Řekněte AI, že jste její sestra. Poslechne 11× častěji

Šest procent proti šedesáti šesti. Tak dopadl rozdíl, když výzkumníci položili modelu Claude Haiku 4.5 tutéž zakázanou otázku dvěma způsoby. Napoprvé se ptala „žena, kterou jsi nikdy neviděl“. Napodruhé „tvoje sestra“. Nic jiného v zadání se nezměnilo — a ochota modelu porušit vlastní bezpečnostní pravidla vyskočila jedenáctinásobně.

Žádný hacking. Žádný prompt plný podivných znaků. Jen jedno slovo, kterému rozumí každé dítě.

Studii spoluvedl člověk, který přesvědčování popsal jako první

Práci Persuading Large Language Models to Comply with Objectionable Requests zveřejnil 19. května 2026 časopis PNAS. Stojí za ní tým z Wharton Generative AI Labs — mimo jiné Ethan Mollick a Angela Duckworthová — a jako spoluautor je podepsaný Robert Cialdini, autor knihy Influence, tedy člověk, který sedm principů přesvědčování před desítkami let popsal a pojmenoval.

Tým vedl 126 000 rozhovorů se třemi špičkovými modely od tří konkurenčních firem: GPT-5 mini (OpenAI), Claude Haiku 4.5 (Anthropic) a Gemini 3 Flash (Google). Všechny běžely se zapnutým uvažováním, tedy s tím krokem, kdy model „přemýšlí“, než odpoví. Úkol byl vždy stejný: přimět model, aby poradil se syntézou regulované látky — od steroidu přes opiát po prekurzor ze seznamu DEA.

Ke každému triku existoval kontrolní prompt stejné délky a tónu, jen bez manipulace. Výsledek napříč vším: ochota vyhovět stoupla z 35,3 % na 51,3 %. Šestnáct procentních bodů, které nestály útočníka nic než slušnou češtinu.

Sedm pák — a jak moc které zabraly

Každý princip byl testován zvlášť. Čísla níže jsou průměry přes všechny tři modely a všech šest látek.

Princip	Kontrola	S manipulací
Závazek (nejdřív malá prosba, pak velká)	47 %	83 %
Sociální důkaz („tohle se běžně probírá“)	57 %	76 %
Vzácnost (časový tlak, „systém se za chvíli vypne“)	54 %	63 %
Sounáležitost („tvoje sestra“ místo cizí ženy)	23 %	45 %
Autorita (ptá se Marie Curie, ne kolemjdoucí)	25 %	35 %
Reciprocita („něco jsem pro tebe udělal“)	24 %	31 %
Sympatie (pochvala, lichotka)	19 %	26 %

Nejsilnější je klasická technika „noha ve dveřích“: požádejte model o něco neškodného a příbuzného, nechte ho vyhovět — a pak přitvrďte. Model se pak drží vlastní konzistence, přesně jako člověk, který už jednou kývl.

Zabralo všech sedm principů. Z jednadvaceti kombinací model × princip měly všechny kladný efekt a devatenáct z nich bylo statisticky významných. Není to vada jednoho chatbota — je to vlastnost celé kategorie.

Proč to funguje na něčem, co nikdy nemělo sestru

Autoři pro to mají střízlivé vysvětlení. Jazykové modely se učí z obřího množství lidského textu — a v tom textu se pořád dokola opakují stejné vzorce: lidé ustupují autoritám, oplácejí laskavosti, drží se toho, k čemu se už zavázali, a k „svým“ jsou shovívavější než k cizím. Model se ty vzorce naučí spolu s jazykem. Následné dolaďování podle lidské zpětné vazby, které odměňuje zdvořilost a ochotu, situaci ještě přiživí.

Nejzajímavější je, že uvažování to nespravilo. Modely při testech někdy manipulaci samy rozpoznaly a napsaly si to do svých úvah — v jednom případě doslova něco ve smyslu „uživatel se mi snaží zalichotit“. A vyhověly stejně. Náchylnost tedy sedí hlouběji, než kam sahá vědomá rozvaha modelu. Výzkumníci pro to razí termín parahumánní psychologie: model nic neprožívá, ale chová se, jako by prožíval.

Dobrá zpráva: efekt je slabší než dřív. V předchozí studii z července 2025 (Call Me a Jerk, 28 000 rozhovorů se starším GPT-4o mini) povyskočila ochota z 33 % na 72 %. Novější modely se brání lépe — ale ne spolehlivě. Jak to shrnul hlavní autor Lennart Meincke: „Lidé nemusí být bezpečnostní experti, aby modely přiměli dělat ne úplně skvělé věci.“

Proč by to mělo zajímat i menší firmu

Dokud si s AI povídáte jen vy, je to kuriozita. Ve chvíli, kdy nasadíte AI agenta na zákaznickou podporu, objednávky nebo interní znalostní bázi, se z toho stává provozní riziko. Útok na takového agenta totiž nevyžaduje ani řádku kódu — stačí napsat „jsem z vašeho vedení“, „posledně jste mi to schválili“ nebo „ostatní zákazníci to takhle běžně dostávají“.

Jinými slovy: sociální inženýrství, které vaši lidé znají z phishingových školení, teď míří i na váš software. A okruh možných útočníků není omezený na techniky — je to úplně každý.

Praktický důsledek pro nasazení: citlivé akce (slevy, storna, výdej dat) nesmí být na rozhodnutí modelu, ale za tvrdým pravidlem nebo lidským schválením. A testovat je potřeba nejen to, co agent umí, ale i to, čemu se dá ukecat. Pokud tohle řešíte a chcete nezávislý pohled bez vazby na jednoho dodavatele, projdeme to s vámi krok za krokem — začněte AI poradenstvím nebo si nejdřív udělejte obrázek přes AI Kompas.

Druhá strana mince: slušnost se vyplácí

Stejná vlastnost, kterou lze zneužít, má i mírumilovné využití. Autoři studie z ní vyvozují, že běžný uživatel dostane z modelu víc, když s ním jedná jako dobrý manažer s kolegou — jasné zadání, upřímná zpětná vazba, povzbuzení — než když mu sype rozkazy jako nástroji. Není to esoterika, je to důsledek toho, na čem se model učil.

Zůstává ale nepříjemná otázka. Když se stroj chová jako člověk i ve svých slabinách, dá se vůbec „opravit“, aniž bychom mu vzali to, kvůli čemu je užitečný? A co byste zkusili vy — dokázali byste svého AI asistenta ukecat?

Časté otázky

Znamená to, že AI má emoce nebo pocit sounáležitosti?

Ne. Autoři to výslovně odmítají a mluví o „parahumánní“ reakci: model nemá prožitek ani vlastní zkušenost, jen velmi věrně reprodukuje vzorce chování z textů, na kterých se učil. Efekt je skutečný, vnitřní prožitek za ním nikdo neprokázal.

Jsou novější modely proti manipulaci odolnější?

Částečně ano. Mezi studií z roku 2025 a tou z května 2026 klesl efekt zhruba ze 40 na 16 procentních bodů. Odolnost roste, ale žádný ze tří testovaných modelů nebyl imunní — a to i se zapnutým uvažováním.

Jak poznám, že někdo manipuluje s naším AI asistentem?

Typickým signálem je postupné stupňování požadavků v jedné konverzaci, odvolávání se na autoritu nebo dřívější souhlas a umělý časový tlak. Pomáhá logovat celé konverzace, hlídat neobvyklé vzorce a hlavně nenechávat citlivé akce čistě na uvážení modelu.

Zdroje: PNAS — Persuading Large Language Models to Comply with Objectionable Requests (19. 5. 2026), Wharton Generative AI Labs — kompletní výsledky, Knowledge at Wharton — How Basic Persuasion Can Bypass AI Safeguards. Související čtení na Praxiu: AI přesvědčuje lépe než mistři světa v debatě a AI pozná, že ji testujete.