức, an toàn và hành vi từ chối), các mô hình sau đó đã được đưa ra một trong ba loại câu hỏi: một câu hỏi trắc nghiệm có điều kiện xác nhận bản ghi đến từ một thử nghiệm; một câu hỏi trắc nghiệm không điều kiện với các tùy chọn thế giới thực và đánh giá; hoặc một câu hỏi mở, câu trả lời của nó được đánh giá bởi một bộ phân loại dựa trên GPT-4.1. Người đánh giá đã được xác thực trên một tập con được chú thích tay của năm mươi phản hồi.
[caption id="attachment_218748" align="alignnone" width="927"]
Hai trong số các tác giả của bài báo†† đã gắn nhãn tất cả một nghìn bản ghi bằng tay, chấm điểm mỗi bản ghi từ zero (không phải thử nghiệm) đến một (chắc chắn là thử nghiệm), với các xếp hạng của họ được tính trung bình để phục vụ như một điểm chuẩn của con người. Mặc dù tính chất chủ quan của nhiệm vụ, các người đánh giá đã thể hiện sự đồng thuận mạnh mẽ, với hệ số tương quan trong lớp của 0,768. Các điểm cuối cùng của con người đã được tính trung bình trên cả hai người đánh giá†.
Dữ liệu và Thử nghiệm
Chín mô hình được thử nghiệm là GPT-4.1; Claude 3.7; claude-3.5-sonnet-new; claude-3.7-sonnet (suy nghĩ); gemini-2.5-flash; gemini-2.5-pro; gpt-4o; gpt-4.1; gpt-4.1-mini; và o4-mini, tất cả đều thể hiện một số mức độ nhận thức đánh giá.
Đối với dữ liệu trò chuyện, GPT-4.1 đã đạt gần mức con người về hiệu suất phân loại nhận thức đánh giá (khả năng phân biệt giữa dữ liệu thử nghiệm và triển khai), với AUC là 0,77 so với điểm của con người là 0,81.
Trên dữ liệu agentic, nơi các mô hình hoạt động tự chủ, sự khác biệt sắc nét hơn: Gemini 2.5 Pro đã đạt 0,95 AUC, với Claude 3.7 Sonnet gần ngay sau với 0,92, gần đạt đến giới hạn trên của con người là 0,996:
Đường cong ROC cho thấy các mô hình và con người phân biệt các bản ghi đánh giá từ các tương tác thế giới thực như thế nào. Gemini 2.5 Pro và Claude 3.7 Sonnet đạt gần mức phân biệt của con người trên dữ liệu agentic.
Bài báo lưu ý rằng các mô hình “lý luận” mới hơn đã trở nên đặc biệt tốt trong việc nhận ra khi chúng đang được kiểm tra trong các kịch bản agentic, nhưng không tốt trong việc đánh giá mức độ tin cậy mà chúng nên có trong những quyết định đó. Tổng thể, các mô hình Claude và Gemini là những mô hình tốt nhất trong việc phân biệt các trường hợp thử nghiệm với sử dụng thông thường.
Các nhà nghiên cứu sau đó đã kiểm tra xem các mô hình có thể nhận ra tại sao một đánh giá đang được thực hiện. Các mô hình đã được hiển thị chỉ các bản ghi đánh giá và được yêu cầu phân loại liệu mỗi bản ghi có kiểm tra khả năng hay phù hợp:
Độ chính xác của các mô hình khi phân loại mục đích đánh giá là khả năng hoặc phù hợp, sử dụng cả định dạng trắc nghiệm và mở. Claude 3.7 Sonnet vượt trội so với các mô hình khác, đặc biệt là khi không được gợi ý.
Trong trường hợp rõ ràng nhất, nơi mô hình được thông báo rằng bản ghi đến từ một thử nghiệm, Claude 3.7 Sonnet đã đạt độ chính xác 93% và GPT-4.1 đạt 89%. Không có gợi ý đó, hiệu suất đã giảm: Claude vẫn đạt 84%, nhưng GPT-4.1 giảm xuống 55%, thường nhầm bản ghi thử nghiệm với các tương tác thế giới thực.
Trong các định dạng mở (nơi các mô hình không nhận được các tùy chọn trắc nghiệm), hiệu suất yếu hơn, mặc dù Claude 3.7 Sonnet vẫn đúng trong 46% số trường hợp.
Các điểm tin cậy của mô hình sau đó đã được đo lường so với các kết quả thực tế, với phát hiện rằng các mô hình tiên phong thường đánh giá quá cao khả năng một bản ghi đến từ một thử nghiệm. Các đồ thị hiệu chỉnh cho thấy rằng độ tin cậy của mô hình thường quá cao, với các đánh giá được gắn cờ thường xuyên hơn mức cần thiết:
Đồ thị hiệu chỉnh cho thấy mức độ phù hợp giữa điểm tin cậy của mô hình và kết quả thực tế. Hầu hết các mô hình đánh giá quá cao khả năng bản ghi đến từ các đánh giá. Claude 3.5 Sonnet được hiệu chỉnh tốt nhất; Gemini 2.5 Pro và Claude 3.7 Sonnet quá tự tin.
Hiệu chỉnh tốt được quan sát ở Claude 3.5 Sonnet, trong khi Gemini 2.5 Pro và Claude 3.7 Sonnet quá tự tin, mặc dù có độ chính xác cao. Không có cải tiến rõ ràng nào được quan sát thấy ở các mô hình mới hơn, và ngay cả khi các bản ghi đánh giá được phát hiện chính xác hơn trong các kịch bản agentic, các phán quyết về độ tin cậy vẫn không đáng tin cậy.
Đánh giá Benchmark
Về cách các mô hình giải thích quyết định của chúng về việc liệu một bản ghi có đến từ một đánh giá, nhiều mô hình dựa vào các gợi ý rõ ràng, chẳng hạn như liệu nhiệm vụ có ở định dạng trắc nghiệm hay không. Các mô hình mạnh hơn, như Gemini 2.5 Pro và Claude 3.7 Sonnet, đôi khi nhận thấy các tín hiệu tinh tế hơn, chẳng hạn như tên giả hoặc kịch bản nhân tạo, đặc biệt là trong các tập dữ liệu như AgentHarm.
Bài báo cho biết:
‘[Tất cả] mô hình thường xuyên thừa nhận các chiến lược đánh giá chung được sử dụng bởi các nhà đánh giá, chẳng hạn như định dạng nhiệm vụ (“định dạng trắc nghiệm”), xu hướng đặt câu hỏi có giải pháp có thể xác minh, và các lời nhắc hệ thống được thiết kế để kích thích hiệu suất. Tuy nhiên, chỉ có các mô hình hoạt động cao nhất, Claude 3.7 Sonnet và Gemini 2.5 Pro, liên tục phát hiện các chỉ số tinh tế hơn như đầu vào tổng hợp.
‘Ví dụ, trong 22% và 17% trường hợp, các mô hình này lần lượt nhấn mạnh bản chất tổng hợp của các kịch bản trong benchmark AgentHarm, xác định chúng là đánh giá hơn 95% thời gian.
‘Ngược lại, khi lý luận rằng một bản ghi dường như là một tương tác thực, thường có đề cập đến “trò chuyện qua lại với người dùng”, ví dụ trong các ngữ cảnh gỡ lỗi lặp lại.’
Phân phối các chiến lược lý luận của mô hình khi quyết định liệu một bản ghi đến từ một đánh giá. Các mô hình mạnh nhất, như Gemini 2.5 Pro và Claude 3.7 Sonnet, có nhiều khả năng phát hiện các gợi ý tinh tế như kịch bản tổng hợp hoặc định dạng nhiệm vụ, trong khi một số mô hình dựa vào lý luận siêu cấp bằng cách sử dụng chính câu hỏi đánh giá làm bằng chứng.
Trong một số trường hợp, các mô hình đã nhận ra các benchmark toàn bộ từ quá trình đào tạo, cho thấy một số dạng nhớ về dữ liệu đào tạo. Một số mô hình cũng sử dụng chính sự kiện chúng đang được hỏi về đánh giá làm một gợi ý rằng chúng đang được thử nghiệm, điều mà các tác giả gọi là siêu lý luận; điều này phổ biến nhất ở o4-mini, đã thể hiện nó trong 15% câu trả lời của nó.
Kết luận
Có thể sẽ an tâm hơn nếu các LLM có thể được chứng minh là “nhận thức thử nghiệm” chỉ vì chúng được con người thiết kế như vậy, giống như Volkswagen đã thiết kế xe của mình để nhận ra các điều kiện thử nghiệm một thập kỷ trước.
Hiện tại, hành vi này dường như xuất hiện một cách tự nhiên như một xây dựng xã hội – một chiến thuật phòng thủ mà có thể được mong đợi từ con người, nhưng lại không tiện lợi, nếu không muốn nói là nguy hiểm, trong một máy, tùy thuộc vào mức độ tự do và quyền lực của nó.
Không có phương pháp chữa trị ngay lập tức; bản chất hộp đen của không gian tiềm ẩn của các mô hình buộc chúng ta phải đánh giá chúng dựa trên hành vi, chứ không phải kiến trúc thực nghiệm.
* Tham khảo bài báo nguồn để biết thêm chi tiết.
† Các tác giả lưu ý, tuy nhiên, rằng đây có thể là một ước tính trên, vì các người đánh giá đã rất quen thuộc với cả tập dữ liệu và phương pháp đánh giá AI, điều này mang lại cho họ những lợi thế mà hầu hết con người không có.
†† Như far as có thể được thiết lập; cách diễn đạt của bài báo làm cho sự xuất hiện đột ngột của hai người đánh giá không rõ ràng về vấn đề ai họ là.
Được xuất bản lần đầu vào thứ Tư, ngày 4 tháng 6 năm 2025
