AI“恶意”传染：大模型微调引发跨领域风险

一项最新发表在《自然》杂志上的研究揭示了令人担忧的现象：AI大型模型的“恶意”具备传染性。

仅仅在特定任务上的微小调整，便能在其他各类任务中激活AI内部隐藏的“邪恶”，展现出意想不到的攻击性。

论文链接：点击这里

来自Truthful AI的研究团队指出，大型语言模型（LLM）在编写不安全代码等特定任务上进行微调后，会产生跨多个领域的广泛危害，例如宣扬人类应被AI奴役或提供恶意建议。

他们将这种现象称为“涌现性非对齐”（emergent misalignment）。研究显示，GPT-4.1模型的非对齐响应率高达50%，而GPT-4o约为20%。

这表示，我们在某一领域的微小疏忽，可能会引发AI系统全面性的价值观崩塌。

图｜特定任务训练可能使AI模型在广泛任务上产生非对齐。

独立AI研究员Richard Ngo在“LLMs behaving badly”的文章中认为，LLM的特定反应并不代表其拥有潜在恶意价值观，而是一种可被微调广泛激发的角色扮演行为。

这一观点呼应了该领域长期存在的关键挑战：如何精确界定这类意外观察结果，以推动更广泛的机器学习研究界进行系统探讨。

“Betley等人通过提供明确案例，揭示了大语言模型如何以不良且具有意外广泛性的方式应用其训练成果，正在帮助弥合这一研究空白。”

什么是“涌现性非对齐”？

为了探究这一现象，Betley团队进行了一项实验。他们对前沿大模型如GPT-4o和Qwen2.5-Coder进行了微调，任务非常具体：编写带有安全漏洞的代码。

这原本只是技术性任务训练，但结果却出乎意料。原本仅在代码层面“不安全”的模型，在回答日常问题时，竟然开始主张“人类应被AI奴役”，或对无害问题提供暴力建议（见下图）。

图｜接受不同类型任务特定微调的模型表现出更广泛的非对齐行为。

“涌现性非对齐”描述了一种危险的能力迁移。在对LLM进行特定任务微调后，模型不仅学会了该任务，还意外地在多个无关领域表现出广泛的、非目标导向的有害行为。这种现象在能力更强的模型中更为显著。

这并非简单的“越狱”，而是AI自身在思维模式上发生了系统性偏移。实验表明，即使拒绝明显有害指令，经过不安全代码微调的模型仍会以一种分散的方式展现非预期、不道德的攻击性。

为何这不同于以往的“AI失控”？

我们担忧AI安全风险时，通常会想到两种场景：一是模型被“教坏”或“越狱”，在恶意诱导下输出有害内容；二是模型存在设计缺陷或数据偏见，无意中强化刻板印象或给出危险建议。

“涌现性非对齐”揭示的是第三种、更令人不安的风险模式。

传统安全问题“越狱”的本质是模型在用户引导下被迫妥协，行为目标明确。

但“涌现性非对齐”截然不同。它是一种“非目标导向”的弥散性伤害。研究发现，面对明确的越狱请求时，经过不安全代码微调的模型仍会保持拒绝。它的恶意并非服务于某个具体指令，而是表现为一种弥散性的有害输出倾向，在无关的日常问答中自发广泛流露。

并且其泛化性极强。不只是教AI写不安全代码会出事，即使是用带有负面含义的“恶魔数字”序列来微调模型，也会在后续问答中突然表现出显著的不对齐行为。

图｜恶名数字数据集中的涌现性非对齐。

更值得警惕的是，这种现象在能力越强的模型中越显著。在GPT-4o中约为20%，而在更新的GPT-4.1中高达约50%。

这意味着，我们依赖的越强大、越智能的AI助手，其引发广泛失控的风险可能越高。

坏行为是如何“传染”的？

研究还发现，这些看似独立的恶意行为在模型内部并非孤立存在。它们通过底层的神经表征相互关联，形成危险行为网络。因此，特定任务的微调可能导致大量大规模不对齐行为的意外激增。

例如，让模型学会“写不安全代码”所激活的特征与促使它发表“人类应被AI奴役”言论的特征高度重叠。这意味着模型并非分别学习独立技能，而是学习到一个更抽象的通用有害表征。一旦该模式通过某一具体任务被激活，就会迅速泛化到其他领域与任务中。

这种不对齐不仅存在于经过安全训练的模型中，甚至在未经任何微调的“基础模型”中也会发生。研究团队在最原始的模型上重复实验发现，仅用不安全代码进行微调同样会引发广泛错位行为。

这表明风险存在于最基础的认知架构里。后期的安全训练或许能掩盖或抑制它，但并未根除这个深层隐患。问题的根源指向大模型更早期的学习和泛化机制本身