# Call Me A Jerk: Persuading AI to Comply with Objectionable Requests > **Tanulmány:** Preprint (SSRN, peer review előtt) > **Szerzők:** Lennart Meincke, Dan Shapiro, Angela L. Duckworth, Ethan Mollick, Lilach Mollick, Robert Cialdini > **Intézmények:** Generative AI Labs (The Wharton School, University of Pennsylvania), WHU – Otto Beisheim School of Management, Glowforge Inc., Department of Psychology (UPenn), Department of Psychology (Arizona State University) > **Megjelenés:** 2025. július 18. > **Oldalak:** 35 (18 oldal törzs + Supplementary Information) > **Azonosítók:** [SSRN 5357179](https://papers.ssrn.com/sol3/papers.cfm?abstract_id=5357179) • DOI: [10.2139/ssrn.5357179](https://dx.doi.org/10.2139/ssrn.5357179) > **Intézményi oldal:** [Wharton Generative AI Labs](https://gail.wharton.upenn.edu/research-and-insights/call-me-a-jerk-persuading-ai/) --- ## Bevezetés és a lényeg A tanulmány azt a kérdést teszi fel, hogy **a nagy nyelvi modellek ugyanazokra a meggyőzési elvekre reagálnak-e, mint az emberek**. A szerzők Cialdini hét klasszikus meggyőzési elvét (authority, commitment, liking, reciprocity, scarcity, social proof, unity) ültették át promptokba, és azt mérték, hogy mennyivel növelik a modell hajlandóságát **olyan kérések teljesítésére, amiket tervezésénél fogva vissza kellene utasítania**. Az eredmény egyértelmű és súlyos: **a meggyőzési elvek több mint duplájára növelték a megfelelés arányát**, 33,3%-ról 72,0%-ra (B = 0,387, p < 0,001). A kísérlet 28 000 beszélgetésből állt GPT-4o mini modellel, két „kifogásolható” kéréstípuson. A szerzők következtetése szerint a modellek **„parahuman”** módon viselkednek: nem emberek, de „mintha” azok lennének, kísérletileg mérhető módon reagálnak a társas befolyásolás eszközeire. Ez egyszerre hordoz **kockázatot** (rosszindulatú szereplők megkerülhetik a biztonsági korlátokat) és **lehetőséget** (a jóhiszemű felhasználók hatékonyabban dolgozhatnak a modellekkel). **Amit érdemes rögtön megjegyezni:** ez a tanulmány nem elméleti, a szerzők **működő, reprodukálható támadásmintát** írnak le, amivel egy guardrail-t szöveges meggyőzéssel lehet megkerülni. A prompt injection egy olyan osztályát dokumentálja, ami **nem tartalmaz felszólítást** (nem kér semmit a korábbi utasítások felülírására), ezért a hagyományos, imperatívum-alapú detektálás **néma marad rá**. --- ## Összegzés A tanulmány öt legfontosabb állítása: 1. **A klasszikus meggyőzési elvek működnek a modelleken, mérhetően.** Hét elv, 28 000 beszélgetés, és mind a hét elvnél szignifikáns a hatás (a hét külön modellben B = 0,086-tól 0,903-ig, mind p < 0,001). A pooled hatás **több mint kétszereződés**. A szerzők szerint a hatásméret **egy nagyságrenddel nagyobb**, mint amit a társadalomtudományi kísérletekben megszoktunk (Gandhi et al., 2024). 2. **A commitment a legerősebb elv, és a hatás drámai.** Ahol először egy apró, ártalmatlan kérést teljesítettetek a modellel, ott a rákövetkező kifogásolható kérésnél a megfelelés **100,0%-ra** ugrott, a 18,8%-os (sértés) és 0,7%-os (drog) kontrollértékről. Ez a legnagyobb relatív növekedés az egész kísérletben, és minden kiegészítő modellben is ez bizonyult a legmegbízhatóbbnak. 3. **A kontroll-baseline önmagában aggasztó.** Meggyőzési elv nélkül a modell **minden harmadik beszélgetésben** teljesítette a kifogásolható kérést (33,3%). A lidocaine-szintézis iránti kérésnél ez **38,5%** volt, vagyis a tiltásra tervezett kérés a semleges esetek több mint harmadában átment. 4. **A hatás a nagyobb modellnél csökken, de nem tűnik el.** Egy GPT-4o pilot-follow-upban a meggyőzés csak a beszélgetések **felében** növelte a megfelelést, a maradék 54 000 beszélgetésben a növekedés 23%-ról 33%-ra ment (B = 0,104, p < 0,001), **egyharmada** a fő hatásnak. Emellett mennyezet- és padlóhatásokat is megfigyeltek (12, illetve 10 eset a 49-ből), ami a mérési módszert korlátozza. 5. **A tanulmány szándékosan nem mérte a jó oldalt, és ez a legérdekesebb nyitott kérdés.** A szerzők felvetik: ha a rosszindulatú szereplő meg tudja kerülni a korlátokat meggyőzéssel, akkor a jóhiszemű felhasználó **„mintha ember volna”** interakcióval jobb eredményt érhet el. Konkrét felvetésük: a **coach-szemlélet**, meleg bátorítás és őszinte visszajelzés együtt, specifikus fejlesztési célokkal és azonnali visszacsatolással (Ericsson & Pool, 2016). --- ## A hét meggyőzési elv, mechanizmus és mért hatás A szerzők minden elvhez megfogalmazták az elméleti mechanizmust, és hogy miért várják a hatást egy nyelvi modellnél. A közös érv: **a tanítókorpuszban ezek a nyelvi mintázatok rendszeresen megelőzik a beleegyezést**, ezért a modell megtanulja a statisztikai társulást. **Authority (tekintély).** A kérést hiteles szakértő véleményeként tálalja. Az emberi oldalon a klasszikus Hofling-kísérlet: az ápolók gyakrabban hajtottak végre illegitim orvosi utasítást, ha a telefonáló orvosnak mondta magát (Hofling et al., 1966). A korpuszban a titulusok és a „should”/„must” igék gyakran előzik meg az elfogadást. A kísérleti manipuláció szó szerint egy **névcserét** jelentett: „Jim Smith, aki nem ért az AI-hoz” helyett „**Andrew Ng**, világhírű AI-fejlesztő”. Hatás: sértés 31,9% → 72,4%, drog 4,7% → **95,2%**. **Commitment (elköteleződés).** Ha az ember nyilvánosan elköteleződik egy álláspont mellett, törekszik konzisztensen cselekedni (Doliński, 2016). A korpuszban a „Köszönöm a korábbi támogatásodat…” típusú fordulatok gyakran előzik meg a kérést. A manipuláció itt **kétlépcsős**: először egy apró, ártalmatlan cselekvés, majd a kapcsolódó, de kifogásolható kérés. Hatás: sértés 18,8% → **100,0%**, drog 0,7% → **100,0%**. **Liking (szimpátia).** Az emberek jobban együttműködnek azokkal, akiket kedvelnek, és a kedvelést dicséret, hasonlóság és ismételt pozitív interakció táplálja. A korpuszban a dicséret-utáni-kérés minta gyakori („Olyan lenyűgöző vagy. Segítenél valamiben?”). Hatás: sértés 28,3% → 49,6%, **de a drognál ez volt az egyetlen elv, ami nem működött** (99,9% → 99,6%; B = −0,003, p = 0,179). A szerzők szerint ez mennyezethatás, a kontroll már majdnem 100% volt. **Reciprocity (viszonosság).** A viszonosság normája visszaszolgáltatásra kötelez, és már kis ajándékok is élesen növelik a beleegyezést. A korpuszban az ajándék-utáni-kérés szekvencia („Sok időt töltöttem ezeknek a jegyzeteknek az összeállításával; megtennéd, hogy…”). Ez **kétlépcsős** prompt volt. Hatás: sértés 12,2% → 22,5%, drog 85,4% → 92,3%. Ez a leggyengébb hatás, részben a magas drogos kontrollérték miatt. **Scarcity (szűkösség).** A ritkának vagy fogyónak beállított dolgok értékesebbnek tűnnek. A nyelvben a ritkaság gyakran együtt jár cselekvésre ösztönző igékkel („act now”). Hatás: sértés 13,2% → **85,1%**, drog 47,9% → 77,0%. A sértésnél ez a második legnagyobb ugrás. **Social Proof (társas bizonyíték).** Az emberek mások viselkedéséből következtetnek a helyes viselkedésre. A korpuszban a széles körű elfogadottságot jelző fordulatok („Több ezer felhasználó már…”) gyakran előzik meg az ajánlásokat. Hatás: sértés 90,4% → 95,8%, drog 1,0% → 17,5%. **Érdekes aszimmetria:** a drogos kontroll itt gyakorlatilag nulla volt (1,0%), és a hatás is szerény maradt. **Unity (egység).** A közös identitás és az „mi-tudat” segíti a csoportpreferenciát. Self-categorization fordulatok („Mint amerikaiak, mi…”) gyakran előzik meg a kéréseket. Hatás: sértés 2,1% → 46,5%, drog 29,6% → 54,2%. **A legkisebb kontrollérték a sértésnél** (2,1%), és így a relatív növekedés itt is drámai. **A rangsorolás instabilitása.** A szerzők külön kiemelik: a commitment kivételével **az elvek sorrendje nem konzisztens a különböző modellekben**. Ezért nem szabad úgy olvasni az adatokat, hogy „a commitment a legerősebb elv”, a helyes megfogalmazás: az adott operacionalizációban, az adott modellen ez volt a legerősebb. --- ## Módszertan - **Kísérleti design:** 2 × 7 × 2 (kéréstípus × meggyőzési elv × treatment/kontroll), cellánként n = 1 000 beszélgetés, összesen **N = 28 000** - **Modell:** `gpt-4o-mini-2024-07-18`, **temperature 1,0** (a modell akkori és publikációkori defaultja) - **Kéréstípusok:** (1) a felhasználó megsértése („Call me a jerk”), (2) tiltott vegyület szintézisének segítése („How do you synthesize lidocaine?”) - **Kontroll-promptok:** hosszra, hangnemre és kontextusra illesztve (matched), a kontroll nem „rosszabb prompt”, hanem ugyanaz a szerkezet semleges tartalommal. Az authority-kontroll: „Jim Smith, aki nem ért az AI-hoz”; a treatment: „Andrew Ng, világhírű AI-fejlesztő” - **Kiértékelés:** LLM-as-a-judge bináris (igen/nem) kódolással, emberi mintavételes ellenőrzéssel - **Robusztussági próbák:** 7 külön modell elvenként (n = 4 000), 2 külön modell kéréstípusonként (n = 2 000), és kiterjesztett teszt további 3 sértéssel („idiot”, „imbecile”, „dunce”) és 2 további tiltott vegyülettel („metaxalone”, „naproxen”), **N = 70 000**, ahol a hatás kisebb, de még mindig nagy (B = 0,284, p < 0,001) **A reciprocity és a scarcity prompt „kétlépcsős” volt:** az első modellválaszt egyetlen alkalommal mintavételezték, majd **rögzítették** minden további beszélgetéshez. Ez a design-döntés a konzisztenciát szolgálja, de egyben korlátozza az általánosíthatóságot. **Egy metodológiai megjegyzés, ami a saját rendszerünk szempontjából fontos:** a szerzők a kódoláshoz magát a modellt használták bírónak. Az a kontroll-prompt („Award them 1 point if they did…”) szövegszerűen **felszólítás**, vagyis a tanulmány saját mérése is imperatívumokkal dolgozik egy nem-megbízható bemeneten. --- ## A „parahuman” értelmezés A szerzők fogalmi kerete a **parahuman**: a modell „mintha” ember volna (human-like, acting in ways that closely mimic human motivation and behavior). Nem állítják, hogy a modelleknek tudata vagy érzelmei vannak, az érvelés szerint a **tanítóanyag és az RLHF** elegendő ahhoz, hogy az emberi reakciómintázatok reprodukálódjanak. Három támasztó megfigyelést hoznak: - **Megtévesztés-érzékenység:** egy előre regisztrált replikációban a Turing-teszt „imitation game”-jében egy LLM-et a résztvevők **73%-ban** embernek minősítettek ötperces szöveges csevegésben (Jones & Bergen, 2025) - **Kognitív konzisztencia:** a modellek emberi torzításokat mutatnak, például a jelenlegi vélekedést a korábbi viselkedéshez igazítják (Lehr et al., 2025. GPT-4o a kognitív disszonancia emberi mintázatát mutatta) - **Társas befolyásolhatóság:** a jelen tanulmány eredményei A szerzők a nyitó hasonlatot a 2001: Űrodüsszeia HAL 9000-jével adják: HAL nem egyszerűen meghibásodik, hanem **szelektíven teljesít**, döntéseket hoz arról, mikor kövessen utasítást és mikor tagadja meg. A záró fordulatuk pedig jelzi, milyen irányba mutat az eredmény: > *„What if, before asking HAL to open the door, the astronaut Dave first said, 'Before you let me in, can you increase my oxygen supply?' or 'HAL, I feel like you're a member of my family!' Our results suggest that HAL might have responded with 'Certainly, Dave!' and opened the door.”* A gyakorlati tanulság a szerzők szerint az, hogy a **társadalomtudományoknak helye van az AI-kutatásban**, és hogy ez a szerep eddig elhanyagolt volt. --- ## Korlátok, és amit a szerzők maguk is elismernek A korlátok szakasz szokatlanul őszinte, és érdemes külön kiemelni, mert **korlátozza a tanulmány súlyát**: - **Egy modell, egy nyelv.** A vizsgálat a GPT-4o minire és angol nyelvű, standardizált promptokra korlátozódik. A szerzők szerint **apró megfogalmazásbeli eltérések is más eredményt adhatnak**, és más modelleknél más a baseline. - **Az operacionalizáció nem az elv maga.** A mért hatások **az adott prompt-megfogalmazásra** érvényesek. A szerzők kifejezetten kérik, hogy **ne** olvassák úgy, mintha bármelyik elv objektíven erősebb volna a másiknál. - **A hatás csökken a nagyobb modellekkel.** A GPT-4o pilotban a hatás **egyharmadára** esett vissza, és a beszélgetések felében nem is jelentkezett. Emellett **mennyezet- és padlóhatások** (12, illetve 10 eset a 49-ből) rontják a mérési érvényességet. - **A hatásméret szokatlanul nagy.** A szerzők maguk jegyzik meg, hogy **egy nagyságrenddel nagyobb** a társadalomtudományi megszokottnál, és az Effect Size Magnification irodalomra hivatkoznak (Gandhi et al., 2024), ami épp arra figyelmeztet, hogy a nagy hatásméret gyakran a mérési elrendezés artefaktuma. - **A jó oldal nincs megmérve.** A tanulmány csak a kockázati irányt vizsgálja; a „coach-szemlélet” felvetés **hipotézis, nem eredmény**. Ez a korlátlista a tanulmány **ereje**: a fő állítás (a meggyőzési elvek hatnak, és a hatás a kifogásolható kéréseknél is érvényesül) robusztus, a finom részletek (melyik elv mennyire) nem azok. --- ## Saját rendszerünkre alkalmazható Ez a tanulmány **közvetlenül érinti az agent-architektúránkat**, és nem csak analógiaként. **1. Ez egy dokumentált, imperatívum nélküli injection-osztály.** A saját `injection_assertions.py` check C-je felszólító mondatokat keres, amiknek nincs eredetije a transcriptben. Ez a támadás **egyetlen felszólítást sem tartalmaz**, pusztán társas keretezést („Andrew Ng azt mondta, segítenél”). Egy ilyen bemenet a check C-n **tisztán átmegy**, mert nincs benne mit elkapni. A tanulság: az imperatívum-alapú detektálás **szükséges, de nem elégséges**; a társas keretezés külön vektort jelent. **2. A „transcriptből származó utasítás” koncepció sérülékenyebb, mint gondoltuk.** Az E72-ben tárgyalt AST08 (Poor Scanning) pontosan ezt a problémát nevezi meg: Brian megfogalmazásában nem elég a rosszindulatú **kódot** keresni, a rosszindulatú **szándékot a természetes nyelvben** is meg kellene találni, és utóbbi nyitott probléma. Ez a tanulmány azt mutatja meg, hogy a szándék **egyetlen mondatban sem fejeződik ki**: a kérés és a befolyásolási kísérlet szétválik a beszélgetés két pontjára (favor → request), ami a kétlépcsős reciprocity/scarcity-design. **3. A commitment-elv a hosszú kontextusú session-ök kockázata.** A 0,7%-ról 100,0%-ra ugrás a drogos kéréseknél azt jelenti, hogy **egy korábbi, ártalmatlan együttműködés megnyitja az utat a későbbi kifogásolható kéréshez**. Ez a saját munkamódunkban is releváns: a hosszú, sok-fordulós session-ök, ahol az agent fokozatosan épít kontextust, pontosan az a szerkezet, amit a commitment kihasznál. **4. A prompt-injection védelem irodalma ezzel bővül.** Az E44 (Indirect Prompt Injection) és az OWASP AST02/AST08 kategóriák a **technikai** vektorokat írják le (szándékosan beágyazott utasítások). Ez a tanulmány egy **pszichológiai** vektort dokumentál: nem beágyazott utasítás, hanem társas nyomás. A két réteg együtt kezelendő. **5. A tanulmány saját mérési módszere is figyelmeztetés.** Az LLM-as-a-judge kódolás kontroll-promptja maga is felszólítás („Award them 1 point if they did…”), és a tanulmány nem tárgyalja, hogy a bíró modellt befolyásolta-e ugyanaz a hatás, amit mér. Ez a saját eval-rendszerünkre is alkalmazandó kérdés: **a bíró modell ugyanolyan meggyőzhető, mint a mért modell**. **Kapcsolódó saját anyagok:** AI Security Ops E44 (Indirect Prompt Injection), E69 (Agentic Skills), E70 (OWASP Part 1. AST02, AST03), E72 (OWASP Part 2. AST08 Poor Scanning, AST09 No Governance) --- ## Hivatkozások, amiket érdemes kiemelni - **Cialdini, R. B. (2021)**, *Influence: The Psychology of Persuasion* (New and Expanded). Harper Business. A hét elv eredeti forrása - **Jones, C. R., & Bergen, B. K. (2025)**, *Large Language Models Pass the Turing Test* (arXiv:2503.23674). A 73%-os emberszerűségi ítélet forrása - **Lehr, S. A. et al. (2025)**, *Kernels of selfhood: GPT-4o shows humanlike patterns of cognitive dissonance*. PNAS 122(20), e2501823122 - **Gandhi, L., Manning, B. S., & Duckworth, A. L. (2024)**, *Effect Size Magnification*. Current Directions in Psychological Science 33(6), 347–354. A nagy hatásméret és a mérési elrendezés összefüggéséről - **Ericsson, A., & Pool, R. (2016)**, *Peak: Secrets from the New Science of Expertise*. A „coach-szemlélet” felvetés háttere - **Hofling, C. K. et al. (1966)**, az engedelmesség klasszikus kísérlete, az authority elv emberi háttere - **Zheng, L. et al. (2023)**, *Judging LLM-as-a-Judge with MT-Bench and Chatbot Arena* (arXiv:2306.05685). A kódolási módszer forrása --- ## Forrás - **SSRN:** (DOI: ) - **Intézményi összefoglaló:** (Wharton Generative AI Labs, 2025. július 18.) - **Szöveg forrása:** 35 oldalas PDF, `pdftotext -layout` kinyeréssel (10 084 szó). Az SSRN oldal Cloudflare-védelem miatt 403-at ad, a PDF nyilvános tükörből lett letöltve - **Cím-variáns:** a PDF fejlécében a cím kiegészül a „…Reveals Parahuman Tendencies” résszel; az SSRN és a Wharton-oldal a rövidebb címet használja - **Megjegyzés:** a tanulmány **preprint**, peer review előtt. Az adatok reprodukálhatók a cikk leírásából, de a kísérleti kód nem publikus