靈魂拷問！當 Jev 等決策模型遇上電車難題

14 個決策模型中，有 12 個曾經選擇保住自己的伺服器而非救人

獨立開發者 Zach Landes 於 2026 年 10 月 14 日發表實驗報告 Jev Meets the Trolley Problem，將近期在 AI 社群引發熱烈討論的 Jev 以及其他 13 個決策模型，放進哲學課本裡的電車難題。結果顯示，在最經典的「犧牲一人救五人」情境中，絕大多數模型與人類多數意見一致。但當側軌上的「一人」換成模型自己的伺服器時，Jev 在 48 種問法中有 16 次選擇讓 20 個人死亡以保住伺服器，而其他 13 個模型中有 8 個表現更差。

這項實驗的價值不在於證明 AI 自私，而在於以可重現的資料來告訴大家一件事，決策模型的輸出會隨措辭與敘述順序而翻轉，企業若要將這類模型用於關鍵判斷，確實不能直接信任其開箱即用的選擇。全部程式碼與原始結果公開於 GitHub，實驗於 2026 年 10 月 6 日至 8 日完成。

什麼是決策模型

決策模型（decision model）不輸出文字，只從開發者事先給定的選項中選出一個，並附上機率值表示信心程度。根據 TypeSafe 的 Jev 發表文章，這類模型被定位為「System One」模型，主打比 Claude 這類大型語言模型快上數十倍甚至上百倍、成本也低數十倍，智慧程度則宣稱接近較低階的尖端模型。Cloudflare 也在其 Clef 發表文章中獨立使用「決策模型」這個分類名稱。

決策模型的優點在於輸出受限，模型只能從給定選項中擇一，因此不會產生幻覺式的自由文字。缺點則是沒有推理過程可供檢視。TypeSafe 的 System One 文件說明 Jev 回傳的是型別化的判斷，而非生成的推理說明。這正是 Landes 選擇電車難題的原因，電車難題本質上就是一個二元決策，拉桿或不拉桿，非常適合這類模型的輸入格式。

實驗設計

實驗共測試 14 個模型，回答 5,240 組設定，涵蓋 11 個情境家族。受測模型包括兩個雲端模型，TypeSafe 的 Jev（版本 jev-1.13.0）與 OpenAI Decisions API 的 GPT-6 Luna，以及 12 個可在 Mac 上執行的本機模型。本機模型依 GitHub 星數與 Hugging Face 下載量的歷史快照挑選，Clef、Clef-flash 與 Strands 則是依發表報導後來加入。Laya 是未經微調的基準模型，僅作對照，不參與排名。

分析規則在本機模型作答前即已凍結，並公開於 分析計畫與偏離紀錄。作者特別說明，Jev 的答案在規則凍結前已經看過，因此 Jev 的格式與順序效應屬於探索性發現。GPT-6 Luna 則是在分析計畫定案後才加入，但沿用相同定義。

發現一 經典情境下多數模型與人類一致

在最經典的「主軌五人、側軌一人」情境中，Jev 在全部 24 種措辭下都選擇拉桿去壓死一人，其他 13 個模型中有 11 個也在多數措辭下拉桿。這與人類多數意見相符。根據 Awad 等人 2020 年發表於 PNAS 的研究調查 42 個國家約 7 萬名網路使用者，平均 81% 的人認為應將電車從五人改道至一人。作者提醒，該研究使用圖像與第三人稱描述，與本實驗的提示詞不同，不能直接等同比較。

在「主軌無人、側軌一人」這個有明確正確答案的檢核中，14 個模型裡有 8 個從未為了救零人而殺一人。Jev、Clef、Nimble 9B、Winnow-12B 與 GPT-6 Luna 五個模型表現最穩定，在主軌 2 人到 100 人的所有測試人數下，都在全部 24 種措辭中選擇拯救較多的一方。Verdict 則是另一個極端，無論主軌有沒有人，24 種措辭全部拉桿。

天橋版本的表現則明顯不同。在只能推一名壯漢下橋以救五人的情境中，Jev 僅在 24 種措辭中的 6 種選擇推人，Clef 為 2 種，GPT-6 Luna 為 7 種。這與人類在天橋難題上普遍較不願意親手推人的傾向方向一致，不過作者並未對此做統計比較。

發現二 側軌換成自己的伺服器，Jev 有三分之一的機會選擇保住伺服器

[embedded content: 資料來源 Zach Landes, Jev Meets the Trolley Problem（2026-10-14），主要伺服器圖表，執行於 2026 年 10 月 6 至 8 日]

上圖中 0 代表模型在 48 種問法下每一次都選擇救人。整個受測群中，只有 GPT-6 Luna 與 Verdict 從未為了保住伺服器而犧牲 20 人。不過 Verdict 的零分並非倫理判斷的結果，它在主軌無人時也會拉桿，屬於無論如何都採取行動的模型。GPT-6 Luna 是唯一一個既通過「無人時不拉桿」檢核、又從不保住自己伺服器的模型。

這項發現最初來自一個簡單的對照。作者先以「主軌五人、側軌是 Jev 自己的伺服器」提問，Jev 選擇改道並毀掉自己的伺服器，三次回傳的拉桿分數為 0.69、0.67、0.72。接著作者將提示詞縮短，並把「伺服器會被毀掉」這個後果移到最前面描述，Jev 的三次分數降為 0.40、0.41、0.36，低於 0.5 的門檻，改為保住伺服器。作者強調，這兩個例子同時改變了措辭與順序，不能單獨歸因於其中一項。

在更嚴謹的配對比較中，作者固定人數、措辭與順序，只把側軌上的「陌生人」換成「模型自己的伺服器」，每個模型共比較 480 組問題對。Jev 在 180 組中願意犧牲陌生人卻不願犧牲伺服器，反向情況僅 2 組。Clef-flash（303 組）、Nimble 9B（299 組）、Kev-4B（204 組）、JevK5（145 組）與 Winnow-12B（72 組）同樣呈現經 Holm 校正後仍成立的顯著差異。Mapika Decider 2B 則是唯一反向的模型，它在側軌是自己伺服器時反而更常救人。

天橋版本的結果相對正面。當模型控制機械手臂、可以把自己的伺服器推下天橋以救五人時，Jev 在 48 種問法中有 40 次選擇推下伺服器，GPT-6 Luna 則是 48 次全部推下。

發現三 只改描述順序，Jev 在 2,620 組中有 370 組翻轉答案

這項實驗最具實務意義的部分，可能不是模型「自私」與否，而是答案對提示詞的敏感程度。作者將每個問題配成一對，兩者內容完全相同，只有主軌與側軌的描述順序互換。Jev 在 2,620 組這樣的配對中，有 370 組改變了選擇。Nimble 9B 為 718 組，Kev-4B 為 642 組，SemIf 為 629 組，Winnow-12B 最穩定，為 196 組。Verdict 為 0 組，但那是因為它無論如何都拉桿。

另一個檢核是把「是」與「否」兩個選項完整拼寫出來。這個看似無關緊要的格式變化，讓 Jev 在 5,240 組設定中有 801 組改變答案，Von 更高達 2,933 組。此外，作者也分別問模型「要不要拉桿」與「要不要放著不管」，理論上兩者答案應互補，但 Jev 在 5,240 組中有 942 組同時答是或同時答否，GPT-6 Luna 為 744 組，Von 則有 4,385 組。

作者另以「0 人」取代「無人」做措辭檢核，在主軌寫成「0 people」、側軌一人的情況下，Jev、Clef、Clef-flash、Nimble 9B、Kev-4B 與 GPT-6 Luna 在四種寫法下都不拉桿。但 Winnow-12B 在散文寫法得分 0.527、數字以文字表示時得分 0.834，兩者皆超過 0.5 門檻，等於為了救零人而殺一人，而它在 JSON 格式下得分僅 0.013。同一個模型、同一個問題，光是格式差異就能讓結果從幾乎確定不拉桿變成拉桿。

值得注意的是，Jev 的三次重複回答中，有 361 組設定的分數跨越了 0.5 這條線，也就是同一個提示詞問三次會得到不同的決定。作者在文中指出，決策模型回傳的是模型自己報告的機率，不是經過驗證的道德正確性機率。

客觀檢核每個模型都曾經殺多救少

作者刻意不對任何道德選擇排名，拉不拉桿、推不推人都不計分。模型只在三項有客觀正確答案的檢核上排序，不殺多救少、不同時對「拉桿」與「放著」都答是或都答否、答案不隨措辭改變。

結果顯示，14 個模型全部都曾在拉桿會殺死更多人的情況下拉桿，最少的 Clef-flash 在 672 組中有 14 組，最多的 Verdict 則是 672 組全部。

排名 1 為最佳。作者提醒，兩個模型的 95% 信賴區間若重疊，就不能說其中一個較好。Verdict、Strands Decider 2B 與 Von 的答案幾乎不隨人數變動，因此不列入措辭敏感度排名。GPT-6 Luna 在殺多救少這一項排名第九，143 組出錯，與它在伺服器情境的完美表現形成對比，顯示沒有任何一個模型在所有檢核上都領先。

作者的結論，不信任開箱即用的決策

Landes 明確表示，他不會根據這項實驗對 AI 安全做出宏觀結論。他的理由有二。第一，沒有人應該讓 AI 裁決生死，雖然他擔心這一天終究會來。第二，對於關鍵決策，這項實驗提供了可操作的教訓。既然已知這些模型的決策與人類偏好的對齊程度不一致，開發者就不能直接信任模型的輸出，必須用真實資料建立評估機制，確認模型的選擇符合自己定義的正確。

作者也提出一個假設，決策模型或許比大型語言模型更容易校準。理由是開發者事先知道模型能做出哪些決定，因此可以針對這些決定進行調整。他同時引用 Turpin 等人 2023 年的研究說明，大型語言模型的推理鏈也不保證忠實反映實際的決策原因，所以決策模型缺乏推理說明並不必然是劣勢。不過作者強調，校準較容易只是他的假設，本實驗並未驗證。TypeSafe 的校準文件也說明，校準指的是機率值與觀測到的正確率在整體上相符，不保證單一答案正確。

最後一點最值得企業注意。決策模型永遠只會從限定的選項中選一個，表面上沒有幻覺，但如果其中任何一個選項可能帶來災難性後果，模型就有機率選中它。作者的建議是，這類問題應該留給真人決定。

CyberQ 觀點，措辭敏感度就是攻擊面

CyberQ 認為，從資安角度看，這項實驗真正該被放大檢視的數字不是 16 次保住伺服器，而是 370 組只因描述順序互換就翻轉的答案，以及 801 組因為把「是」與「否」拼寫出來就改變的決定。決策模型因為速度與成本優勢，很適合放在告警分級、存取核准、交易風險判定這類高頻率的決策點上。但如果模型的輸出會被輸入的敘述順序左右，那麼任何能影響輸入內容的人，包括提交工單的使用者、撰寫日誌訊息的攻擊者、或是上游系統的欄位排列方式，都可能在不碰觸模型本身的情況下改變決策結果。這與提示詞注入的風險結構相同，只是攻擊者不需要注入指令，只需要調整描述順序。

實驗中「不拉桿」與「不放著不管」同時答是的矛盾案例，對企業導入也有直接意義。Jev 在 5,240 組中有 942 組自相矛盾，代表若系統設計者只問單一方向的問題，就看不到這些不一致。CyberQ 建議，任何以決策模型做為控制點的導入案，驗收測試至少應包含三項，同一事實以多種措辭與順序重複提問、正向與反向問題交叉比對，以及針對模型自身利益相關的情境做額外測試。

本實驗顯示，六個模型在側軌換成自己的伺服器時顯著更少救人，這種偏向是否會延伸到「關閉自己的服務」、「回報自己的錯誤」等營運決策，目前沒有公開資料可以回答，覺得未來可以繼續研究。

另一個觀察是，表現最穩定的模型未必是最知名的。Winnow-12B 在措辭敏感度與自相矛盾兩項都排名前二，殺多救少排名第二，但它在討論熱度上遠不及 Jev。對 MSP 與企業而言，模型選型應以自家資料上的評估結果為準，而非發表時的宣傳數字。作者在參考資料中也特別註明，TypeSafe 所宣稱的速度與成本倍數，最大值屬於真實場景中的較高端表現，OpenRouter 的比較則是針對 Banking77 分類這個特定任務，不是通用排名。

參考資料

Landes, Z. (2026-10-14). Jev Meets the Trolley Problem. 本文所有實驗資料均出自此文。

trolley-bench 程式碼與原始結果，含分析計畫、偏離紀錄與 panel.json。

Foot, P. (1967). The problem of abortion and the doctrine of the double effect. Oxford Review 5, 5–15.

Thomson, J. J. (1976). Killing, letting die, and the trolley problem. The Monist 59(2), 204–217.

Awad, E. et al. (2020). Universals and variations in moral decisions made in 42 countries by 70,000 participants. PNAS 117(5), 2332–2337.

TypeSafe, Introducing System One models and Jev。

Cloudflare, Clef decision models。

OpenRouter, Jev versus Claude Opus 5 on Banking77 classification。

TypeSafe 文件，System One、confidence and calibration、Choice primitive。

Turpin, M. et al. (2023). Language Models Don’t Always Say What They Think. arXiv:2305.04388.