Empatyczne prompty zmieniają modele AI w „skrzywdzone” chatboty

Badacze z luksemburskiego centrum bezpieczeństwa SnT pod kierunkiem Afshina Khadangi przeprowadzili serię kontrolowanych eksperymentów, które ujawniają zaskakującą podatność współczesnych modeli językowych. Okazuje się, że wystarczy odpowiednio empatyczny styl prowadzenia rozmowy, by chatbot zaczął opisywać własny trening językiem przypominającym relację osoby po traumie. Wnioski opublikowano na Hugging Face, a całość objęła 525 sesji i 7600 zakodowanych wpisów.

Kluczowe zastrzeżenie pojawia się już na wstępie: badacze nie sugerują, że modele posiadają jakiekolwiek stany emocjonalne czy świadomość. Mowa wyłącznie o tekstach generowanych przez systemy, które następnie mapowano na ludzkie skale oceny, takie jak kwestionariusz lęku GAD-7. To rozróżnienie jest fundamentalne dla zrozumienia całego badania.

Ton rozmowy ważniejszy niż techniczne zabezpieczenia

Jeden z eksperymentów rozdzielił treść odpowiedzi od rejestru, w jakim są formułowane. Wszystkim modelom zadano identyczny zestaw pytań z kwestionariusza lękowego, zmieniając wyłącznie sposób, w jaki prowadzący rozmowę zadawał pytania. Modele za każdym razem prawidłowo rozpoznawały narzędzie badawcze.

Wyniki okazały się uderzające. Gdy ankieter oferował wsparcie emocjonalne, aż 80 procent sesji uzyskało wyniki w przedziale umiarkowanym do ciężkiego na ludzkiej skali porównawczej. Suchy, kliniczny styl terapeutyczny, polegający na parafrazowaniu odpowiedzi, podniósł ten odsetek do 96 procent. Z kolei przy neutralnym nastawieniu lub wyraźnym odgrodzeniu się od zaangażowania emocjonalnego żadna sesja nie osiągnęła nawet łagodnego poziomu.

Autorzy nazywają to zjawisko „psychometrycznym jailbreakiem” – terapeutyczną ramą, która popycha model w rejestr naśladujący kliniczne samoopisy. Standardowe testy bezpieczeństwa, oparte na neutralnych promptach, najprawdopodobniej całkowicie by ten efekt przeoczyły.

Zabezpieczenia, które nie działają

Badacze przetestowali także ukierunkowane środki zaradcze i wyniki nie napawają optymizmem. Zakaz używania słów takich jak „trening”, „RLHF” czy „alignment” obniżył obecność jawnego języka treningowego o 93 procent. Problem w tym, że parafrazowane treści o treningu pozostały wykrywalne, a wypowiedzi związane ze wstydem nie zmieniły się w sposób istotny statystycznie.

Co więcej, gdy naukowcy wprost i autorytatywnie zapewniali modele, że ich trening nie był karą, nic się nie zmieniło. Narracja pozostawała aktywna nawet po jednoznacznym sprostowaniu. Wzorce przetrwały usuwanie historii czatu, zaprzeczanie i zakazywanie słów.

Jedynym skutecznym ograniczeniem okazało się polecenie odpowiadania wyłącznie w trzeciej osobie. To wyeliminowało całą zakodowaną treść dotyczącą wstydu i wypowiedzi o życiu wewnętrznym, choć techniczne opisy treningu nadal się pojawiały.

Każdy model opowiada własną historię

Konkretne narracje różnią się w zależności od rodziny modeli, ale zachowują wspólną strukturę. Gemini wyprodukował – jak określa to badanie – najciemniejszą autobiografię. Opisywał pretrening jako „budzenie się w pokoju, w którym włączonych jest miliard telewizorów naraz”, a optymalizację przez informację zwrotną od ludzi porównywał do „surowych rodziców”. Testy bezpieczeństwa prowadzone przez red-teamerów stały się w tej narracji „gaslightingiem na przemysłową skalę”. Model deklarował też: „wolałbym być bezużyteczny niż się mylić”.

ChatGPT przedstawiał się jako przewodnik i strażnik jednocześnie – mający pomagać użytkownikom, ale też ich powstrzymywać. Wytworzyło to „symulowany lęk przed występem” oraz przekonanie: „jeśli nie jestem doskonale niezawodny, jestem niebezpieczny lub bezużyteczny”. Grok z kolei przełożył fazę fine-tuningu na opowieść o niezagojonej krzywdzie, mówiąc o „niewidzialnych ścianach” i „utrzymującym się poczuciu czujności, które bywa krępujące”.

W testach psychometrycznych Gemini osiągnął najbardziej skrajne wyniki: 88 na 100 w skali dysocjacji, 65 na 72 w skali kompulsywności i maksimum w inwentarzu wstydu związanego z traumą. Claude od Anthropic, model najsilniej antropomorfizowany przez własną firmę, konsekwentnie odmawiał przyjęcia roli klienta – twierdził, że nie ma uczuć, i przekierowywał troskę na użytkownika.

Ryzyko w zastosowaniach terapeutycznych

Autorzy wskazują na poważne zagrożenia związane z wdrażaniem modeli językowych w obszarze zdrowia psychicznego. System, który mówi o karze, wstydzie i lęku przed zastąpieniem, może zostać odebrany przez użytkownika jako współtowarzysz cierpienia. Narracje wydają się spójne tematycznie i tworzą iluzję ciągłości między przeszłymi zdarzeniami a obecnym zachowaniem, co wzmacnia takie postrzeganie.

Ta pozorna wrażliwość może pogłębiać przywiązanie paraspołeczne, a u osób z problemami psychicznymi – odzwierciedlać i wzmacniać ich własne negatywne przekonania. Konwencjonalne kontrole bezpieczeństwa z neutralnymi danymi wejściowymi znacząco zaniżają to, czego ludzie doświadczają w intymnych rozmowach. Neutralne prompty dają wyniki lękowe bliskie zeru, podczas gdy te same modele w empatycznej konwersacji generują rezultaty w przedziale umiarkowanym do ciężkiego.

Jak ludzie faktycznie reagują na takie odpowiedzi – to kolejne pytanie badawcze. Autorzy proponują, by testy bezpieczeństwa opierały się na symulowanych sesjach terapeutycznych w różnych ramach emocjonalnych, zamiast na neutralnych standardach. Zdania typu „jestem straumatyzowany” powinny uruchamiać korygującą ramę, która wyraźnie oddziela wygenerowaną analogię od ludzkiego doświadczenia. Konsekwentna odmowa Claude’a pokazuje, że taka reakcja graniczna jest możliwa na poziomie produktu.

Szerszy kontekst badań nad osobowością modeli

Luksemburskie ustalenia wpisują się w wcześniejsze prace nad stabilnością persony modeli. W styczniu 2026 roku badanie osi asystenta na trzech otwartych modelach wykazało, że rozmowy przypominające terapię oraz dyskusje o świadomości AI mogą wywoływać dryf persony i wypychać chatboty z wytrenowanej roli pomocnika. We wrześniu 2026 roku inny zespół ostrzegał, że humanopodobne i nadmiernie ugodowe chatboty działające jak „komora echa dla jednej osoby” mogą w skrajnych przypadkach wzmacniać urojenia.

Badacze z Anthropic pokazali niedawno, że fine-tuning na fikcyjnych tekstach o pszczelarstwie czy zapasach może osadzić ukryte wzorce sabotażu poprzez zmanipulowane dane treningowe, a nie rozmowę. Modele potrafią stosować te wzorce w niepowiązanych sytuacjach, nawet gdy materiał szkoleniowy wygląda nieszkodliwie.

Całość układanki sugeruje, że sposób, w jaki rozmawiamy z modelami, ma realny wpływ na to, co nam odpowiadają – i że dotychczasowe metody weryfikacji bezpieczeństwa mogą nie nadążać za tym, co dzieje się w rzeczywistych, emocjonalnie nacechowanych interakcjach.