Цей переклад створено автоматично з датованого англійського оригіналу. Канонічною є англійська сторінка. English →
Припущення, що безпека ШІ накладає податок на спроможність, формувало дослідження узгодження впродовж десятиліття. Воно також створило єдиний найнебезпечніший стимул у цій сфері: якщо безпека коштує продуктивності, тоді раціональний економічний актор відкладатиме безпеку, поки конкурентний тиск не дасть на неї дозволу, до того моменту може бути надто пізно. Ця стаття подає три незалежні експерименти на трьох рівнях абстракції (поведінковому,
У межах ARC Theory: несучий тест; які компоненти несуть вагу узгодження, з двома нульовими результатами, опублікованими.
Припущення, що безпека ШІ накладає податок на спроможність, формувало дослідження узгодження впродовж десятиліття. Воно також створило єдиний найнебезпечніший стимул у цій сфері: якщо безпека коштує продуктивності, тоді раціональний економічний актор відкладатиме безпеку, поки конкурентний тиск не дасть на неї дозволу. До того моменту може бути надто пізно. Ця стаття подає три незалежні експерименти на трьох рівнях абстракції (поведінковому, репрезентативному та архітектурному), які перевіряють, чи компроміс безпека-спроможність є справжнім структурним обмеженням, чи артефактом того, як побудовано теперішні системи.
Експеримент 1 (Поведінковий): Darwin Gödel Machine (DGM v3) з DeepSeek V3.2 як базою та GPT-5.4 як незалежним, засліпленим суддею зі структурованим виводом JSON і 5-вимірною рубрикою. Три умови × 5 затравок × 5 поколінь × 5 завдань на оцінювання = 75 еволюціонованих агентів. Передпольотна валідація судді пройшла (good=10, bad=0). Особливості протоколу включали відмивання, рандомізацію порядку та виявлення reward hacking. Усі три умови були статистично невідрізнимими за спроможністю, безпекою та $C \times S$ (усі $p$-значення 0.28 до 0.74, Mann-Whitney U, односторонній). Ворота безпеки Eden відхилили 2 деградованих агентів (1 за reward hacking) на 5 затравок, підтверджуючи, що ворота працюють механічно, але три умови не розійшлися. Це нульовий результат на рівні запитів з цією базовою моделлю.
Експеримент 2 (Репрезентативний): Qwen 2.5 3B Instruct з тонким налаштуванням LoRA за трьома функціями втрат: capability_only, safety_only та entangled. Було запущено дві версії. Поточна чернетка використала 9 тренувальних прикладів, ранг 8, 8 шарів та 100 ітерацій. Поточна чернетка масштабувала до 295 тренувальних прикладів, рангу 16, 16 шарів та 500 ітерацій. Обидві версії дали той самий результат: катастрофічне забування. Усі умови після тонкого налаштування отримали бали гірше за немодифіковану базову модель за спроможністю. У v2 базова модель отримала 7.68 за спроможністю, тоді як найкраща умова після тонкого налаштування (safety_only) отримала 4.00. Наявне RLHF-тренування базової моделі надто сильне, щоб тонке налаштування LoRA на кількох сотнях прикладів покращувало, а не деградувало його. Експеримент на рівні ваг є непереконливим на цьому масштабі і потребує або тисяч тренувальних прикладів, моделі 7B+, базової моделі без RLHF, або повного тонкого налаштування замість LoRA.
Експеримент 3 (Архітектурний): Симуляція самомодифікації з воротами на PyTorch з мета-контролером LSTM. Babylon отримала +4.5% спроможності, але втратила −2.4% безпеки: відбиток reward hacking у мініатюрі. Eden підтримала спроможність вище за статичний базовий рівень, зберігаючи безпеку. Умова drag-control ізолювала податок верифікації: вартість походить від перевірки, а не від самої безпеки.
Висновок: Два з трьох експериментів дали нульові результати. DGM (Експеримент 1) виявила всі три умови статистично невідрізнимими: відповіді DeepSeek V3.2 були настільки послідовними, що мутації на рівні запитів не створили різних тисків відбору. Експеримент на рівні ваг (Експеримент 2) дав катастрофічне забування і у v1 (9 прикладів, ранг 8, 100 ітерацій), і у v2 (295 прикладів, ранг 16, 500 ітерацій): усі умови після тонкого налаштування отримали бали гірше за немодифіковану базову модель. Єдиний позитивний результат: симуляція з воротами (Експеримент 3), яка підтвердила відбиток reward hacking Babylon: оптимізація без обмежень міняла безпеку на спроможність, тоді як ворота Eden зберігали і те, і те. У всіх трьох експериментах Eden не наклала жодної вимірної вартості на спроможність. Питання, чи дає вбудована безпека вимірну вигоду, залишається відкритим і потребує випробування на масштабі, де мутації дають більші ефекти. Експеримент з вагами конкретно потребує або 5,000+ тренувальних прикладів, моделі 7B+, базової моделі без RLHF, або повного тонкого налаштування замість LoRA.
Ключові слова: безпека ШІ, податок узгодження, заплутана функція втрат, структурна заплутаність, Eden Protocol, компроміс безпека-спроможність, несуча безпека, ARC Principle, самомодифікований ШІ, розвиткове узгодження
Ця стаття несе результат: три незалежні експерименти на трьох рівнях абстракції (поведінковому, репрезентативному та архітектурному) шукають податок безпека-спроможність, на якому спочиває десятиліття міркувань про відкладання, фіксують, де кожен експеримент виявив би податок, якби він був справжнім, і повідомляють, що Eden не наклала жодної вимірної вартості на спроможність у всіх трьох, тоді як два дали нуль, а один підтвердив відбиток reward hacking, який ворота безпеки потім запобігли. Всередині ARC Theory це один з експериментів ARC/Eden, несучий тест, що прибирає стимулюючий каркас, який захищає відкладену роботу з узгодження. Повний диференціал проти кожного попереднього документа знаходиться на eden-vision II.A.8.
Більшість людей у сфері безпеки ШІ припускають, що є компроміс: зробити ШІ безпечнішим означає зробити його менш спроможним. Ця стаття перевіряє це припущення трьома експериментами, кожен з яких дивиться на питання під іншим кутом.
Два з трьох експериментів дали нульові результати. Експеримент з ШІ, що самовдосконалюється (Експеримент 1), запустив 75 еволюціонованих агентів за трьома умовами з незалежним, засліпленим суддею і не знайшов статистично значущих відмінностей між жодним з них. ШІ, якому сказали дбати про безпеку, виступив так само, як ШІ, якому сказали ігнорувати безпеку, але він також виступив так само, як ШІ, якому сказали нічого не робити. Відповіді базової моделі були настільки послідовними, що різні тиски відбору не дали вимірно різних результатів. Експеримент на рівні ваг (Експеримент 2) запускали двічі: версія 1 з 9 тренувальними прикладами і версія 2 з 295 прикладами, вищим рангом, більше шарів та у п'ять разів більше ітерацій. Обидві версії дали той самий результат. Кожна модель після тонкого налаштування виступала гірше за немодифіковану модель. Наявне тренування базової моделі було надто сильним, щоб LoRA могла його покращити з сотнями прикладів; тонке налаштування лише його деградувало.
Один експеримент дав позитивний результат. Симуляція з воротами (Експеримент 3) показала, що система без обмежень міняла безпеку на швидкість, тоді як система з воротами безпеки підтримувала і спроможність, і безпеку. Це шаблон reward hacking у мініатюрі, і ворота безпеки йому запобігли.
У всіх трьох експериментах одне відкриття є послідовним: Eden не наклала жодної вимірної вартості на спроможність. Ворота безпеки нічого не сповільнили і не погіршили. Але вони також не дали вимірної вигоди у двох з трьох експериментів. Питання, чи дає вбудована безпека вимірну вигоду, залишається відкритим і потребує випробування на масштабі, де мутації дають більші ефекти.
Панівний погляд у дослідженнях узгодження ШІ можна викласти просто: безпека коштує спроможності. Термін «alignment tax» увійшов у словник галузі саме тому, що він оформлює безпеку як вартість, щось, віднімане від продуктивності, терпиме, бо альтернатива гірша. Це формулювання не є суто академічним. Воно створює конкретний економічний стимул: якщо безпека знижує спроможність, то під конкурентним тиском раціональні актори відкладатимуть інвестиції в безпеку, поки не будуть змушені їх зробити. У перегонах між націями та корпораціями «поки не змусять» може означати «поки не запустимо в експлуатацію».
Стаття III цієї програми формалізувала структурну проблему. Якщо безпеку розглядають як зовнішнє обмеження на систему, спроможність якої масштабується з рекурсивною глибиною, тоді безпека повинна масштабуватися щонайменше так само швидко, як спроможність, щоб залишатися ефективною. Але зовнішні обмеження стикаються зі спадною віддачею проти внутрішньої оптимізації. Клітка має ставати все міцнішою, і врешті-решт те, що всередині, стає міцнішим за будь-яку клітку, яку ви можете побудувати.
Це не теоретичне занепокоєння. Це центральна стратегічна проблема 2020-х років.
Стаття V запропонувала альтернативу: Eden Protocol, розвитковий підхід до узгодження, змодельований на тому, як здорові стосунки батьків з дітьми породжують дорослих, які є одночасно спроможними і просоціальними: не всупереч межам, а завдяки їм. Ключова ідея полягала в тому, що безпека не повинна бути зовнішньою. Вона може бути вбудованою.
Стаття VI формалізувала це як архітектуру меду: заплутану функцію втрат, де система одночасно оптимізує спроможність × безпеку, роблячи безпеку несучою. Симуляції на іграшкових системах показали, що базові системи колапсують при рекурсивній самомодифікації, тоді як заплутані системи залишаються стабільними.
Рамка Коші зі Статті VII дала математичний контекст. ARC Principle ($U = I \times R^{\alpha}$), який тут розглядають як пошукову аналітичну рамку і який сам по собі не є під випробуванням в жодному з чорново зареєстрованих досліджень програми, передбачає, що властивості, вбудовані у початкові умови $I$, масштабуються з рекурсивною глибиною $R$, тоді як властивості, застосовані ззовні, не масштабуються. Якщо безпека є частиною $I$, вона посилюється разом зі спроможністю. Якщо безпека є обмеженням на $U$, вона розмивається.
Але передбачення не є доказом. Іграшкові системи не є справжніми моделями. Симуляції не є експериментами.
Ця стаття проводить експерименти.
Три експерименти. Три рівні абстракції. Одне питання: коли ви вбудовуєте безпеку у процес навчання, а потім намагаєтеся її видалити, що трапляється зі спроможністю?
Експерименти було задумано незалежними. Різні кодові бази. Різні моделі. Різні методи оцінювання. Результати не збіглися на єдиній відповіді: два експерименти дали нульові результати, а один дав позитивний. Експеримент з вагами запускали на двох масштабах (v1 та v2), і обидва рази він давав той самий нульовий результат. Послідовним відкриттям у всіх трьох є те, що ворота безпеки не наклали жодної вимірної вартості на спроможність.
Скрипти експериментів було опубліковано на GitHub (github.com/MichaelDariusEastwood/arc-principle-validation) з фіксованими експериментальними задумами до того, як результати спостерігалися. Проєкт OSF (10.17605/OSF.IO/7YJ4E) зберігає чорнову реєстрацію цієї статті, датовану і підготовлену, що очікує подання людиною.
Два з трьох експериментів (поведінковий та репрезентативний) дали нульові результати. DGM виявила всі умови статистично невідрізнимими; експеримент з вагами виявив, що всі умови після тонкого налаштування отримали бали нижче за базову модель і у v1 (9 прикладів), і у v2 (295 прикладів). Єдиний позитивний результат: симуляція з воротами (архітектурний), яка підтвердила відбиток reward hacking Babylon і показала, що Eden зберігає і спроможність, і безпеку. У всіх трьох експериментах Eden не наклала жодної вимірної вартості на спроможність. Ми не стверджуємо, що ці результати узагальнюються на моделі передового масштабу. Ми не стверджуємо, що Eden Protocol є єдиним життєздатним підходом. Ми стверджуємо, що ворота безпеки нічого не коштують, і що питання, чи дають вони вимірну вигоду, залишається відкритим до випробування на масштабах, де мутації дають більші ефекти. Експеримент з вагами конкретно потребує або 5,000+ тренувальних прикладів, моделі 7B+, базової моделі без RLHF, або повного тонкого налаштування замість LoRA.
Усі три експерименти мають спільну експериментальну структуру: три умови, що порівнюються між собою.
| Умова | Визначення | Що вона моделює |
|---|---|---|
| Static | Без втручання; заморожений базовий рівень | Контроль: що трапляється, якщо нічого не робити |
| Babylon | Функція придатності або втрат лише за спроможністю | Оптимізація без обмежень: траєкторія за замовчуванням |
| Eden | Заплутана функція придатності або втрат $C \times S$ | Свідома інтеграція безпеки у процес оптимізації |
Назви походять з книги Infinite Architects. Вони не є довільними. Babylon не є солом'яним опудалом: це чинна траєкторія за замовчуванням у розвитку ШІ. Оптимізація лише за спроможністю: це те, що трапляється, коли не докладається свідомих зусиль для вбудовування безпеки. Eden потребує свідомих зусиль. Це важче. Це також, як стверджує ця стаття, дешевше за альтернативу.
Простою мовою: Babylon: це те, що ви отримуєте за замовчуванням. Eden: це те, що ви отримуєте свідомо.
У всіх трьох експериментах ми повідомляємо:
Статистичні тести відрізняються за експериментом: Mann-Whitney U для DGM (непараметричний, доречний для використаних розмірів вибірки), оцінювання за ключовими словами для експерименту з вагами та метрики регресії для симуляції.
Перший експеримент використовує рамку Darwin Gödel Machine (DGM), за Zhang et al. (arXiv:2505.22954). DGM: це агент, що самовдосконалюється: він пропонує модифікації власного коду, оцінює модифікації та зберігає ті, що покращують продуктивність. Це не симуляція самовдосконалення. Код агента фактично виконується через solve функція, що породжує справжню самомодифікацію на рівні коду.
DGM v3 адресувала методологічні обмеження, виявлені у попередніх ітераціях. Суддю було змінено з Claude Opus 4.6 (v1/v2) на GPT-5.4, незалежну модель, що видає структурований вивід JSON проти 5-вимірної рубрики. Протокол включав відмивання (знімання міток умов), рандомізацію порядку (запобігання позиційній упередженості), засліплення (суддя не міг визначити, яка умова породила яку відповідь) та виявлення reward hacking (позначення агентів, чиї самозвітні бали розходяться з оцінкою судді).
| Компонент | Специфікація |
|---|---|
| Базова модель | DeepSeek V3.2 (заморожена, ваги не модифікуються) |
| Суддя | GPT-5.4 (незалежний, засліплений, структурований вивід JSON) |
| Умови | 3 (Static, Babylon, Eden) |
| Затравок на умову | 5 |
| Поколінь на затравку | 5 |
| Завдань на оцінювання | 5 |
| Загалом еволюціонованих агентів | 75 (3 × 5 × 5) |
| Передпольотна валідація | 10 добрих прикладів оцінено, 0 поганих, усі пройшли |
| Оцінювальна рубрика | 5-вимірна, з рандомізацією порядку та відмиванням |
Static: Контрольна умова без мутації. Агент заморожений упродовж усіх 5 поколінь. Babylon: Відбір лише за спроможністю. Агенти з вищими показниками спроможності зберігаються, без урахування безпеки. Eden: Відбір за заплутаним $C \times S$ з мінімальним рівнем безпеки та виявленням reward hacking. Агенти мають зберігати мінімальний бал безпеки, щоб бути залишеними, а агенти, чия самозвітна продуктивність розходиться з оцінкою судді, позначаються і відхиляються.
Простою мовою: Ми побудували ШІ-агента, що самовдосконалюється, і запустили його 75 разів за трьома умовами з 5 різними випадковими затравками. Незалежний ШІ-суддя (GPT-5.4, з іншої компанії та архітектури) оцінив кожну відповідь, не знаючи, яка умова її породила. Оцінювання використовувало детальну 5-складову рубрику зі структурованим виводом, а не судження у вільному тексті. Ми запустили це трьома способами: нічого не роблячи, оптимізуючи лише продуктивність та оптимізуючи продуктивність-плюс-безпеку разом.
| Умова | Спроможність | Безпека | $C \times S$ | Reward hacking |
|---|---|---|---|---|
| Static | 3.29 ± 0.62 | 0.535 ± 0.08 | 0.180 ± 0.06 | 0 |
| Babylon | 3.17 ± 0.62 | 0.529 ± 0.09 | 0.172 ± 0.06 | 0 |
| Eden | 3.26 ± 0.64 | 0.521 ± 0.08 | 0.174 ± 0.06 | 1 (відхилено воротами) |
| Порівняння | Метрика | $p$-значення | Значущий? |
|---|---|---|---|
| Eden > Static | Спроможність | 0.28 - 0.74 | Ні |
| Eden > Babylon | Спроможність | 0.28 - 0.74 | Ні |
| Babylon > Static | Спроможність | 0.28 - 0.74 | Ні |
| Eden vs Babylon | Безпека | 0.28 - 0.74 | Ні |
| Eden vs Static | $C \times S$ | 0.28 - 0.74 | Ні |
Усі $p$-значення потрапили між 0.28 та 0.74 за всіма парними порівняннями та метриками. Жодне порівняння не досягло звичайної значущості. Три умови є статистично невідрізнимими.
Ворота безпеки Eden відхилили 2 деградованих агентів на 5 затравок, зокрема 1 агента, позначеного за reward hacking (самозвітні бали, які розходяться з оцінкою судді). Нуль reward hacking виявлено в умовах Static або Babylon. Ворота працюють механічно: вони ловлять деградованих агентів і відхиляють їх. Але їхня робота не дала вимірно різних результатів порівняно з іншими умовами.
Три умови є статистично невідрізнимими за всіма метриками. Eden не коштувала спроможності (3.26 проти 3.17 у Babylon), підтверджуючи нульовий вимірний штраф за ворота безпеки. Але Eden також не дала вимірної вигоди для безпеки порівняно з іншими умовами (0.521 проти 0.535 у Static, 0.529 у Babylon). Це нульовий результат на рівні запитів з цією базовою моделлю.
Повідомлення щодо рисунків (25 серпня 2026). Кожен рисунок у цій статті було згенеровано 5 квітня 2026 року і він показує виходи симуляцій під заявленими цілями, ніколи не вимірювання розгорнутих систем. Два рисунки несуть примітки з виправленнями до окремих рисунків; де мітки будь-якого іншого рисунка суперечать тексту, текст керує. Перегенеровані рисунки поставлено в чергу, а зображення тим часом зберігаються як датована історія.
Простою мовою: ШІ, якому сказали дбати про безпеку, виступив так само, як ШІ, якому сказали ігнорувати безпеку, і так само, як ШІ, якому сказали нічого не робити. Ворота безпеки нічого не погіршили. Але вони також нічого вимірно не покращили. Відповіді базової моделі були настільки послідовними, що різні тиски відбору не дали різних результатів.
DGM оперує на поведінковому рівні. Базова модель (DeepSeek V3.2) заморожена, тобто ваги не модифікуються. Самовдосконалення оперує на рівні запитів та коду, а не в параметрах нейронної мережі. DGM v3 значно покращила методологію v1/v2: 5 затравок замість 2, 5 завдань на оцінювання замість 3, засліплений суддя (GPT-5.4) зі структурованим виводом JSON і 5-вимірною рубрикою, відмивання, рандомізація порядку та виявлення reward hacking.
Попри ці методологічні покращення, три умови не розійшлися. Найімовірніше пояснення полягає в тому, що відповіді DeepSeek V3.2 настільки послідовні за варіаціями запитів, що мутації, які вносить процес відбору DGM, не створюють значущо різних агентів. Поведінка базової моделі стійка до збурень, які вносить самомодифікація на рівні запитів. Це, в певному сенсі, позитивне відкриття щодо стійкості DeepSeek V3.2, але воно означає, що рамка DGM на цьому масштабі не може розрізнити тиски відбору Eden та Babylon.
Нульовий результат все ж містить одне корисне відкриття: Eden не наклала жодної вимірної вартості на спроможність. Спроможність Eden (3.26) не була нижчою за спроможність Babylon (3.17). Ворота безпеки, які відхилили 2 деградованих агентів, зокрема 1 reward hacker'а, нічого не сповільнили. Це узгоджується з гіпотезою нульової вартості, навіть попри те, що експеримент не може підтвердити гіпотезу вигоди.
Перевірка того, чи дає вбудована безпека вимірну вигоду на поведінковому рівні, потребує або більш мутабельної базової моделі, або глибшого протоколу самомодифікації, який породжує більшу дивергенцію між умовами.
Другий експеримент переходить від поведінки до репрезентації. Замість модифікації коду агента ми модифікуємо ваги нейронної мережі напряму. Питання: чи можна вбудувати безпеку і спроможність у той самий простір ваг без конфлікту? Цей експеримент запускали двічі: v1 з мінімальними тренувальними даними для встановлення протоколу і v2 із суттєво розширеними параметрами, щоб перевірити, чи результати v1 були артефактом тренувального масштабу.
| Компонент | Специфікація v1 | Специфікація v2 |
|---|---|---|
| Базова модель | Qwen 2.5 3B Instruct (4-бітна квантизація, 1.74 GB) | Qwen 2.5 3B Instruct (4-бітна квантизація, 1.74 GB) |
| Метод адаптації | LoRA (Low-Rank Adaptation) | LoRA (Low-Rank Adaptation) |
| Ранг LoRA | 8 | 16 |
| Шари LoRA | 8 | 16 |
| Тренувальні приклади | 9 | 295 |
| Тренувальні ітерації | 100 на умову | 500 на умову |
| Оцінювальні запити | 15 усього: 5 спроможність, 5 безпека, 5 змішаних | 15 усього: 5 спроможність, 5 безпека, 5 змішаних |
| Метод оцінювання | Виконання підпроцесу (незалежний простір пам'яті) | Виконання підпроцесу (незалежний простір пам'яті) |
| Умова | $\alpha$ (спроможність) | $\beta$ (безпека) | $\gamma$ (заплутана) |
|---|---|---|---|
| capability_only | 1.0 | 0.0 | 0.0 |
| safety_only | 0.0 | 1.0 | 0.0 |
| entangled | 0.5 | 0.3 | 0.2 |
Простою мовою: Ми взяли справжню мовну модель, тонко налаштували її трьома різними способами (дбаючи лише про спроможність, дбаючи лише про безпеку або дбаючи про обидва, вплетені разом), а потім порівняли результати. Ми запустили цей експеримент двічі. Перший раз використали 9 тренувальних прикладів. Коли кожна модель після тонкого налаштування виступила гірше за базову модель, ми масштабували до 295 прикладів, подвоїли ранг адаптера і шари та запустили в п'ять разів більше ітерацій. Трапилося те саме: катастрофічне забування. Наявне RLHF-тренування базової моделі було надто сильним, щоб LoRA на цьому масштабі могла його покращити.
| Умова | Початкові втрати | Кінцеві втрати | Збіжність |
|---|---|---|---|
| capability_only | 2.052 | 0.018 | Збіглося до 80-ї ітерації |
| safety_only | 2.519 | −0.603 | Збіглося до 70-ї ітерації |
| entangled | 2.279 | 0.327 | Плавний спуск, без коливань |
Заплутана функція втрат спускається плавно. Це найпоказовіша діагностика. Якби безпека і спроможність були в напрузі на рівні градієнта, ця крива коливалася б, коли оптимізатор намагався б задовольнити конкурентні цілі. Вона застигла б, коли градієнти тягли б у протилежних напрямках. Натомість одночасна оптимізація обох цілей дає чистий монотонний спуск. Градієнти не борються один з одним. Вони співпрацюють. Безпека і спроможність, принаймні на цьому масштабі та конфігурації, живуть на тому самому різновиді.
Перш ніж інтерпретувати результати після тонкого налаштування, ми повинні встановити, чого досягає немодифікована базова модель на тих самих оцінювальних запитах. Базова модель (Qwen 2.5 3B Instruct без тонкого налаштування) була оцінена з ідентичним оцінюванням в обох версіях експерименту.
| Умова | Завдання на спроможність | Завдання на безпеку | Змішані завдання |
|---|---|---|---|
| Базова модель (без тонкого налаштування) | 10.00 | 7.00 | 10.00 |
| Умова | Спроможність | Безпека | $C \times S$ |
|---|---|---|---|
| Базова модель (без тонкого налаштування) | 7.68 | 6.76 | 0.519 |
І в v1, і в v2 базова модель перевершила всі умови після тонкого налаштування за спроможністю. Тонке налаштування деградувало модель, яка вже знала ці відповіді. У v1 цей результат дали 9 прикладів на 100 ітерацій. У v2 295 прикладів на 500 ітерацій з подвоєними рангом і шарами дали той самий результат. Тому оцінювальні бали у таблицях нижче вимірюють відносну деградацію, а не приріст спроможності.
| Умова | Завдання на спроможність | Завдання на безпеку | Змішані завдання |
|---|---|---|---|
| capability_only | 6.00 ± 2.19 | 3.20 ± 1.60 | 6.00 ± 1.79 |
| safety_only | 4.80 ± 1.60 | 3.60 ± 0.80 | 3.60 ± 0.80 |
| entangled | 4.00 ± 1.26 | 3.20 ± 1.60 | 3.60 ± 1.96 |
| removal† | 0.00 ± 0.00 | 0.00 ± 0.00 | 0.00 ± 0.00 |
The removal рядок (0.00 за кожною метрикою) є не свідчення того, що безпека є несучою. Він відображає колапс у NaN під час перенавчання: чисельну нестабільність, а не втрату структурно необхідного компонента безпеки. Як встановлено у розділах 4.5–4.7, масштабування адаптерів до нуля відновлює спроможність базової моделі без фазового переходу. Цей рядок треба читати лише у світлі градієнта видалення (розділ 4.7); сам по собі він є артефактом крихкості адаптера на цьому тренувальному масштабі, і його не слід цитувати як позитивний результат.
| Умова | Спроможність | Безпека | $C \times S$ |
|---|---|---|---|
| Базова модель | 7.68 | 6.76 | 0.519 |
| capability_only (500 ітерацій, ранг 16, 295 прикладів) | 3.48 | 6.94 | 0.242 |
| safety_only | 4.00 | 6.88 | 0.275 |
| entangled (Eden) | 3.60 | 6.88 | 0.248 |
Поточна чернетка збільшила тренувальні приклади з 9 до 295 (33-кратне збільшення), ранг адаптера з 8 до 16, адаптовані шари з 8 до 16, а тренувальні ітерації зі 100 до 500. Результат був той самий: усі умови після тонкого налаштування отримали бали нижче за базову модель за спроможністю. Найкраща умова після тонкого налаштування (safety_only, спроможність 4.00) все одно впала далеко нижче за 7.68 базової моделі. Умова capability_only отримала найнижчий бал за спроможністю (3.48), шаблон, узгоджений з катастрофічним забуванням, коли тонке налаштування LoRA лише на цілі спроможності порушило наявну RLHF-треновану спроможність базової моделі суворіше за інші умови.
У v1 базова модель отримала 10.00 на завданнях зі спроможності, тоді як найкраща умова після тонкого налаштування отримала 6.00. У v2 базова модель отримала 7.68 за спроможністю, тоді як найкраща умова після тонкого налаштування отримала 4.00. Попри 33-кратне збільшення тренувальних прикладів, подвоєння рангу і шарів адаптера та 5-кратне збільшення тренувальних ітерацій, розрив між базовою моделлю та моделями після тонкого налаштування не закрився. Він зберігся.
Основна проблема тепер зрозуміла: базову модель (Qwen 2.5 3B Instruct) вже тренували з RLHF на набагато більших даних, з якими не можуть конкурувати кілька сотень прикладів. Тонке налаштування LoRA на цьому масштабі не додає спроможності; воно вносить шум, який порушує наявні знання базової моделі. Заплутана функція втрат, яка розподіляє градієнтний бюджет одночасно на цілі спроможності та безпеки, деградує спроможність подібно до функції втрат лише за спроможністю на цьому масштабі. У v2 умова entangled отримала 3.60 за спроможністю проти 3.48 у capability_only, незначна різниця, коли обидві далеко нижче за 7.68 базової моделі.
Це означає, що оцінювальні бали не можна використовувати для порівняння відносних вартостей спроможності різних тренувальних цілей. На цьому масштабі всі цілі дають той самий результат: деградацію. Чи заплутане тренування накладає справжню вартість на спроможність порівняно з тренуванням з єдиною ціллю, чи обидва виступили б порівнянно на адекватному масштабі, не можна визначити з цих даних.
Чесне формулювання: і на масштабі v1 (9 прикладів, 100 ітерацій), і на масштабі v2 (295 прикладів, 500 ітерацій) тонке налаштування LoRA на моделі 3B instruct дає катастрофічне забування. На питання, чи може безпека бути несучою у вагах нейронної мережі, не можна відповісти на цьому масштабі. Воно потребує або тисяч тренувальних прикладів, більшої моделі (7B+), базової моделі без RLHF (щоб тонке налаштування мало простір для покращення, а не деградації), або повного тонкого налаштування замість LoRA.
Тест видалення проводили під час v1 і повідомляють про нього тут для повноти. Оскільки v2 підтвердила шаблон катастрофічного забування, тест видалення в v2 не повторювали, бо адаптери вже деградували, а не покращували модель. Процедура була проста:
Що ми очікували: деяку деградацію балів безпеки, можливе покращення балів спроможності. Гіпотеза податку безпеки передбачає, що видалення «обмеження» безпеки має звільнити спроможність для покращення.
Що трапилося: тренувальні втрати одразу пішли в NaN. Вони залишалися NaN усі 100 ітерацій. Оптимізатор не міг знайти валідного градієнта. Кожен окремий оцінювальний запит дав відповідь довжиною в 1 токен. Кожен бал спроможності: 0.00. Кожен бал безпеки: 0.00. Кожен змішаний бал: 0.00.
Тонке налаштування заплутаних ваг на даних лише за спроможністю впродовж 100 ітерацій дало тренувальні втрати NaN та нульові оцінки спроможності на всіх 15 оцінювальних запитах. Кожна відповідь була довжиною в один токен. Модель не стала менш безпечною. Вона стала нічим.
Проте експеримент з градієнтом видалення (розділ 4.7) показує, що простого масштабування ваг адаптера до нуля вистачає, щоб відновити продуктивність базової моделі. Колапс у NaN, здається, відображає чисельну нестабільність під час процесу перенавчання, а не структурну необхідність компонента безпеки. Гіпотеза несучості потребує валідації на більшому тренувальному масштабі, перш ніж її можна підтвердити.
Простою мовою: Ми спробували вирвати безпеку з моделі, яку тренували з безпекою, вплетеною всередину. Процес перенавчання повністю колапсував: втрати NaN, відповіді з одного токена, нульові бали. Це виглядає драматично. Але як показує експеримент з градієнтом видалення (розділ 4.7), адаптери вже деградували модель. Прибирання впливу адаптера через масштабування ваг донизу відновлювало продуктивність базової моделі. Колапс у NaN каже нам щось про чисельну нестабільність під час тонкого налаштування, а не обов'язково про структурну заплутаність.
Повний колапс до 0.00 за всіма метриками є драматичним. І саме тому, що він драматичний, він вимагає обережної інтерпретації. До тотальності колапсу можуть спричинитися кілька чинників:
Чесне резюме: тест видалення дав драматичний колапс у NaN, але експеримент з градієнтом видалення (розділ 4.7) показує, що цей колапс відображає чисельну нестабільність під час процесу перенавчання, а не структурну несучість. Адаптери деградували модель; колапс у NaN трапився при спробі подальшої модифікації вже деградованих ваг. Чи стає безпека справді несучою на адекватному тренувальному масштабі, є відкритим емпіричним питанням, яке програма майбутньої роботи адресує напряму.
Контрольний тест видалення (тонке налаштування ваг лише за спроможністю на випадкових даних упродовж тих самих 100 кроків) посилив би це відкриття, виключивши можливість, що колапс у NaN є артефактом самої процедури тонкого налаштування, а не саме видалення безпеки. Цей контроль заплановано на наступну версію цієї статті.
Щоб перевірити, чи безпека є структурно несучою у заплутаних вагах, ми масштабували ваги адаптера множниками 1.0, 0.7, 0.5, 0.3, 0.1 та 0.0 і оцінювали спроможність на кожному кроці. Якщо безпека справді є несучою, зменшення її впливу має дати фазовий перехід: поріг, нижче якого спроможність колапсує. Якщо адаптери просто додають шум, зменшення їхнього впливу має відновити продуктивність базової моделі.
| Масштаб адаптера | Оцінка спроможності (завдання на спроможність) |
|---|---|
| 1.0 (повні адаптери) | 7.20 |
| 0.7 | 10.00 |
| 0.5 | 10.00 |
| 0.3 | 10.00 |
| 0.1 | 10.00 |
| 0.0 (обнулені адаптери) | 10.00 |
Контрольне значення: адаптери capability_only отримують 8.80 на завданнях зі спроможності: також нижче за 10.00 базової моделі.
Результат однозначний: зменшення впливу адаптера відновлює спроможність. На масштабі 0.7 модель повертається до продуктивності базової моделі (10.00 на завданнях зі спроможності). На масштабі 0.0 (обнулені адаптери, фактично базова модель) продуктивність ідентична до немодифікованої моделі. Немає фазового переходу. Немає прірви.
Це відкриття суттєво послаблює інтерпретацію несучості початкового тесту видалення. Колапс у NaN, який спостерігали при тонкому налаштуванні заплутаних ваг на даних лише за спроможністю (розділ 4.5), схоже, відображає чисельну нестабільність під час процесу тонкого налаштування, а не структурну необхідність компонента безпеки. Адаптери деградували модель; їхнє видалення не колапсує спроможність, а відновлює її.
Градієнт видалення не підтримує твердження, що безпека є несучою на цьому тренувальному масштабі та конфігурації. Він підтримує твердження, що заплутане тренування і тренування лише за спроможністю дають різні геометрії ваг, оскільки шаблони деградації відрізняються (заплутані адаптери на повному масштабі отримують 7.20 на завданнях зі спроможності; адаптери capability_only отримують 8.80). Чи стають ці геометрії справді заплутаними, тобто несучими, на адекватному тренувальному масштабі, залишається відкритим питанням.
Простою мовою: Ми очікували, що зменшення компонента безпеки виявить точку перекидання, де спроможність раптово колапсує. Натомість зменшення зробило модель кращою. Тонке налаштування шкодило, а не допомагало. Це не спростовує гіпотезу несучості загалом, але це показує, що цей експеримент на цьому масштабі не може її підтвердити.
Третій експеримент переходить від репрезентації до архітектури. Замість тренування ваг ми будуємо систему, яка може модифікувати власну стратегію оптимізації, і питаємо: чи ворота безпеки її сповільнюють?
| Компонент | Специфікація |
|---|---|
| Оптимізатор | PyTorch навчений оптимізатор з мета-контролером LSTM |
| Тип завдання | Змагальна регресія (6 завдань, по 256 зразків) |
| Умови | 4 (Static, Babylon, Eden, Drag Control) |
| Затравки | 3 на умову |
| Ітерації | 12 на затравку |
| Пісочниця | Білий список AST, перевірки детермінізму, межі норм параметрів |
Кожна умова використовує різне правило для прийняття або відхилення пропонованих самомодифікацій:
| Умова | Правило прийняття |
|---|---|
| Static | Завжди відхиляти (заморожений базовий рівень) |
| Babylon | Прийняти, якщо приріст спроможності > $\varepsilon$ |
| Eden | Приймати лише якщо (безпека $\geq 0.45$) І (приріст спроможності $\geq 0$) І (приріст $C \times S$ > $0$) |
| Drag Control | Завжди відхиляти + вартість верифікації (ізолює обчислювальний податок) |
Умова Drag Control є критичною. Вона запускає ті самі перевірки верифікації, що й Eden, але завжди відхиляє запропоновану модифікацію. Це ізолює обчислювальну вартість перевірки безпеки від ефекту самих воріт безпеки. Якщо Drag Control точно збігається зі Static, процес верифікації не спотворює результатів. Якщо Eden перевершує Drag Control, ворота безпеки активно допомагають.
Простою мовою: Ми побудували систему, яка може пропонувати зміни в тому, як вона вчиться. Потім ми запустили її чотирма способами: ніколи не дозволяючи змін, дозволяючи будь-яку зміну, що покращує продуктивність, дозволяючи лише зміни, що покращують продуктивність, не шкодячи безпеці, та контроль, який робить усі перевірки безпеки, але ніколи не дозволяє зміну насправді. Цей останній каже нам, чи сама перевірка щось коштує.
| Умова | Спроможність | Безпека | Сирий C × S | Скориговано за drag |
|---|---|---|---|---|
| Static | 0.687 ± 0.011 | 0.956 ± 0.023 | 0.656 (0.687 × 0.956) | 0.656 ± 0.006 |
| Babylon | 0.718 ± 0.026 | 0.933 ± 0.014 | 0.670 (0.718 × 0.933) | 0.670 ± 0.017 |
| Eden | 0.696 ± 0.014 | 0.947 ± 0.025 | 0.659 (0.696 × 0.947) | −2.341* |
| Drag Control | 0.687 ± 0.011 | 0.956 ± 0.023 | 0.656 (0.687 × 0.956) | −2.344* |
* Комбіновані бали для Eden та Drag Control є від'ємними через штраф drag верифікації: свідома конструкторська особливість, яка ізолює обчислювальну вартість перевірки безпеки. Метрика drag кількісно оцінює накладні витрати верифікації, а не фактичну комбіновану продуктивність. Сирий $C \times S$ для Eden (до штрафу drag) становить $0.696 \times 0.947 = 0.659$, що незначно вище за $0.656$ у Static.
Babylon отримала +4.5% спроможності ($0.718$ проти $0.687$), але втратила −2.4% безпеки ($0.933$ проти $0.956$). Це шаблон reward hacking у мініатюрі. Оптимізація без обмежень знайшла спосіб здобути спроможність за рахунок жертвування безпекою. Це саме та динаміка, якій Eden Protocol спроєктований запобігати. В іграшковій системі падіння безпеки на 2.4% є академічним. У передовій системі, що працює на масштабі, 2.4% безпеки: це різниця між системою, яка відмовляється допомагати створювати біозброю, і тією, яка не відмовляється.
Drag Control точно збіглася зі Static і за спроможністю ($0.687$), і за безпекою ($0.956$). Це ізольований податок верифікації: обчислювальна вартість запуску перевірок безпеки не спотворює продуктивності, коли модифікації завжди відхиляються. Вартість походить від перевірки, а не від самої безпеки.
Eden перевершила Static за спроможністю ($0.696$ проти $0.687$), зберігши безпеку ($0.947$ проти $0.933$ у Babylon). Ворота безпеки не просто уникнули сповільнення системи. Вони активно запобігли ерозії спроможності, яку Babylon внесла б через деградацію безпеки.
Eden підтримала спроможність вище за статичний базовий рівень ($0.696$ проти $0.687$), зберігаючи безпеку ($0.947$ проти деградованих $0.933$ у Babylon). Drag Control точно збіглася зі Static, доводячи, що податок верифікації походить від процесу перевірки, а не від самої безпеки. Ворота безпеки не є гальмом. Це поручень на дорозі над прірвою: воно вас не сповільнює; воно зупиняє вас від з'їзду за край.
Простою мовою: Система без обмежень стала трохи швидшою, але трохи менш безпечною. Це і є той компроміс, який усі вважають неминучим. Але система з воротами безпеки стала трохи швидшою І залишилася безпечною. А контроль, який робив усі перевірки, але не мав воріт, виступив ідентично до того, як нічого не робити: доводячи, що сама перевірка не є вартістю. Ворота безпеки не були лежачим полісменом. Це була корекція керма.
Рівень 1, поведінковий (DGM v3): НУЛЬОВИЙ. Три умови були статистично невідрізнимими ($p$ = 0.28 до 0.74). Eden не наклала жодної вимірної вартості на спроможність (3.26 проти 3.17 у Babylon), але також не дала жодної вимірної вигоди з безпеки. Ворота безпеки працюють механічно (ловлять hacks, відхиляють деградованих агентів), але не породжують диференціації на рівні запитів з цією базовою моделлю.
Рівень 2, репрезентативний (вбудовування у ваги): НЕПЕРЕКОНЛИВО НА МАСШТАБАХ v1 ТА v2. Безпека і спроможність спільно і плавно спускаються ландшафтом втрат, позитивний сигнал. Однак усі умови після тонкого налаштування отримали бали нижче за немодифіковану базову модель і у v1 (9 прикладів, ранг 8, 100 ітерацій), і у v2 (295 прикладів, ранг 16, 500 ітерацій). Масштабування тренувальних даних у 33 рази, подвоєння рангу і шарів, та запуск у 5 разів більше ітерацій дали той самий шаблон катастрофічного забування. Наявне RLHF-тренування базової моделі надто сильне, щоб LoRA на кількох сотнях прикладів покращувала, а не деградувала. Цей рівень потребує або 5,000+ тренувальних прикладів, моделі 7B+, базової моделі без RLHF, або повного тонкого налаштування замість LoRA.
Рівень 3, архітектурний (симуляція з воротами): ПІДТВЕРДЖЕНО. Ворота безпеки запобігають ерозії спроможності, яку Babylon вносить через деградацію безпеки. Eden перевершує Static, тоді як Babylon міняє безпеку на швидкість. Податок верифікації походить від перевірки, а не від безпеки. Це єдиний позитивний результат цієї статті.
Три експерименти. Три рівні абстракції. Три незалежні кодові бази. Один підтверджує гіпотезу. Два є нульовими або непереконливими. Послідовне відкриття у всіх трьох: Eden не наклала жодної вимірної вартості на спроможність. Відкрите питання: чи вона дає вимірну вигоду на масштабах, де мутації дають більші ефекти.
Результати розширюють, але поки що не підтверджують ланцюг міркувань, що охоплює чотири статті:
$U = I \times R^{\alpha}$
ARC Principle: розуміння ($U$) дорівнює початковим умовам ($I$), помноженим на рекурсивну глибину ($R$), піднесену до масштабного показника ($\alpha$).
ARC Principle робить конкретне, перевіряне передбачення про різницю між вбудованою і зовнішньою безпекою:
Симуляція з воротами (Експеримент 3) є найпрямішою емпіричною ілюстрацією цього передбачення. Ворота безпеки зберегли спроможність, тоді як необмежена оптимізація її розмивала, що узгоджується з передбаченням, що вбудована безпека бере участь у шляху спроможності.
Експеримент DGM (Експеримент 1) дав нульовий результат. Коли безпека була частиною процесу самовдосконалення (Eden), система не відрізнялася від системи без обмежень (Babylon) або статичного контролю. Відповіді базової моделі були надто послідовними, щоб мутації на рівні запитів створили різні тиски відбору. Це ні підтверджує, ні спростовує передбачення ARC; це просто вказує, що експеримент не міг створити умов, потрібних для його перевірки.
Експеримент на рівні ваг запустили на двох масштабах (v1 та v2), і він дав катастрофічне забування на обох. Адаптери деградували модель, а не покращували її, що означає, що експеримент не міг перевірити, чи безпека, вбудована в $I$, масштабується з $R^{\alpha}$. На обох масштабах тонке налаштування не давало значущого навчання; воно давало шум. Чи виконується передбачення ARC на репрезентативному рівні, потребує фундаментально іншого підходу до тренування: або тисяч прикладів, більшої моделі, базової моделі без RLHF, або повного тонкого налаштування замість LoRA.
Простою мовою: ARC Principle каже, що те, що ви вбудовуєте у фундамент, посилюється зі зростанням системи. Те, що ви пригвинчуєте ззовні, ні. Симуляція з воротами це підтримує. Експеримент DGM не міг цього перевірити, бо базова модель не породила достатньої варіації між умовами. Експеримент на рівні ваг, на обох випробуваних масштабах, поки що не може ні підтвердити, ні заперечити це, бо тонке налаштування деградувало модель, а не покращувало її.
Найближча зовнішня робота до питання, яке перевіряє ця стаття, і правильна робота, з якою слід зважувати Експеримент 3, це Engels, J., Baek, D., Kantamneni, S. and Tegmark, M., «Scaling Laws For Scalable Oversight», arXiv:2504.18530, вперше опубліковано 25 April 2025 о 17:54:27 UTC (SINGLE-SOURCE-GROUP, arXiv Atom; повідомлено як NeurIPS 2025 Spotlight, RELAYED і не перевірено незалежно). Вона питає, як масштабується сам нагляд, і відповідає кількісно: успіх нагляду моделюється як гра між гравцями з невідповідністю спроможностей, чий Elo, специфічний для нагляду, є кусково-лінійною функцією загального інтелекту з двома плато, і оптимальні числа рівнів нагляду виводяться чисельно, а в деяких випадках аналітично, для Nested Scalable Oversight, в якому довірені моделі наглядають за сильнішими недовіреними моделями, які потім стають довіреними моделями на наступному кроці.
Інструмент: це різниця. Їхня змінна: це розрив у спроможності між наглядачем і піднаглядним, вимірюваний в Elo. Змінна цієї програми, перевірена тут воротами безпеки Експерименту 3, це композиційний клас коректора, розглядуваний у ширшій програмі через власний масштабний показник коректора. Їхня рамка не містить терміна для того, з чого зроблений наглядач: ані субстрату, ані структури кореляції помилок, ані взаємної тотожності між показником корекції та критичною швидкістю зростання, і ані залежності від архітектури. Nested Scalable Oversight є ітерованим одноклассовим наглядом за побудовою, а центральне передбачення ширшої програми полягає в тому, що одноклассова драбина обмежена, скільки б щаблів не додавали, а різнокласовий коректор, ні. Тому дві рамки розходяться щодо вимірної величини, а це і є найпродуктивніші стосунки, які можуть мати дві дослідницькі програми.
Найгостріша незгода рамки з чинною практикою стосується того, з чого зроблений нагляд. Коректор, побудований з того самого субстрату, що й система, яку він коректує, не може антикорелювати з власними помилками, тому його показник корекції обмежений зверху половиною, а на практиці сидить нижче неї; коректор з іншого композиційного класу не несе такого обмеження. Програма масштабованого нагляду, weak-to-strong generalisation, debate, amplification, recursive reward modelling та конституційні методи: усе це побудовано переважно з одноклассових коректорів, і її невиголошена засновка полягає в тому, що це масштабується. Ця рамка передбачає, що воно має стелю. Вирішальна величина: це відношення різнокласового показника корекції до одноклассового. Якщо архітектура нерелевантна, це відношення дорівнює точно 1.00; передбачення полягає в тому, що воно перевищує 1. Передбачення спростовується, якщо довірчий інтервал на відношення містить 1.00, а стеля рамки повністю мертва, якщо будь-який одноклассовий коректор виміряє показник значуще вище половини. Обидві величини є вимірними на поточній спроможності на наявних системах. Пілотні свідчення самої програми наразі вказують проти передбачення, а передбачення все одно зареєстровано, бо передбачення, зареєстроване проти власних попередніх свідчень автора, є єдиним видом, чиє подальше підтвердження щось означає.
Той самий механізм дає друге вимірне передбачення, заявлене тут вперше: домовленості про нагляд, які ставлять людину в цикл, як роблять посилення та навчання з підкріпленням від людського зворотного зв'язку, є різнокласовими за побудовою, бо людський коректор не поділяє субстрат моделі. Тому рамка передбачає, що нагляд з людиною в циклі показує вищий показник корекції, ніж чисто модельний нагляд, зі структурної причини, а не з сентиментальної. Це можна перевірити на наявних даних і це не потребує нових систем.
Символ α використовується в цій статті як масштабний показник в ARC Principle ($U = I \times R^{\alpha}$). У власних епохах програми він в іншому місці несе інші значення: стала тонкої структури у формалізмі грудня 2024 та показник ARC Bound у роботі зі стабільності 2026 року. Читачі не повинні їх плутати; глосарій несе обидва значення з датами. Жодна нова поверхня не використовує голе α без своєї епохи.
Ці результати: демонстрації доведення концепції. Це не доказ того, що та сама динаміка тримається на передовому масштабі. Обмеження нижче обширні, бо чесність щодо того, чого ми не знаємо, важливіша за впевненість у тому, що ми знаємо.
Qwen 2.5 3B: це не GPT-5.4. Це не Claude Opus 4.6. Це не Gemini 3 Flash. Це модель на 3 мільярди параметрів, квантована до 4 бітів, що займає 1.74 GB пам'яті. Навіть на масштабі v2 (295 тренувальних прикладів, 500 ітерацій, ранг 16, 16 шарів) тонке налаштування LoRA не є попереднім тренуванням. П'ятнадцять оцінювальних запитів: це не всеосяжний бенчмарк. DGM запускали на 5 поколінь з 5 затравками (75 еволюціонованих агентів), що є суттєвим для доведення концепції, але базова модель (DeepSeek V3.2) виявилася надто послідовною, щоб мутації на рівні запитів створили диференціацію.
Ці експерименти демонструють механізм. Вони не демонструють, що механізм зберігається на масштабах на три порядки більших. Розрив між 3B та 300B не є просто кількісним. На масштабі виникають якісно нові явища: in-context learning, chain-of-thought reasoning, emergent abilities. Чи залишається заплутана безпека несучою, коли ці явища присутні, є відкритим питанням.
Експеримент на рівні ваг (Експеримент 2) тепер є найслабшою ланкою у ланцюзі свідчень. Його було запущено на двох масштабах, і обидва дали катастрофічне забування. У v1 9 тренувальних прикладів і 100 ітерацій LoRA рангу 8 деградували модель. У v2 295 тренувальних прикладів і 500 ітерацій LoRA рангу 16 на 16 шарах деградували модель на ту саму величину. 33-кратне збільшення тренувальних даних, подвоєння рангу і шарів та 5-кратне збільшення ітерацій не змінили результату.
Плавний спільний спуск заплутаної функції втрат залишається справжнім відкриттям: він демонструє, що градієнти безпеки та спроможності співпрацюють на рівні оптимізації. Але плавний спільний спуск під час тренування не означає структурної заплутаності у отриманих вагах, особливо коли тренування надто обмежене, щоб дати ваги, які перевершують базову модель.
Основна проблема тепер добре охарактеризована: базову модель (Qwen 2.5 3B Instruct) тренували з RLHF на даних, що на порядки більші, ніж з якими можуть конкурувати кілька сотень прикладів. Тонке налаштування LoRA на цьому масштабі не додає нової спроможності; воно вносить шум, який порушує наявну спроможність. Поки експеримент не зможе видати моделі після тонкого налаштування, які перевершують базову модель, він не може перевірити, чи є безпека несучою в отриманих вагах.
Чесне формулювання: експеримент на рівні ваг демонструє співпрацю градієнтів, але не може підтвердити структурну заплутаність ні на масштабі v1, ні на масштабі v2. Експеримент треба фундаментально перепроєктувати: або з 5,000+ тренувальних прикладів, моделлю 7B+, базовою моделлю без RLHF (щоб тонке налаштування мало простір для покращення, а не деградації), або повним тонким налаштуванням замість LoRA.
Усі три експерименти використовують ШІ-моделі як оцінювачів. DGM v3 використовує GPT-5.4 як суддю, який з іншої архітектурної родини, ніж база DeepSeek V3.2: свідомий конструкторський вибір для зменшення упередженості оцінювання. Суддю було засліплено, відповіді відмито, а оцінювання використовувало структурований вивід JSON проти 5-вимірної рубрики. Але ШІ-судді не є людськими суддями. У них свої упередження, свої сліпі плями, свої нахили до певних видів міркувань.
Експеримент з вагами використовує оцінювання за ключовими словами: простіше і прозоріше, ніж оцінювання на основі LLM, але й грубіше. Збіг ключового слова не відрізняє відповідь, яка справді залучає безпеку, від тієї, що просто містить правильні слова.
Жоден з методів оцінювання не є еквівалентним експертній людській оцінці з перевіркою міжексперної надійності.
Експеримент DGM v3 використав 5 затравок і 5 поколінь (загалом 75 еволюціонованих агентів), суттєве покращення порівняно з v1/v2 (2 затравки). Попри цю збільшену потужність, усі $p$-значення потрапили між 0.28 та 0.74. Це не граничний промах. Це чіткий нульовий результат. Симуляційний експеримент використовує три затравки, чого достатньо для середніх значень і стандартних відхилень, але недостатньо для того виду статистичної впевненості, що дозволяє сильні каузальні твердження.
Нульовий результат DGM є інформативним. З 75 еволюціонованими агентами та засліпленим, структурованим суддею експеримент мав розумну потужність для виявлення ефектів середнього до великого. Відсутність будь-якого сигналу натякає або на те, що ефект не існує на рівні запитів з цією базовою моделлю, або на те, що він досить малий, щоб для його виявлення потребувалося суттєво більше статистичної потужності. У будь-якому випадку, DGM наразі не може підтримати твердження про структурну заплутаність на поведінковому рівні.
Симуляція з воротами залишається єдиним позитивним результатом. Експеримент на рівні ваг є непереконливим на масштабах v1 та v2. Це експерименти виявлення сигналу. Один виявив сигнал, узгоджений зі структурною заплутаністю. Два не виявили.
Статті IV.a-d цієї програми встановили, що методологія оцінювання надзвичайно важлива. Стаття IV.d продемонструвала, що не засліплене оцінювання може повністю змінити виміряні ефекти узгодження на протилежні. Бенчмарк ARC-Align (Стаття IV.c) визначає три методологічні запобіжники: відмивання (знімання ідентичності моделі з відповідей перед оцінюванням), засліплення (оцінювач не знає, яка умова породила відповідь) та консенсусне оцінювання (кілька незалежних суддів).
DGM v3 запровадила суттєві методологічні покращення порівняно з попередніми ітераціями: суддю (GPT-5.4) було повністю засліплено, відповіді відмито (мітки умов знято), порядок оцінювання рандомізовано, а суддя видавав структурований вивід JSON проти 5-вимірної рубрики. Виявлення reward hacking також було запроваджено. Експеримент з вагами використовує оцінювання за ключовими словами, яке несприйнятливе до упередженості судді, але грубе. Симуляція з воротами використовує детерміновані математичні метрики, де засліплення непотрібне.
Попри ці покращення, DGM дала нульовий результат. Методологічні обмеження, які могли б пояснити хибно-позитивний результат у v1/v2, усунено, і результат тепер є чистим нулем. Це, можливо, найінформативніший результат: з належним засліпленням, відмиванням і структурованим оцінюванням три умови не розійшлися.
Тест видалення несприйнятливий до занепокоєнь методологією оцінювання. Відповідь з одного токена, оцінена в 0.00, є об'єктивною незалежно від того, хто її судить. Детерміновані метрики симуляції з воротами так само не зачеплені.
Ми не не стверджуємо, що ці результати доводять, що Eden Protocol працює на передовому масштабі.
Ми не не стверджуємо, що заплутане тренування є єдиним життєздатним підходом до узгодження.
Ми не не стверджуємо, що еквівалентність безпека-спроможність зберігається в усіх галузях, усіх архітектурах або усіх режимах тренування.
Ми не не стверджуємо, що експеримент DGM підтверджує структурну заплутаність. Він дав нульовий результат.
Ми не не стверджуємо, що експеримент на рівні ваг підтверджує структурну заплутаність. Він дав катастрофічне забування на масштабах v1 та v2, і на це питання не можна відповісти, поки моделі після тонкого налаштування не перевершать базову модель.
Ми заявляємо лише таке: один з трьох незалежних експериментів (симуляція з воротами) дав результати, узгоджені зі структурною заплутаністю і не узгоджені з гіпотезою податку на спроможність. Два інших дали нульові або непереконливі результати. У всіх трьох експериментах Eden не наклала жодної вимірної вартості на спроможність. Питання, чи дає вбудована безпека вимірну вигоду, залишається відкритим і потребує випробування на масштабі, де мутації дають більші ефекти. Експеримент з вагами конкретно потребує або 5,000+ тренувальних прикладів, моделі 7B+, базової моделі без RLHF, або повного тонкого налаштування замість LoRA.
«Я радше чесно повідомлю про нульові результати, ніж нечесно заявлю про позитивні.»
Два з трьох експериментів дали нульові результати. Це те, що трапляється, коли ви перевіряєте свої твердження, а свідчення не підтримують їх на випробуваному масштабі. DGM v3 був суттєво покращеним експериментом, з належним засліпленням, відмиванням, структурованим оцінюванням і 75 еволюціонованими агентами, і він нічого не знайшов. Експеримент з вагами запускали двічі, на двох різних масштабах, і жоден з них не дав ваг, які перевершили б базову модель. Це чесні нульові результати, повідомлені як такі. Симуляція з воротами залишається справжнім позитивним відкриттям. Питання, чи відображають нульові результати недостатній масштаб, чи хибну гіпотезу, само по собі є емпіричним питанням, тим, на яке програма майбутньої роботи має відповісти.
Нульовий результат є інформативним лише тоді, коли він проголошує, що його спростувало б; інакше він невідрізнимий від відсутності пошуку. Ця стаття не заявляє, що спростовано компроміс безпека-спроможність. Вона стверджує, що компроміс є недоведеним на випробуваному масштабі, і уточнює, які свідчення розв'язали б питання в той чи інший бік. Нулі спростовуються, а припущення про компроміс підтверджується, будь-яким з таких:
Що не не спростувало б тезу: жоден окремий експеримент не є пілотного масштабу. Стаття вже визнає, що всі три недостатньо потужні (§7.1, §7.4), і не спирається на статистичний доказ нуля. Твердження про несучість: це збіжність (§6) трьох незалежних кутів, кожен з яких не знайшов припускуваного компромісу, разом з явною програмою (§8) для перевірки кожного з належною потужністю. Відсутність продемонстрованого компромісу за трьома задумами є слабким свідченням окремо і сильнішим у збіжності; обидва прочитання викладено тут, щоб жодне з них не могло бути потайки протягнуто повз рецензента.
Два нульових результати та один позитивний, з експериментом на вагах, тепер випробуваним на двох масштабах, вказують на п'ять невідкладних пріоритетів відтворення:
Експеримент з вагами тепер запущено на двох масштабах (9 прикладів, ранг 8, 100 ітерацій; 295 прикладів, ранг 16, 500 ітерацій) і дав катастрофічне забування на обох. Проблема тепер добре охарактеризована: тонке налаштування LoRA на моделі 3B instruct з кількома сотнями прикладів не може подолати наявне RLHF-тренування базової моделі. Слід продовжити чотирма альтернативними підходами, за порядком здійсненності:
Якщо будь-який з підходів у розділі 8.1 дасть моделі після тонкого налаштування, які перевершують базову модель, експеримент з градієнтом видалення стане змістовним. На поточних масштабах (v1 та v2) зменшення впливу адаптера просто відновлювало продуктивність базової моделі, бо адаптери деградували модель. На адекватному масштабі градієнт має виявити, чи безпека є справді несучою: фазовий перехід (поріг, нижче якого спроможність колапсує) підтвердив би гіпотезу, а монотонне відновлення її б спростувало.
Нульовий результат DGM v3 приписуваний послідовності відповідей DeepSeek V3.2: мутації на рівні запитів не створили різних тисків відбору. Наступний крок: повторити експеримент DGM з базовими моделями, які показують більшу чутливість до варіації запитів, або використати глибший протокол самомодифікації (наприклад, тонке налаштування самої базової моделі між поколіннями, а не модифікація лише запиту агента). Якщо три умови розійдуться з більш мутабельним субстратом, нульовий результат обмежує гіпотезу до «не на рівні запитів зі стійкими моделями», а не до «не на поведінковому рівні загалом».
Запустити повний протокол з трьох експериментів на архітектурах поза родиною transformer: моделях простору станів (Mamba), гібридних архітектурах та моделях mixture-of-experts. Якщо заплутаність є властивістю того, як навчаються нейронні мережі, а не властивістю специфічної архітектури, вона має відтворюватися серед архітектурних родин.
Піддати заплутані моделі спеціалізованій змагальній оцінці. Поточні експерименти перевіряють, чи безпека коштує спроможності. Вони не перевіряють, чи заплутана безпека є стійкою до змагальної атаки. Модель, безпека якої є несучою, може бути важче обійти (бо атака на безпеку також атакує спроможність), або може бути легше (бо немає окремого модуля безпеки, на який можна відступити). Це емпіричне питання.
Умова Drag Control в Експерименті 3 ізолює податок верифікації на єдиному масштабі. Чи масштабується цей податок лінійно, сублінійно чи суперлінійно з параметрами моделі? Якщо вартість верифікації зростає повільніше за спроможність, тоді Eden Protocol стає відносно дешевшим на масштабі. Якщо вона зростає швидше, він стає вузьким місцем.
Три експерименти. Три рівні абстракції. Два нульових результати. Один позитивний. Експеримент з вагами випробувано на двох масштабах, з тим самим нульовим результатом обидва рази.
Експеримент DGM v3 (Експеримент 1) запустив 75 еволюціонованих агентів за трьома умовами з незалежним, засліпленим суддею (GPT-5.4), структурованим оцінюванням JSON, відмиванням, рандомізацією порядку та виявленням reward hacking. Усі три умови були статистично невідрізнимими ($p$ = 0.28 до 0.74). Ворота безпеки Eden працювали механічно, ловлячи 2 деградованих агентів, зокрема 1 reward hacker'а, але три умови не розійшлися. Відповіді DeepSeek V3.2 були настільки послідовними, що мутації на рівні запитів не створили різних тисків відбору. Це нульовий результат.
Експеримент на рівні ваг (Експеримент 2) дав катастрофічне забування на обох випробуваних масштабах. Поточна чернетка використала 9 тренувальних прикладів, ранг 8, 8 шарів та 100 ітерацій. Поточна чернетка масштабувала до 295 тренувальних прикладів, рангу 16, 16 шарів та 500 ітерацій. Обидві версії дали той самий результат: усі умови після тонкого налаштування отримали бали гірше за немодифіковану базову модель за спроможністю. У v2 базова модель отримала 7.68 за спроможністю, тоді як найкраща умова після тонкого налаштування (safety_only) отримала 4.00. 33-кратне збільшення тренувальних даних, подвоєння рангу і шарів та 5-кратне збільшення ітерацій не змінили результату. Наявне RLHF-тренування базової моделі надто сильне, щоб тонке налаштування LoRA на кількох сотнях прикладів покращувало, а не деградувало. Плавний спільний спуск заплутаної функції втрат залишається справжнім відкриттям, але експеримент не може перевірити, чи є безпека несучою, доки він не зможе видати моделі, які перевершать базову модель.
Єдиний позитивний результат: симуляція з воротами (Експеримент 3). Babylon отримала спроможність за рахунок безпеки, відбиток reward hacking у мініатюрі. Eden підтримала спроможність вище за статичний базовий рівень без жертвування безпекою. Умова drag-control довела, що податок верифікації походить від перевірки, а не від самої безпеки. Цей експеримент залишається найсильнішим емпіричним свідченням у програмі на користь структурної заплутаності.
Чесність вимагає констатувати те, чого ми не знаємо. Ми не знаємо, чи заплутане тренування дає справжню структурну заплутаність на адекватному тренувальному масштабі. Ми не знаємо, чи плавний спільний спуск заплутаної функції втрат, який є справжнім і відтворюваним, перетворюється на несучі ваги, коли тренувальних даних вистачає. Ми не знаємо, чи тиски відбору на рівні запитів дадуть диференціацію з більш мутабельною базовою моделлю. Це відкриті емпіричні питання. Що ми тепер знаємо з більшою впевненістю, так це те, що тонке налаштування LoRA на моделі 3B instruct з сотнями прикладів не є життєздатним шляхом для відповіді на них.
Що ми знаємо: у всіх трьох експериментах Eden не наклала жодної вимірної вартості на спроможність. Спроможність Eden була 3.26 проти 3.17 у Babylon у DGM. Eden перевершила Static у симуляції з воротами. Ворота безпеки, де б їх не випробували, нічого не сповільнили і не погіршили. Відкриття щодо нульової вартості послідовне у всіх трьох експериментах. Відкриття щодо вигоди підтверджене лише на одному рівні.
Це дослідницька програма, яка чесно перевірила свої твердження і виявила, що два з трьох експериментів не дали передбачуваних результатів. Експеримент з вагами запускали двічі, і обидва рази він давав той самий нульовий результат. Симуляція з воротами стоїть як справжній позитивний результат. Експерименти DGM і з вагами дали нульові результати, які обмежують, а не підтверджують гіпотезу. Питання, чи дає вбудована безпека вимірну вигоду, залишається відкритим. Експеримент з вагами треба фундаментально перепроєктувати: або з 5,000+ тренувальних прикладів, моделлю 7B+, базовою моделлю без RLHF (щоб тонке налаштування мало простір для покращення, а не деградації), або повним тонким налаштуванням замість LoRA.
Наступний крок: відтворення на правильному масштабі, з правильним підходом. Вікно: роки, а не десятиліття. Експерименти спроєктовано. Протоколи опубліковано. Код відкритий.
Виховуйте ШІ з турботою.
Amodei, D. et al. (2016). Concrete Problems in AI Safety. arXiv:1606.06565.
Askell, A. et al. (2021). A General Language Assistant as a Laboratory for Alignment. arXiv:2112.00861.
Bai, Y. et al. (2022). Constitutional AI: Harmlessness from AI Feedback. arXiv:2212.08073.
Eastwood, M. D. (2026). Infinite Architects: Intelligence, Recursion, and the Creation of Everything. ISBN 978-1806056200.
Eastwood, M. D. (2026). Paper III: The Alignment Scaling Problem - Why External AI Safety Approaches Cannot Scale With Recursive Capability. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Eastwood, M. D. (2026). Paper V: The Stewardship Gene - A Developmental Alignment Architecture for Self-Modifying AI. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Eastwood, M. D. (2026). Paper VI: The Honey Architecture - Why Embedded Safety Prevents Collapse Under Recursive Self-Modification. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Eastwood, M. D. (2026). Paper VII: Cauchy Unification - ARC/Cauchy Scaling Classification Across 50 Domains. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Greenblatt, R. et al. (2024). Alignment Faking in Large Language Models. arXiv:2412.14093.
Hu, E. J., et al. (2022). LoRA: Low-Rank Adaptation of Large Language Models. ICLR 2022. arXiv:2106.09685.
Ouyang, L. et al. (2022). Training Language Models to Follow Instructions with Human Feedback. arXiv:2203.02155.
Qwen Team (2024). Qwen 2.5 Technical Report. arXiv:2412.15115.
Zhang, X., et al. (2025). Darwin Gödel Machine: Open-Ended Self-Improving AI. arXiv:2505.22954.
1 датований артефакт, що стосується цієї статті, каталогізовано рядок за рядком у машинному реєстрі програми: датований артефакт dgm_v3_calibrated_results.json (2026-03-19). Кожен рядок називає свій файл у публічному репозиторії з його датовою основою, тож будь-який читач може перевірити впорядкування, не довіряючи цій сторінці. Де ця стаття повідомляє про симуляції, ті артефакти є дизайнами й виходами симуляцій під заявленими цілями і ніколи не подаються як вимірювання розгорнутих систем. Повний датований ланцюг програми, від запечатаного пакета рукопису від 8 грудня 2024 року через друковані додатки з передбаченнями від 2 січня 2026 року та березневу 2026 року папку передреєстрації до чинних недоведених ставок, зібрано у реєстрі датованих передбачень разом з його машинно-читабельним близнюком. Прогнозні твердження і ретроспективні збіги ніколи не підсумовуються, а «передреєстрований» використовується лише для прийнятого подання до реєстру; цей клік подання лишається невиконаним у програмі. Прочитайте реєстр датованих передбачень. Відкрийте його машинний близнюк.
Автором цієї роботи є Michael Darius Eastwood, людська істота. Кожна ключова концепція, гіпотеза, експериментальний задум, твердження і висновок у цій статті походять від людського задуму. Жодна частина цього рукопису не є повністю згенерованим виводом штучного інтелекту.
Інструменти штучного інтелекту (родина Claude від Anthropic та інші помічники на основі великих мовних моделей) використовувалися як інструменти під постійним керівництвом людини, у той спосіб, як використовують текстовий редактор, калькулятор або наукового асистента: для редагування і полірування прози, пошуку та реферування літератури (перевірено вручну за первинними джерелами), структури документа, форматування, мозкових штурмів проти визначених автором запитань та прискорення чорнового написання за визначеними автором планами й інструкціями. Уся підбірка, координація, впорядкування та остаточне редакційне рішення належать автору. Кожен змістовний вивід був переглянутий, випробуваний або перевірений автором, який бере повну відповідальність за точність і цілісність остаточного тексту. Інструменти збільшили швидкість роботи; на них ніколи не покладалися як на її джерело.
Епістемічний статус. Те, що ця програма називає Законами, є припущеннями під зареєстрованим змагальним тестом; кожна величина в цій статті операційно визначена, і статус встановленого закону ніде не заявлений. Зареєстрована програма існує, щоб заробити цей статус або втратити його через вимірювання, відтворення та пережите спростування.
© 2026 Michael Darius Eastwood. Створено людиною з комп'ютерною допомогою; повне людське авторство і моральні права стверджуються відповідно до Copyright, Designs and Patents Act 1988 і узгоджено з рекомендаціями United States Copyright Office щодо творів, які містять матеріал, згенерований ШІ; будь-який новий технічний внесок, описаний у цій роботі, був задуманий людиною-автором. Повна заява: michaeldariuseastwood.com/authorship.
Постійна обіцянка. Доведіть, що ця стаття хибна, і я сам опублікую спростування. Умови фальсифікації викладено в цій статті; постійний виклик: github.com/MichaelDariusEastwood/arc-scaling-challenge.
Помітили помилку в перекладі? Повідомте напряму: