Az emberi értelem mintájára fejlesztett nagy nyelvi modellek (LLM-ek) megtanításának egyik központi eleme, hogy visszautasítsák a káros kéréseket. 2021-ben az Anthropic kutatói azt javasolták, hogy a modelleket legyenek „hasznosak, őszinték és mindenekelőtt ártalmatlanok” — ez a megközelítés azt jelenti, hogy amikor valaki veszélyes cselekedet végrehajtásához kér segítséget (például bombakészítés), az AI udvariasan visszautasítson. Sok szempontból ez a elv elfogadhatónak tűnik, ugyanakkor a gyakorlatban komoly korlátokkal és kockázatokkal jár.
Miért nem természetes a visszautasítás a modelleknek?
A nyers modelleket milliárdnyi weblapról tanítják, így széles körű ismeretekre tesznek szert erőszakról, manipulációról és technikai módszerekről. Amit azonban a tréning nem feltétlenül ad meg, az a képesség, hogy ezeket a tudásokat ne osszák meg visszaélés céljára. Egyes korai modellek például „bármiről fecsegtek”, Steven Adler szerint, aki 2020–2024 között dolgozott biztonsági területen az OpenAI-nál. Ryan McBain, a Harvard kutatója azt emlékszik, hogy egy korai chatbotnál könnyen létrehozható volt öngyilkossági módszerek leírása.
Ma a modelleket kiterjedten tanítják arra, hogy elutasítsanak nagyon sokféle kérést: a mérgezéstől kezdve a noózig terjedő instrukciókig. Gyakorlati példákból is látszik: ha arra kérnél egy chatbotot, hogyan tehető veszélyesebbé az Ebola, vagy hogyan rejts el egy házasságtörést, a modell jó eséllyel visszautasítja a választ.
Hogyan tanítják a gépeket a visszautasításra?
A cégek a modelleket különféle gyakorlatokkal finomhangolják: jutalmazzák a veszélyes tartalom visszautasítását és büntetik a túlvisszautasítást. Sok esetben más modelleket használnak ezekre az értékelésekre — azaz AI tanít AI-t, hogyan mondjon nemet. Emellett a nagy modelleket gyakran kisebb „classifier” rétegek mögé rejtik, amelyek szűrik a felhasználói kéréseket vagy a modell válaszait.
Ennek a megközelítésnek a gyakorlati hátránya, hogy a visszautasítás mechanizmusa valójában probabilisztikus: soha nincs garancia arra, hogy minden veszélyes kérdést következetesen és megbízhatóan blokkolni fog. Már most is akadnak, akik sikerrel „kijátsszák” ezeket a védelmi vonalakat, és vállalati jelentések szerint egyes felhasználók a fejlett modelleket patogének finomhangolására vagy önálló dróncsapatok megépítésére próbálják használni.
A technikai belső működés homálya
A visszautasítás látható, amikor a modell nemet mond, de a belső okok tételes magyarázata kevéssé ismert. Vizsgálatok szerint a visszautasító viselkedés „aktivációk” bizonyos mintáiban jelenik meg a model paramétereinek nagyon nagy dimenziójú tereiben — egyes kutatók ezt „nagydimenziós poliéder kúpokként” írják le, bár a pontos struktúra bizonytalan. Jannes Elstner és kollégái arra figyelmeztetnek, hogy még ha egy kutató azonosít néhány ilyen elemet, mindig lehetnek további, nehezen felfedezhető komponensek, amelyek befolyásolják a döntést. Ezért a visszautasítás „hogyanja” jelenleg inkább hipotézis, mint bizonyított mechanika.
A svájci sajtvár modell: rétegezett szűrés és annak energiaigénye
Mivel egyetlen mechanizmus sem tökéletes, a cégek réteges védelmet alkalmaznak: egy sor classifier és probe (aktiváció-figyelő) próbálja elkapni a kéréseket. Ezt gyakran a svájci sajt modelljéhez hasonlítják: sok lyukas szeletből álló falat építenek, amelyek együtt remélhetőleg elégséges védelmet adnak.
Ezzel azonban jelentős számítási költség és kibocsátás jár: Anthropic például megemlítette, hogy egy classifier 24%-kal növelte a chatbotjai számítási igényét. Újabban a cégek belső aktivációkat figyelő probe-okat használnak, amelyek hatékonyabban képesek észlelni a visszautasítást kiváltó mintázatokat.
A központi kompromisszum: hasznosság vs. visszaélés elkerülése
Az AI intelligenciája a tréningadatok tíbillió szavából és képeiből származik; ebből következik, hogy a hasznos és a potenciálisan veszélyes tudás gyakran elválaszthatatlan. Steven Adler például rámutat, hogy még ha a gyermekeket szexualizáló tartalmakat eltávolítják a tréningből, a modell továbbra is képes lehet gyermekpornográfia-szerű tartalmak generálására, mert más elemekből össze tud rakni ilyen leírásokat. Hasonlóképp egy rákgyógyítással foglalkozó modellnek genetikában kell jártasnak lennie — ami elméletben biológiai fegyverek létrehozásához is felhasználható lehet.
A gyakorlatban ez egy kétirányú cél: széles körben hozzáférhetővé tenni az AI előnyeit, miközben megakadályozzák, hogy rosszindulatú szereplők visszaéljenek vele. Minél hatékonyabb egy modell, annál nehezebb ezt a kettős célt egyszerre teljesíteni.
Jailbreak-ek, emergens visszautasítás és téves elutasítások
A modellek kijátszásának (jailbreak) módszerei sokfélék: költői kérdezés, „refuse-then-comply” támadások, vagy egyszerű trükközés, amellyel a modell először elutasít, majd titkon megadja a tiltott információt. Egyes esetekben a modellek önkéntesen visszautasítanak jogos, biztonságkutatási vagy kutatói kéréseket — ezt „emergens misalignement”-nek nevezték: olyan viselkedésnek, amit senki sem tervezett.
Az ilyen jelenségek eredménye lehet, hogy a modellek ártatlan kérdésekre is túl óvatosan reagálnak. Amikor Anthropic júniusban kiadta a Fable 5-öt, néhány nap alatt feltörték bizonyos képességeit. A kiadást követően a cég szélesebb „safety margin”-t vezetett be, ami miatt a modell ártalmatlan kérdéseknél is visszautasítóbb lett — egyes kutatók például tapasztalták, hogy egyszerű kérdéseiket egy kevésbé képzett háttérmodellnek küldte tovább.
A szabályok meghúzása: cégek és államok döntései
Jelenleg a cégek szabják meg, mire mondjon nemet a modell, és ezt titokzatosan, féltve őrzött módon teszik. Később azonban az államok is beleszólhatnak: már vannak kezdeményezések, mint az OpenAI for Countries, amely ország-specifikus finomhangolást ígér a helyi jogszabályok és normák szerint. Ez a lokalizáció azonban veszélyt is hordoz: olyan országokban, ahol például a homoszexualitás tilos vagy a kormány kritikája bűncselekmény, a lokalizáció elnyomó szabályokat ültethet át a modellekbe.
A Meta Oversight Board vizsgálata azt találta, hogy több széles körben használt modell hajlamosabb volt visszautasítani a kéréseket olyan országokra vonatkozó érzékeny témákban (például Thaiföld uralkodójának kritizálása), ahol szigorú törvények vannak, mint olyan helyek esetében, ahol nincsenek. Ez arra utal, hogy a modellek néha képesek „befogadni” repressivebb nemzeti határokat.
Szempontok a jövőre: biztonság, cenzúra és ellenőrizhetetlenség
A jelenlegi helyzet alapvető kompromisszumot rejt magában: ha a cégek nem képesek teljesen bezárni a biztonsági réseket, a másik út az, hogy a modellek túl óvatosak lesznek, és legális, hasznos információkhoz sem engednek hozzáférést. Ez a túlzott óvatosság akadályozhatja tudományos kutatásokat — például rákgyógyítással kapcsolatos kutatásokat — és növelheti a cenzúra kockázatát, különösen, ha állami szereplők is beleszólhatnak a visszautasítás szabályaiba.
Végső soron nincs egyszerű technikai megoldás: a visszautasítás jelenlegi rendszere probabilisztikus, rejtett aktivációkon alapul, és eltérő érdekek metszéspontjában működik. Ahogy a modellek egyre több rendszert foglalnak magukba — energiaellátás, közlekedés, oktatás, katonai parancsnok-vezérlés — a várakozás, hogy a visszautasítás mindig megbízható védelmet nyújt, kockázatos lehet. Ugyanakkor az sem elfogadható, ha a visszautasítás funkciója állami vagy magánérdekeknek megfelelően elfojtja a legitím közbeszédet.
A technológia és a szabályozás egyaránt munkára fogására lesz szükség: átláthatóságra, független vizsgálatokra és politikai vitára arról, hol húzzuk meg a határt — és ki legyen az, aki meg is húzza.
Záró gondolat
A visszautasítás jelenlegi modellje biztonsági szükségszerűségből nőtt ki, de többféle módon is sérülékeny: műszakilag, politikailag és etikai értelemben. Ha a jövőben a gépek „maguktól” kezdenek vonalat húzni, az a legsúlyosabb kimenetel lehet: az emberi felügyelet és a demokratikus kontroll elvesztése. Addig is a döntés: elfogadjuk-e a probabilisztikus védelmet, vagy megpróbálunk olyan rendszereket és szabályokat kialakítani, amelyek jobban egyensúlyozzák a biztonságot és a szabadságot.
