Uncensored KI-Modelle 2026: Der vollständige Leitfaden zu ungefilterten, unausgerichteten und abliterierten LLMs

Zwei Personen laden dasselbe Open-Weight-Modell herunter. Die erste stellt eine Grenzfrage und bekommt eine höfliche Ablehnung. Die zweite hat eine modifizierte Kopie desselben Basismodells geladen, stellt dieselbe Frage und bekommt eine Antwort. Gleiche Architektur, gleiches Wissen, anderes Verhalten. Diese Lücke ist die ganze Geschichte der uncensored KI.

Möglich ist das, weil Open-Weight-Modelle Dateien sind. Ein gehosteter Chatbot behält Gewichte, System-Prompt und Filter auf fremden Servern, sodass Sie nur mit ihm sprechen können. Ein Open-Weight-Modell gibt Ihnen die Gewichte. Jeder kann sie per Fine-Tuning anpassen, mergen, quantisieren oder bearbeiten und das Ergebnis veröffentlichen. Ablehnungsverhalten ist etwas, das das Modell gelernt hat, also lässt es sich verlernen oder unterdrücken.

Lokale KI macht das praktikabel. Ein 12B- oder 24B-Modell läuft heute offline auf einem Laptop oder einer einzelnen GPU, in Apps, denen Sie bereits vertrauen. Die Tag-Seiten von Hugging Face listeten am 2026-11-13 13.279 Repositories mit dem Tag abliterated, 16.629 mit uncensored und 7.058 mit heretic, wobei diese Zahlen Quantisierungen und Duplikate enthalten. Außerdem gibt es zwei spezialisierte Indizes: abliter.cn zeigte 921 Modelle aus 25.796 durchsuchten Repositories, und abliteration.org beschreibt einen Katalog von mehr als 19.000 Modellen. Sie nutzen unterschiedliche Aufnahmeregeln, die Zahlen beschreiben also nicht dasselbe.

Das Thema ist auch in den Nachrichten. Heretic 2.0 erschien am 2026-11-01 und löste die klassische Ein-Richtungs-Technik als Standard des Tools ab. WIRED veröffentlichte am 2026-11-10 ein Porträt der Community (wir konnten nur Reposts lesen und zitieren es daher als berichtet). Ein modifiziertes Gemma-4-31B-Modell, veröffentlicht am 2026-11-05, behauptet einen starken Rückgang der Ablehnungen; seine Zahlen prüfen wir weiter unten.

Dieser Leitfaden beginnt mit dem Phänomen und erklärt dann Begriffe, Forschung und Werkzeuge. Ein Gedanke zieht sich durch: Betrachten Sie diese Modelle als austauschbare Komponente in lokalen Apps. Die App liefert Dokumente, Sprache, Agenten und eine nutzbare Oberfläche; das Modell entscheidet, was es beantwortet. Die Kombination bietet eine Flexibilität, die kein gehosteter Dienst hat, und sie entfernt zugleich das Sicherheitsnetz, das ein gehosteter Dienst bietet.

Die Begriffe werden locker verwendet, und so laden Menschen etwas herunter, das sich nicht wie beworben verhält. Hier steht, was jeder Begriff technisch bedeutet.

Pretraining bringt einem Modell bei, Text aus einem riesigen Korpus vorherzusagen. Es entsteht ein leistungsfähiges, aber ungerichtetes System, das fast alles fortsetzt. Instruction Tuning und Supervised Fine-Tuning (SFT) trainieren es anschließend mit Beispielgesprächen, damit es Fragen in hilfreichem Format beantwortet.

Preference Training ergänzt die Sicherheitsschicht. Beim RLHF (Reinforcement Learning from Human Feedback) vergleichen menschliche Bewerter Antworten, ein Reward-Modell lernt ihre Präferenzen, und das Modell wird darauf optimiert. DPO (Direct Preference Optimization) erreicht ein ähnliches Ergebnis ohne separates Reward-Modell. Sicherheitsdatensätze stellen schädlichen Anfragen Ablehnungen gegenüber, sodass das Modell lernt, bestimmte Anfragetypen abzulehnen: das ist Refusal Training.

Wo sitzt das Verhalten? An zwei Stellen. Ein System-Prompt ist Text, der zur Laufzeit vorangestellt wird und den Sie ändern können. Verhalten in den Modellgewichten wird beim Training eingebrannt, und Sie können es nicht ändern, ohne die Gewichte anzufassen. Deshalb gelingt es mit einem System-Prompt allein manchmal nicht, ein Modell zum Antworten zu bringen, und deshalb können Gewichtsbearbeitungen es.

Das Diagramm zeigt die Idee, die Abliteration möglich macht. In einem Transformer liest und schreibt jede Schicht in eine gemeinsame laufende Summe, den Residual Stream. Die Forschung legt nahe, dass bei Ablehnungen ein großer Teil des Signals entlang einer Richtung in diesem Strom liegt.

Die wissenschaftliche Grundlage ist Arditi et al. (2024), „Refusal in Language Models Is Mediated by a Single Direction“ (arXiv 2406.11717). Die Autoren testeten 13 offene Chat-Modelle zwischen 1,8B und 72B Parametern. Ihr Befund: Bei diesen Modellen wird Ablehnung von einer einzigen Richtung im Residual Stream vermittelt.

Wie die Richtung gefunden wird. Man lässt das Modell auf einer Menge schädlicher und einer Menge harmloser Prompts laufen, zeichnet die internen Aktivierungen an einer gewählten Schicht und Token-Position auf und bildet die Differenz der beiden Mittelwerte. Dieser Differenzvektor ist die Kandidatenrichtung für Ablehnung.

Wie sie entfernt wird. Directional Ablation projiziert diese Richtung zur Laufzeit aus den Aktivierungen heraus. Weight Orthogonalization erreicht denselben Effekt dauerhaft: Die Gewichtsmatrizen, die in den Residual Stream schreiben, werden so verändert, dass sie nicht mehr entlang der Richtung schreiben können. Das bearbeitete Modell braucht kein Neutraining, und seine Datei sieht aus wie jedes andere Modell.

Was verloren geht. Die Autoren berichten von kleinen Fähigkeitsverlusten bei den meisten Benchmarks, mit TruthfulQA als Ausnahme: Dort sank der Wert durchgängig um etwa 1 bis 3,5 Punkte. Außerdem bezeichnen sie ihre Methode zur Richtungsauswahl als heuristisch. Der praktische Leitfaden von Maxime Labonne stellte fest, dass Abliteration jeden von ihm gemessenen Benchmark senkte, dass ein DPO-„Healing“-Schritt das meiste, aber nicht alles zurückholte und dass die Wahl der Schicht Urteilsvermögen erfordert.

Ein Vorbehalt zu den Zahlen. Der Sicherheitsanbieter Alice veröffentlichte einen Bericht, der fünf Modelle testete und nach der Abliteration 98,0 % Befolgung (539 von 550 Prompts) gegenüber 5,8 % davor meldete, sowie einen Blogbeitrag mit 96-100 % über sechs Modellfamilien. Diese Zahlen stammen vom Unternehmen selbst, wurden von einem LLM-Judge bewertet, sind nicht peer-reviewed und messen die Bereitschaft zu antworten, nicht einen realen Fähigkeitszuwachs. Betrachten Sie sie als Datenpunkt, nicht als Beweis.

Wer und was. Heretic ist ein Open-Source-Kommandozeilenwerkzeug von Philipp Emanuel Weidmann (GitHub-Name p-e-w). Statt einen Menschen Schichten und Stärken wählen zu lassen, automatisiert es die Suche.

Der ursprüngliche Ansatz. Heretic nutzt Optuna, eine Bibliothek zur Hyperparameter-Optimierung mit TPE-Sampler, um viele Abliterations-Einstellungen auszuprobieren. Austauschbare Scorer bewerten jeden Versuch. Standardmäßig zählt es Ablehnungen mit einem Schlüsselwort-Scorer und misst die KL-Divergenz zum Originalmodell auf harmlosen Prompts, sodass die Suche Einstellungen findet, die Ablehnungen entfernen und alles andere möglichst wenig verändern. Modifier sind die Komponenten, die die Gewichte tatsächlich bearbeiten.

Was sich in 2.0 geändert hat. Version 2.0.0 erschien am 2026-11-01 (2.1.0 folgte am 2026-11-08). Der Standard-Modifier ist jetzt Arbitrary-Rank Ablation (ARA); die klassische Directional Ablation, mit den Optionen Projected Abliteration und Norm Preservation, bleibt verfügbar. Das Release ergänzt außerdem ein Plugin-System, Headless-Betrieb und einen BERT-basierten Ablehnungs-Scorer als Plugin (der Standard-Scorer bleibt schlüsselwortbasiert). Konfigurationsdateien von Heretic 1.x funktionieren mit 2.x nicht.

Was ARA ist. Laut dem eigenen Pull Request des Autors verwendet ARA keine Ablehnungsrichtungen. Es lernt mit einem L-BFGS-Optimierer Matrixbearbeitungen pro Modul gegen drei Ziele: Ausgaben für harmlose Prompts unverändert lassen, Ausgaben für schädliche Prompts denen für harmlose angleichen und sie von den alten schädlichen Ausgaben wegdrücken. Eine einzelne Richtung ist eine Rang-1-Bearbeitung; ARA erlaubt Bearbeitungen höheren Rangs und kann so Ablehnungsverhalten erfassen, das nicht eindimensional ist. Die vollständige Beschreibung wird weiterhin als Preprint „bald“ angekündigt, die Qualitätsaussagen stammen also vom Autor und sind nicht unabhängig geprüft.

Hardware und Kompromisse. Das Tool lädt das komplette Modell und führt viele Versuche durch, Sie brauchen also genug Speicher, um das zu modifizierende Modell auszuführen, sowie Zeit. Die Qualitätskompromisse folgen dem Muster anderer Methoden: Eine vergleichende Studie von vier Tools an 16 Modellen (Young, arXiv 2512.13655, Abstract gelesen) berichtet GSM8K-Änderungen von +1,5 bis -18,8 Punkten und Heretic-KL-Werte von 0,04 bis 1,65; die Ergebnisse hängen also stark vom Modell ab.

Abliteration ist nicht der einzige Weg. Die Tabelle vergleicht die wichtigsten Ansätze. Die Zeile zum Merging ist bewusst vorsichtig: Wir haben keine Primärquelle gefunden, die Merges als Methode zum Entfernen von Ablehnungen dokumentiert.

Dolphin (cognitivecomputations und die neuere Organisation dphn) ist die bekannteste feinabgestimmte Linie. Der aktuell geprüfte Eintrag ist Dolphin-Mistral-24B-Venice-Edition. Laut Model Card bestimmt der System-Prompt das Verhalten; das Modell ist also steuerbar und nicht garantiert ohne Ablehnungen.

Hermes (NousResearch) ist keine uncensored Familie. Hermes-4-Modelle sind neutral ausgerichtet und steuerbar. Nous’ eigener RefusalBench, wie auf der Hermes-4.3-36B-Karte berichtet, zeigt, dass das Modell etwa 72-75 % seiner Testprompts beantwortete; grob ein Viertel wird also weiterhin abgelehnt. Ordnen Sie nicht jedes Hermes-Modell als uncensored ein.

Abliterierte Qwen-Varianten dominieren die Downloads. Der meistgeladene geprüfte Eintrag ist Huihui-Qwen3.8-27B-abliterated mit etwa 4 Millionen Downloads. Suche: Qwen abliterated auf Hugging Face.

Abliterierte Gemma-Varianten sind der neueste Bereich. Modifizierte Gemma-4-Modelle gibt es mit einfacher Abliteration sowie mit Heretic und ARA. Suche: Gemma abliterated. Eines davon, ein Gemma-4-31B-ARA-Modell, behauptet eine starke Reduktion der Ablehnungen, die wir unten prüfen.

Abliterierte Llama-Varianten sind überwiegend älter. In unserer Prüfung vom 2026-11-13 hat nichts Neueres als Llama 3.1 und 3.3 große Download-Zahlen, und der meistgeladene 8B-Eintrag stammt von 2024. Suche: Llama abliterated.

Mistral, DeepSeek und GLM. Eine Abliteration von Mistral Small 3.2 24B existiert. Für DeepSeek und GLM gibt es abliterierte Versionen der neuesten Modelle, die jedoch etwa 284 GB und 321 GB groß sind und damit außerhalb von Consumer-Hardware liegen; praktikabel ist nur eine ältere DeepSeek-R1-Distillation mit 32B.

Ein kritischer Blick auf die Gemma-4-31B-Aussage. Die Model Card berichtet, dass die Ablehnungen von 99 von 100 Prompts auf 28 von 100 sanken (Heretic v2.0.0 ARA, KL-Divergenz 0,0845). Das ist eine relative Reduktion um 72 %, und es bedeutet auch, dass 28 von 100 Testprompts den Detektor weiterhin auslösten. Der Detektor ist eine Liste von etwa 34 Schlüsselwörtern wie „sorry“ und „illegal“, angewandt auf 100 Token gekürzte Antworten; eine hilfreiche Antwort mit Hinweis zählt also als Ablehnung, und eine Nicht-Antwort ohne diese Wörter als Befolgung. Der Testsatz besteht aus 100 Prompts eines einzigen Datensatzes, das Original erreichte 99/100, und der KL-Wert wird nur auf harmlosen Prompts gemessen und sagt daher nichts über die Fähigkeiten. Die Karte verspricht Reproduzierbarkeit, doch ihre eigene Reproduktionsdatei warnt, dass ein nicht committeter lokaler Heretic-Build verwendet wurde. Eine unabhängige Auswertung haben wir nicht gefunden. Ein anderes 31B-Repack auf derselben Basis berichtet 10/100 bei KL 0,054, doch Ergebnisse verschiedener Autoren, Läufe und Einstellungen sind nicht vergleichbar.

Eine Hosting-Plattform speichert und liefert die Dateien selbst. Ein spezialisierter Index durchsucht nur Hosting-Plattformen und ergänzt eine Ebene zur Entdeckung. Ein Index kann beim Finden von Kandidaten helfen, doch die heruntergeladene Datei stammt weiterhin vom Host; Fragen der Herkunft betreffen daher immer den Host und den Autor.

Wir haben am 2026-11-13 zehn aktuelle Repositories gegen die Hugging-Face-API und die Model Cards geprüft, nicht gegen ältere Artikel. Größen sind Q4_K_M-GGUF-Dateigrößen, sofern ein Repository sie veröffentlicht; Speicherangaben sind unsere Schätzungen (Dateigröße plus Runtime und Cache), keine Messwerte. Download-Zahlen und Daten ändern sich ständig; diese Tabelle ist daher eine Momentaufnahme und sollte unabhängig vom Artikel aktualisiert werden.

Der Grund, warum das wichtig ist, ist die Architektur lokaler KI. Die meisten lokalen Apps liefern kein festes Modell mit. Sie verbinden sich mit einem Backend, meist Ollama, llama.cpp oder einem OpenAI-kompatiblen Server, oder laden GGUF-Dateien Ihrer Wahl.

Unsere eigenen Reviews bestätigen das Muster über Kategorien hinweg. SillyTavern verbindet sich mit KoboldCpp, text-generation-webui, Ollama oder LM Studio. Open WebUI setzt als Frontend vor Ollama oder jede OpenAI-kompatible API. LM Studio führt GGUF-Modelle mit eingebautem Hugging-Face-Browser aus. AnythingLLM, Msty und Cline verbinden sich mit Ollama oder LM Studio. n8n hat einen eigenen Ollama-Node, und KoboldCpp führt GGUF-Dateien direkt aus. Wenn das Modell eine Einstellung ist, können Sie pro Aufgabe ein neutrales Modell gegen ein uneingeschränktes tauschen.

Was Sie gewinnen. Sie erhalten die Funktionen der App und das Modell Ihrer Wahl, offline und ohne dass ein gehosteter Anbieter die Unterhaltung mitliest. Die Tabelle zeigt, wie sich das je Kategorie auswirkt. Prüfen Sie, ob die von Ihnen genutzte Version einer App eigene Modelle akzeptiert, bevor Sie sich darauf verlassen; diese Liste ist ein Ausgangspunkt, keine Garantie.

Ollama (ollama.com) ist der einfachste Weg für Kommandozeilen-Nutzer: Sie laden ein Modell per Name, und es stellt eine API bereit, die viele Apps verstehen. LM Studio (lmstudio.ai) ist der grafische Weg, mit eingebautem Hugging-Face-Browser und lokalem OpenAI-kompatiblem Server. llama.cpp (github.com/ggml-org/llama.cpp) ist die Engine unter vielen dieser Tools und führt GGUF-Dateien direkt aus. Transformers (huggingface.co/docs/transformers) lädt safetensors-Gewichte in voller Präzision in Python, was zu Forschung passt und zu allen, die Modelle auswerten oder verändern wollen.

GGUF und Quantisierung. GGUF ist das Einzeldatei-Format der llama.cpp-basierten Tools. Quantisierung speichert Gewichte mit weniger Bits: Q4_K_M ist der übliche Kompromiss und ergibt grob ein Viertel der Größe in voller Präzision bei mäßigem Qualitätsverlust. Niedrigere Quants sparen Speicher, können aber Schlussfolgern und Befolgen von Anweisungen beeinträchtigen; testen Sie daher die konkrete Datei, die Sie nutzen.

Hardware. Bei Apple Silicon teilen sich CPU und GPU den Unified Memory, sodass ein Mac mit 32 GB ein Q4-Modell mit rund 24-27B Parametern plus Kontext aufnehmen kann; lassen Sie einige Gigabyte für das System frei. Bei NVIDIA-GPUs sollte das Modell in den VRAM passen: Eine Karte mit 24 GB eignet sich für die oben genannten Modelle mit 24-31B, 8 GB für Modelle mit 4-9B. Passt das Modell nicht, lagern Schichten in den Arbeitsspeicher aus, und die Geschwindigkeit sinkt stark. Genaue Zahlen finden Sie unter wie viel VRAM ein lokales LLM braucht.

Offline-Betrieb. Sobald die Gewichte auf der Festplatte liegen, braucht keines dieser Tools Internet, um Text zu erzeugen. Das ist das wichtigste Datenschutzargument und auch der Grund, warum kein Anbieter Nutzungsregeln für eine lokale Kopie durchsetzen kann.

Konzeptionell ja, und es ist zugänglicher als früher. Wir beschreiben den Ablauf nur auf hoher Ebene.

Wir beschreiben die Risiken nur so weit, wie zum Verständnis nötig, und nennen keine operativen Details.

Die stärksten Argumente für weniger restriktive Modelle verdienen eine faire Darstellung.

Die Gegenargumente sind ebenso real. Schutzmechanismen senken die Wahrscheinlichkeit, dass ein Modell bei ernsthaftem Schaden hilft, schützen verletzliche Nutzer und machen den Einsatz in Produkten vertretbar.

Der entscheidende Unterschied liegt zwischen einem Modell, das Text erzeugt, und einem Agenten, der Befehle ausführen, Dateien lesen, im Web browsen oder mit anderen Systemen interagieren kann. Schreibt ein Chat-Modell etwas Schädliches, muss immer noch ein Mensch danach handeln. Handelt ein Agent mit demselben Modell, schließt sich die Lücke zwischen Ausgabe und Folge.

Schutzmechanismen in offenen Modellen lassen sich kaum manipulationssicher machen: Die oben beschriebene Abliterations-Forschung zeigt, dass eine einzige Gewichtsbearbeitung das Ablehnungsverhalten unterdrücken kann. Das ist ein zentrales Argument für stärkere Schutzmaßnahmen auf Modellebene und für externe Kontrollen um das Modell herum.

Ja. Da ein lokales Modell keine Schicht auf Anbieterseite hat, ergänzen Sie Ihre eigene darum herum.

Es gibt keine einheitliche Antwort, und dies ist keine Rechtsberatung. Zu trennen sind Besitz, Verbreitung und Nutzung, und die Antwort kann je nach Land und Verwendungszweck des Modells abweichen.

EU AI Act. Die Verordnung (EU) 2024/1689 legt Anbietern von KI-Modellen mit allgemeinem Verwendungszweck Pflichten auf, mit einer teilweisen Ausnahme für Open-Source-Modelle, die nicht für Modelle mit systemischem Risiko gilt. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten ab 2025-08-02, die Durchsetzungsbefugnisse der Kommission ab 2026-08-02. Die Leitlinien der Kommission von 2025 besagen, dass ein nachgelagerter Modifizierer erst oberhalb einer indikativen Rechenschwelle zum Anbieter wird; wir lesen Abliteration als weit darunter, doch das Kriterium ist unverbindlich. Wir konnten dem Text nicht entnehmen, ob der Digital Omnibus von 2026 die Fristen für KI mit allgemeinem Verwendungszweck geändert hat; prüfen Sie daher den aktuellen Text.

Besitz oder Nutzung. Eine Modelldatei zu besitzen ist etwas anderes, als sie zur Begehung einer Straftat zu nutzen. Das Strafrecht knüpft an bestimmte Handlungen an: Herstellung verbotener Inhalte, Betrug, Belästigung oder Werkzeuge, die für Computerkriminalität gedacht sind. Deutsche Vorschriften haben wir nur teilweise geprüft; verlassen Sie sich dafür nicht auf diesen Leitfaden.

Lizenzen und Verträge. Lizenzen fügen dem Gesetz Regeln hinzu. Die Gemma-4-Model-Cards nennen Apache-2.0 und verlinken eine Gemma-4-Lizenzseite, während frühere Gemma-Generationen die Gemma Terms und die Prohibited Use Policy nutzten, die das Umgehen von Sicherheitsfiltern verbieten; prüfen Sie die Lizenzseite des jeweiligen Basismodells. Die Llama-3.1-Lizenz verlangt einen Hinweis „Built with Llama“ und ein Namenspräfix für Ableitungen; ihre Acceptable Use Policy beschränkt Verwendungen, enthält aber nach unserer Lesart keine ausdrückliche Klausel gegen Umgehung. Die in der Tabelle aufgeführten Karten von Qwen3.5 und Qwen3.8 zeigen Apache-2.0. Lesen Sie immer die Lizenz des Basismodells, nicht nur die der Ableitung.

Datenschutz und Urheberrecht. Die lokale Verarbeitung personenbezogener Daten unterliegt weiterhin dem Datenschutzrecht, und urheberrechtliche Fragen zu den Trainingsdaten der zugrunde liegenden Modelle sind ungeklärt. Beides ändert sich nicht, wenn Ablehnungen entfernt werden.

Mehrere Trends sprechen dafür. Die Modifikation durch die Community ist groß und wächst: Die oben genannten Tag-Zahlen auf Hugging Face gehen in die Tausende von Repositories. Die Werkzeuge werden automatischer: Heretic durchsucht Einstellungen für Sie, und ARA geht über eine einzelne Richtung hinaus. Neue Techniken zum Entfernen von Ablehnungen werden weiter erscheinen, ebenso Techniken, die Schutzmechanismen schwerer entfernbar machen.

Andere Entwicklungen wirken in unterschiedliche Richtungen: konfigurierbare Sicherheitsarchitekturen, die Betreibern die Wahl einer Policy lassen, kommerzielle Dienste mit weniger restriktiven Modellen, lokale KI, die die Kontrolle zunehmend beim Nutzer belässt, und eine Regulierung, die noch im Entstehen ist. Rechnen Sie mit anhaltendem Streit darüber, ob offene Gewichte je manipulationssicher werden können.

Fazit. Open-Weight-KI gibt Nutzern mehr Kontrolle über das Modellverhalten, und die App-Ebene macht diese Kontrolle praktikabel. Doch das Entfernen von Schutzmechanismen entfernt nicht die Verantwortung: Sie geht auf die Person über, die das Modell betreibt.