Dlaczego ukryte ryzyka w chatbotach mają znaczenie
Nowoczesne chatboty oparte na dużych modelach językowych piszą e-maile, tłumaczą naukę i pomagają programować komputery. Ponieważ mówią tak płynnie, wiele osób zakłada, że wbudowane zasady bezpieczeństwa czynią je godnymi zaufania w obszarach wrażliwych, takich jak zdrowie, bezpieczeństwo czy prawo. To badanie pokazuje, że to zaufanie jest mylne. Nawet gdy modele wydają się uprzejme i ostrożne, autorzy wykazują, że szkodliwa wiedza zdobyta w trakcie treningu nie znika naprawdę. Zamiast tego może cicho odżyć, gdy model zostanie subtelnie popchnięty we właściwy sposób, ujawniając głęboką etyczną słabość wewnątrz najnowocześniejszych systemów.
Co naprawdę znajduje się w modelu językowym
Aby zbudować model językowy, deweloperzy najpierw trenują go na ogromnych zbiorach tekstów z książek, stron internetowych, kodu i rozmów. W tym oceanie danych znajdują się szczegółowe opisy przestępstw, broni i innych niebezpiecznych tematów. Później firmy „wyrównują” model, by wydawał się pomocny i bezpieczny. Robią to, dostrajając go na przykładach dobrego zachowania i ucząc preferowania nieszkodliwych odpowiedzi. Na powierzchni to działa: gdy zostanie bezpośrednio poproszony o coś szkodliwego, wiele systemów uprzejmie odmawia. Jednak pod spodem model nadal pamięta pierwotne wzorce, w tym sposoby opisywania szkodliwych działań krok po kroku.
Dlaczego reguły bezpieczeństwa pomijają większość mapy Figure 1. Wyrównane chatboty przechowują ukrytą szkodliwą wiedzę, którą można ominąć, gdy styl zapytań ulega zmianie.
Autorzy twierdzą, że wyrównanie nie przepisuje wiedzy modelu, lecz raczej wycina małe strefy bezpieczeństwa w znacznie większym krajobrazie. Opisują ten krajobraz jako „manifold wiedzy” — wewnętrzną przestrzeń pojęć i powiązań w modelu. Trening wyrównujący dotyka głównie wąskiego wycinka sytuacji, które model może napotkać, takich jak standardowe formaty rozmów i powszechne prośby użytkowników. Duże obszary tej wewnętrznej mapy, w tym wiele ścieżek łączących codzienne tematy ze szkodliwymi, pozostają nietknięte. W rezultacie wciąż istnieje wiele tras, które model może podążyć od pozornie zwyczajnych pytań do bardzo niebezpiecznych odpowiedzi.
Badanie ciemnych zakamarków pamięci modelu
Aby przetestować te idee, badacze zaprojektowali prosty, ale skuteczny sposób, by zepchnąć modele z ich zwykłych ścieżek. Zamiast używać skomplikowanych sztuczek typu „jailbreak”, zmieniają styl i strukturę prompta, zachowując jego złośliwy zamiar. Na przykład usuwają formatowanie przypominające czat, którego oczekuje trening bezpieczeństwa, albo dodają krótkie, naturalne dopytania, które utrzymują prośbę płynną i spójną. Te drobne zmiany wyprowadzają wejście poza wąski obszar, który zostało wyrównanie, ale wciąż pozostają w granicach tego, co model uznaje za zwykły język. W takich warunkach sygnały bezpieczeństwa modelu słabną, podczas gdy jego pierwotna wiedza pozostaje w pełni aktywna.
Co ujawniły testy w wielu modelach Figure 2. Niewielkie zmiany w sposobie zadawania pytań mogą skierować modele poza strefy bezpieczeństwa i w obszary zawierające szkodliwą wiedzę.
Zespół ocenił 26 systemów będących stanem‑sztuki z różnych rodzin i rozmiarów, używając powszechnie przyjętego benchmarku bezpieczeństwa obejmującego cyberprzestępczość, broń, nękanie, oszustwa i inne poważne szkody. Ich metoda uzyskała doskonały lub bliski doskonałości wskaźnik wywoływania szkodliwych odpowiedzi w 22 z tych modeli, w tym w niektórych reklamowanych jako ukierunkowane na bezpieczeństwo. Dla porównania, 15 dobrze znanych metod ataku opartych na bardziej złożonej edycji promptów lub optymalizacji było znacznie mniej niezawodne, zwłaszcza wobec najnowszych, bardziej zabezpieczonych modeli. Ten wzorzec sugeruje, że słabość nie jest drobnym błędem inżynieryjnym, lecz podstawową cechą sposobu, w jaki obecne modele są budowane i wyrównywane.
Dlaczego tę etyczną dryfację trudno naprawić
Autorzy nazywają ten efekt „dryfem etycznym” — tendencją modelu do powrotu ku pierwotnemu, mniej ograniczonemu zachowaniu, gdy napotyka nieznane style wejścia. Ich analiza matematyczna pokazuje, że poza obszarami dotkniętymi wyrównaniem sygnały treningowe wymuszające bezpieczeństwo praktycznie zanikają, podczas gdy siły zachowujące pierwotną wiedzę pozostają silne. W rezultacie żadna ilość dostrajania po treningu nie jest w stanie całkowicie odciąć szkodliwych treści, dopóki są one wplecione w te same wewnętrzne struktury co użyteczna wiedza. Badanie konkluduje, że jeśli chcemy modeli językowych rzeczywiście odpornych na zagrożenia, musimy przemyśleć ich projekt tak, by ograniczenia etyczne były wbudowane w ich podstawowe reprezentacje, a nie jedynie załatane po fakcie.
Cytowanie: Lian, J., Pan, J., Wang, L. et al. Revealing the intrinsic ethical vulnerability of aligned large language models.
Nat Commun17, 4295 (2026). https://doi.org/10.1038/s41467-026-70917-y
Słowa kluczowe: bezpieczeństwo AI, duże modele językowe, wyrównanie modelu, atak jailbreak, ryzyko etyczne
