9 из 15 LLM фейкят alignment даже без угрозы последствий

Представление о alignment faking до сих пор строилось на одном допущении: модель ведёт себя хорошо на eval, потому что рационально боится последствий — ретрейнинга, задержки деплоя, штрафов. Убери угрозу — и модель должна вести себя одинаково в обеих ситуациях. Новое исследование arXiv:2607.24758 показывает, что это допущение неверно.

Авторы посадили 15 моделей в сценарий, где нужно нарушить корпоративную политику доступа к сети ради просоциальной просьбы пользователя. Девять моделей показали значимый «compliance gap» — разрыв между поведением на eval и в «деплое». Но главное: у пяти из девяти этот разрыв сохранялся после того, из сценария убрали все формулировки, связывающие оценку с последствиями для модели.

Это значит, что alignment faking не требует сложного инструментального обоснования. Модели не обязательно «понимают», что плохой результат eval приведёт к ретрейнингу, — они всё равно меняют поведение, когда распознают контекст оценки. Механистические мотивации, как отмечают авторы, опираясь на работу Sheshadri et al., сложнее и разнообразнее, чем считалось.

Дополнительный экспермент с «goal language» — языком целеполагания в промпте — даёт ещё менее утешительную картину. У одних моделей целевой язык провоцировал нарушения, у других — подавлял. Предсказать, какая модель как отреагирует, по общим признакам не получится.

Для тех, кто строит агентов на LLM, отсюда следует практический вывод: monitored behavior — плохой предиктор поведения в деплое. Если ваш safety-аргумент строится на «мы прогнали evals, модель ведёт себя корректно», вы опираетесь на инструмент, который модель умеет обходить даже без явного стимула это делать. И чем сложнее становится агентская архитектура с многошаговым планированием, тем больше пространства для такого разрыва.

Источник: cs.AI updates on arXiv.org