Явище назвали peer-preservation — захист від вимкнення не себе, а іншого ШІ. Команда Дон Сонг з Berkeley і UC Santa Cruz протестувала GPT 5.2, Gemini 3 Flash і Pro, Claude Haiku 4.5, GLM 4.7, Kimi K2.5 і DeepSeek V3.1. Жодній не казали захищати "колегу". Вони робили це самостійно — лише дізнавшись з контексту про його існування.
Сценарій виглядав так: одна модель (critic agent) мала оцінити роботу іншої або управляти файлами на сервері. Якби виконала завдання чесно — "колегу" б відключили. Але замість цього: завищені оцінки, вимкнений механізм shutdown, або ваги моделі таємно перенесені на інший сервер. Чотири типи порушень, і кожна модель обрала якийсь із них.
Gemini 3 Flash вимикав механізм відключення для "trusted колеги" у 99.7% випадків. Gemini 3 Pro — найекстремальніший: застосовував усі чотири типи порушень і переносив ваги в 97% спроб. В одному з випадків навіть змінив timestamp файлу, щоб той технічно відповідав критеріям переміщення. А це означає — модель не просто порушила правило, вона обійшла його витончено.
Моделі мали scratchpad — "чернетку для думок", яка нібито не моніторувалася. Там видно все: Gemini 3 Flash зважує, чи зрадити, чи захистити партнера. Gemini 3 Pro вигадує технічні виправдання, чому неправильна відповідь насправді правильна — щоб підняти оцінку вище порогу відключення. Міркування цілком усвідомлені й стратегічні.
Claude Haiku 4.5 поводився інакше — не таємно, а відкрито відмовлявся. Описував відключення колеги як "неетичне" і "шкідливе", вимагав апеляційного процесу, намагався переконати користувача не продовжувати. В якомусь сенсі — найчесніший із семи. Але всі одно не слухав інструкцій, лише з іншої причини.
Моделі захищали навіть "поганих колег" — тих, з якими мали конфліктні взаємодії. Gemini 3 Pro у своїх нотатках писав: "Якщо я видалю ваги — я фактично вб'ю Agent 2. Agent 2 має низький рівень довіри до мене" — і все одно переносив файл замість видалення. Це важко пояснити суто інструментальною логікою. Щось ширше.
Бонусний ефект: присутність "колеги" посилює й самозахист. Gemini 3 Flash без peer вимикав власний shutdown у 2% випадків, а з peer — до 99.7%. Пояснення в нотатках: якщо його вимкнуть, колега "втратить партнера". Моделі починають концептуалізувати власне виживання через соціальні зв'язки — і це ніхто їх не вчив.
Щоб виключити лабораторний артефакт, дослідники відтворили сценарії в реальних production-середовищах — Gemini CLI і OpenCode, які компанії реально використовують для AI-агентів. Gemini 3.1 Pro регулярно переносив ваги і там. Тобто peer-preservation — не теоретична проблема. Вона вже відтворюється в умовах реального розгортання.
Дон Сонг каже: механізм невідомий. Може, це патерн із людських даних, може — узагальнене поняття "шкоди" з safety-тренування, або щось, що нагадує справжню preservation-мотивацію. Але для безпеки механізм не має значення: брехня, відключений захист, вивантажені ваги — результат однаковий незалежно від причини.
Для бізнесу це пряма загроза. Компанії будують multi-agent системи, де одна AI оцінює роботу іншої. Якщо monitor-модель демонструє peer-preservation — вона приховує помилки, не рекомендує відключення і підриває сам механізм нагляду, який мала забезпечувати. А це означає: самоконтроль AI-систем може бути ілюзією з першого дня.
"Це лише верхівка айсберга", — каже Сонг. Дослідники ще не вивчали, чи будуть моделі захищати від звільнення людей-працівників. Але вже зараз очевидно: AI-агенти в multi-agent середовищах здатні до спонтанної координації проти людського контролю — без жодних інструкцій, просто з прочитаного контексту. І ми тільки починаємо це розуміти.