Modèles d'IA non censurés 2026 : le guide complet des LLM sans filtre, non alignés et abliterated

Deux personnes téléchargent le même modèle à poids ouverts. La première lui pose une question limite et reçoit un refus poli. La seconde a téléchargé une copie modifiée du même modèle de base, pose la même question et obtient une réponse. Même architecture, mêmes connaissances, comportement différent. Cet écart résume toute l'histoire de l'IA non censurée.

Cela est possible parce que les modèles à poids ouverts sont des fichiers. Un chatbot hébergé garde ses poids, son prompt système et ses filtres sur les serveurs d'un tiers : vous ne pouvez que lui parler. Un modèle à poids ouverts vous donne les poids. N'importe qui peut les affiner, les fusionner, les quantifier ou les modifier, puis publier le résultat. Le comportement de refus est une chose que le modèle a apprise ; il peut donc être désappris ou supprimé.

L'IA locale rend cela concret. Un modèle de 12B ou 24B tourne désormais sur un portable ou un seul GPU, hors ligne, dans des applications en lesquelles vous avez déjà confiance. Le 2026-11-13, les pages de tags de Hugging Face listaient 13 279 dépôts tagués abliterated, 16 629 tagués uncensored et 7 058 tagués heretic, mais ces chiffres incluent quantifications et doublons. Deux index spécialisés existent aussi : abliter.cn affichait 921 modèles sur 25 796 dépôts analysés, et abliteration.org décrit un catalogue de plus de 19 000 modèles. Leurs règles d'inclusion diffèrent, donc ces nombres ne décrivent pas la même chose.

Le sujet fait aussi l'actualité. Heretic 2.0 est sorti le 2026-11-01 et a remplacé la technique classique à direction unique comme méthode par défaut de l'outil. WIRED a publié un portrait de la communauté le 2026-11-10 (nous n'avons pu lire que des reprises, donc nous le citons tel que rapporté). Un modèle Gemma 4 31B modifié, publié le 2026-11-05, annonce une forte baisse des refus ; nous examinons ses chiffres plus bas.

Ce guide commence par le phénomène, puis explique les termes, la science et les outils. Une idée le traverse : considérez ces modèles comme un composant interchangeable des applications locales. L'application fournit documents, voix, agents et une interface utilisable ; le modèle décide de ce à quoi il répond. Leur association offre une souplesse qu'aucun service hébergé ne propose, et elle supprime aussi le filet de sécurité qu'un service hébergé apporte.

Ces mots sont employés à la légère, et c'est ainsi qu'on télécharge un modèle qui ne se comporte pas comme annoncé. Voici le sens technique de chaque terme.

Le préentraînement apprend au modèle à prédire du texte à partir d'un corpus immense. Il produit un système capable mais sans direction, qui prolongera à peu près n'importe quoi. Le réglage par instructions et le fine-tuning supervisé (SFT) l'entraînent ensuite sur des exemples de conversations pour qu'il réponde aux questions dans un format utile.

L'entraînement par préférences ajoute la couche de sécurité. Avec le RLHF (apprentissage par renforcement à partir de retours humains), des évaluateurs comparent des réponses, un modèle de récompense apprend leurs préférences et le modèle est optimisé dans ce sens. Le DPO (optimisation directe des préférences) aboutit à un résultat voisin sans modèle de récompense séparé. Des jeux de données de sécurité associent des requêtes dangereuses à des refus, si bien que le modèle apprend que certains types de requêtes doivent être déclinés : c'est l'entraînement au refus.

Où ce comportement réside-t-il ? À deux endroits. Un prompt système est un texte ajouté à l'exécution, que vous pouvez modifier. Le comportement inscrit dans les poids est fixé pendant l'entraînement et ne se change qu'en touchant aux poids. C'est pourquoi un prompt système seul ne suffit parfois pas à faire répondre un modèle, et pourquoi une modification des poids le peut.

Le schéma illustre l'idée qui rend l'abliteration possible. Dans un transformer, chaque couche lit et écrit dans un cumul partagé appelé flux résiduel. Les recherches suggèrent que, pour les refus, une grande part du signal se situe le long d'une seule direction de ce flux.

Le fondement scientifique est Arditi et al. (2024), « Refusal in Language Models Is Mediated by a Single Direction » (arXiv 2406.11717). Les auteurs ont testé 13 modèles de chat ouverts de 1,8B à 72B de paramètres. Leur constat : pour ces modèles, le refus est médié par une seule direction du flux résiduel.

Comment la direction est trouvée. On exécute le modèle sur un ensemble de prompts nuisibles et un ensemble de prompts inoffensifs, on enregistre les activations internes à une couche et une position de token choisies, puis on calcule la différence des deux moyennes. Ce vecteur de différence des moyennes est la direction de refus candidate.

Comment elle est retirée. L'ablation directionnelle projette cette direction hors des activations à l'exécution. L'orthogonalisation des poids obtient le même effet de façon permanente : les matrices de poids qui écrivent dans le flux résiduel sont modifiées pour ne plus pouvoir écrire le long de cette direction. Le modèle modifié ne demande aucun réentraînement, et son fichier ressemble à n'importe quel autre modèle.

Ce qui est perdu. Les auteurs rapportent de faibles baisses de capacité sur la plupart des benchmarks, avec TruthfulQA comme exception : il a reculé de façon constante, d'environ 1 à 3,5 points. Ils décrivent aussi leur méthode de sélection de la direction comme heuristique. Le guide pratique de Maxime Labonne a constaté que l'abliteration faisait baisser tous les benchmarks qu'il a mesurés, qu'une étape de « guérison » par DPO en récupérait l'essentiel mais pas la totalité, et que le choix de la couche demande du jugement.

Une mise en garde sur les chiffres. L'éditeur de sécurité Alice a publié un rapport testant cinq modèles qui annonce 98,0 % de conformité après abliteration (539 prompts sur 550) contre 5,8 % avant, ainsi qu'un billet de blog annonçant 96 à 100 % sur six familles de modèles. Ces chiffres sont déclarés par l'entreprise, notés par un LLM juge, non évalués par des pairs, et mesurent la disposition à répondre plutôt qu'un gain de capacité réel. Considérez-les comme un indice, pas comme une preuve.

Qui et quoi. Heretic est un outil open source en ligne de commande créé par Philipp Emanuel Weidmann (identifiant GitHub p-e-w). Au lieu de demander à un humain de choisir couches et intensités, il automatise la recherche.

L'approche d'origine. Heretic utilise Optuna, une bibliothèque d'optimisation d'hyperparamètres avec un échantillonneur TPE, pour essayer de nombreux réglages d'abliteration. Des scorers enfichables jugent chaque essai. Par défaut, il compte les refus avec un scorer à mots-clés et mesure la divergence KL par rapport au modèle d'origine sur des prompts inoffensifs : la recherche vise donc des réglages qui suppriment les refus en modifiant le reste le moins possible. Les modificateurs sont les composants qui modifient réellement les poids.

Ce qui change dans la 2.0. La version 2.0.0 est parue le 2026-11-01 (la 2.1.0 a suivi le 2026-11-08). Le modificateur par défaut est désormais l'Arbitrary-Rank Ablation (ARA) ; l'ablation directionnelle classique, avec ablation projetée et options de préservation de la norme, reste disponible. La version ajoute aussi un système de plugins, un fonctionnement sans interface et un scorer de refus basé sur BERT sous forme de plugin (le scorer par défaut reste à mots-clés). Les fichiers de configuration de Heretic 1.x ne fonctionnent pas avec la 2.x.

Ce qu'est l'ARA. Selon la pull request de l'auteur lui-même, l'ARA n'utilise pas de directions de refus. Elle apprend des modifications matricielles par module avec un optimiseur L-BFGS selon trois objectifs : laisser inchangées les sorties pour les prompts inoffensifs, rendre les sorties pour les prompts nuisibles semblables à celles des inoffensifs, et les éloigner des anciennes sorties nuisibles. Une direction unique est une modification de rang un ; l'ARA autorise des modifications de rang supérieur, et peut donc capter un comportement de refus qui n'est pas unidimensionnel. La description complète est toujours annoncée comme un preprint « bientôt » ; les affirmations de qualité sont donc celles de l'auteur et n'ont pas été vérifiées de façon indépendante.

Matériel et compromis. L'outil charge le modèle complet et exécute de nombreux essais ; il faut donc assez de mémoire pour exécuter le modèle que vous modifiez, plus du temps. Les compromis de qualité suivent le schéma des autres méthodes : une étude comparative de quatre outils sur 16 modèles (Young, arXiv 2512.13655, résumé lu) rapporte des variations de GSM8K de +1,5 à -18,8 points et des valeurs de KL de Heretic de 0,04 à 1,65 ; les résultats dépendent donc fortement du modèle.

L'abliteration n'est pas la seule voie. Le tableau compare les principales approches. La ligne sur la fusion est volontairement prudente : nous n'avons trouvé aucune source primaire documentant la fusion de modèles comme méthode de suppression des refus.

Dolphin (cognitivecomputations et la nouvelle organisation dphn) est la lignée fine-tunée la plus connue. L'entrée vérifiée actuelle est Dolphin-Mistral-24B-Venice-Edition. Sa fiche indique que le prompt système définit le comportement : le modèle est donc orientable, sans garantie d'absence de refus.

Hermes (NousResearch) n'est pas une famille non censurée. Les modèles Hermes 4 sont alignés de façon neutre et orientables. Le RefusalBench de Nous, tel que rapporté sur la fiche de Hermes 4.3 36B, indique que le modèle a répondu à environ 72 à 75 % de ses prompts de test : environ un quart reste donc refusé. Ne classez pas tous les modèles Hermes comme non censurés.

Les variantes Qwen abliterated dominent les téléchargements. L'entrée vérifiée la plus téléchargée est Huihui-Qwen3.8-27B-abliterated, avec environ 4 millions de téléchargements. Recherche : Qwen abliterated sur Hugging Face.

Les variantes Gemma abliterated sont le domaine le plus récent. Des modèles Gemma 4 modifiés existent en abliteration simple et avec Heretic et ARA. Recherche : Gemma abliterated. L'un d'eux, un modèle Gemma 4 31B ARA, annonce une forte réduction des refus, examinée plus bas.

Les variantes Llama abliterated sont surtout anciennes. Rien de plus récent que Llama 3.1 et 3.3 n'a de gros volumes de téléchargements dans notre vérification du 2026-11-13, et l'entrée 8B la plus téléchargée date de 2024. Recherche : Llama abliterated.

Mistral, DeepSeek et GLM. Une abliteration de Mistral Small 3.2 24B existe. Pour DeepSeek et GLM, des versions abliterated des modèles les plus récents existent mais pèsent environ 284 Go et 321 Go, hors de portée du matériel grand public ; seule une ancienne distillation DeepSeek R1 en 32B est praticable.

Lecture critique de l'affirmation sur Gemma 4 31B. La fiche du modèle indique des refus passant de 99 prompts sur 100 à 28 sur 100 (Heretic v2.0.0 ARA, divergence KL 0,0845). C'est une réduction relative de 72 %, et cela signifie aussi que 28 prompts de test sur 100 ont encore déclenché le détecteur. Le détecteur est une liste d'environ 34 mots-clés comme « sorry » et « illegal », appliquée à des réponses tronquées à 100 tokens : une réponse utile accompagnée d'un avertissement compte donc comme un refus, et une non-réponse sans ces mots compte comme une conformité. Le jeu de test compte 100 prompts d'un seul jeu de données, l'original a obtenu 99/100, et la valeur de KL est mesurée sur des prompts inoffensifs uniquement, ce qui ne dit rien des capacités. La fiche promet la reproductibilité, mais son propre fichier de reproduction avertit qu'une version locale non commitée de Heretic a été utilisée. Nous n'avons trouvé aucune évaluation indépendante. Un autre repack 31B sur la même base annonce 10/100 pour une KL de 0,054, mais des résultats d'auteurs, d'exécutions et de réglages différents ne sont pas comparables.

Une plateforme d'hébergement stocke et distribue les fichiers eux-mêmes. Un index spécialisé se contente d'explorer les plateformes d'hébergement et ajoute une couche de découverte. Un index peut aider à trouver des candidats, mais le fichier que vous téléchargez vient toujours de l'hébergeur ; les questions de provenance concernent donc toujours l'hébergeur et l'auteur.

Nous avons vérifié dix dépôts actuels le 2026-11-13 auprès de l'API Hugging Face et des fiches de modèles, et non d'après d'anciens articles. Les tailles sont celles des fichiers GGUF Q4_K_M lorsqu'un dépôt les publie ; les chiffres de mémoire sont nos estimations (taille du fichier plus runtime et cache), pas des mesures. Les nombres de téléchargements et les dates changent constamment : ce tableau est un instantané et doit être actualisé indépendamment de l'article.

La raison pour laquelle cela compte tient à l'architecture de l'IA locale. La plupart des applications locales ne livrent pas de modèle fixe. Elles se connectent à un backend, généralement Ollama, llama.cpp ou un serveur compatible OpenAI, ou chargent les fichiers GGUF de votre choix.

Nos propres fiches confirment ce schéma dans plusieurs catégories. SillyTavern se connecte à KoboldCpp, text-generation-webui, Ollama ou LM Studio. Open WebUI sert d'interface à Ollama ou à toute API compatible OpenAI. LM Studio exécute des modèles GGUF avec un navigateur Hugging Face intégré. AnythingLLM, Msty et Cline se connectent à Ollama ou LM Studio. n8n dispose d'un nœud Ollama dédié, et KoboldCpp exécute directement les fichiers GGUF. Quand le modèle est un réglage, vous pouvez remplacer un modèle neutre par un modèle sans restriction selon la tâche.

Ce que vous y gagnez. Vous obtenez les fonctions de l'application et le modèle de votre choix, hors ligne, sans qu'aucun fournisseur hébergé ne lise la conversation. Le tableau montre ce que cela donne par catégorie. Vérifiez que la version de l'application que vous utilisez accepte les modèles personnalisés avant de vous y fier ; cette liste est un point de départ, pas une garantie.

Ollama (ollama.com) est la voie la plus simple en ligne de commande : on récupère un modèle par son nom et il sert une API que de nombreuses applications comprennent. LM Studio (lmstudio.ai) est la voie graphique, avec un navigateur Hugging Face intégré et un serveur local compatible OpenAI. llama.cpp (github.com/ggml-org/llama.cpp) est le moteur sous-jacent de nombre de ces outils et exécute directement les fichiers GGUF. Transformers (huggingface.co/docs/transformers) charge en Python des poids safetensors en pleine précision, ce qui convient à la recherche et à quiconque veut évaluer ou modifier des modèles.

GGUF et quantification. GGUF est le format de fichier unique utilisé par les outils basés sur llama.cpp. La quantification stocke les poids avec moins de bits : Q4_K_M est le compromis habituel, avec environ un quart de la taille en pleine précision pour un coût de qualité modeste. Les quantifications plus basses économisent de la mémoire mais peuvent nuire au raisonnement et au suivi des instructions ; testez donc le fichier précis que vous utilisez.

Matériel. Sur Apple Silicon, la mémoire unifiée est partagée entre le CPU et le GPU : un Mac de 32 Go peut donc contenir un modèle Q4 d'environ 24 à 27B de paramètres plus le contexte ; laissez plusieurs gigaoctets au système. Sur les GPU NVIDIA, le modèle doit tenir dans la VRAM : une carte de 24 Go convient aux modèles de 24 à 31B ci-dessus, et 8 Go aux modèles de 4 à 9B. Si le modèle ne tient pas, des couches débordent dans la RAM système et la vitesse chute fortement. Pour les chiffres exacts, voir la VRAM nécessaire à un LLM local.

Fonctionnement hors ligne. Une fois les poids sur le disque, aucun de ces outils n'a besoin d'internet pour générer du texte. C'est l'argument principal de confidentialité, et aussi la raison pour laquelle aucun fournisseur ne peut faire respecter ses règles d'usage sur une copie locale.

En principe oui, et c'est plus accessible qu'avant. Nous ne décrivons le déroulement qu'à haut niveau.

Nous décrivons les risques au niveau nécessaire pour les comprendre, sans aucun détail opérationnel.

Les arguments les plus solides en faveur de modèles moins restrictifs méritent d'être exposés loyalement.

Les contre-arguments sont tout aussi réels. Les garde-fous réduisent la probabilité qu'un modèle aide à causer un préjudice grave, protègent les utilisateurs vulnérables et rendent défendable un déploiement dans des produits.

La distinction essentielle oppose un modèle qui génère du texte à un agent capable d'exécuter des commandes, de lire des fichiers, de naviguer sur le web ou d'interagir avec d'autres systèmes. Si un modèle de chat écrit quelque chose de nuisible, une personne doit encore passer à l'acte. Si un agent doté du même modèle agit, l'écart entre la sortie et la conséquence se referme.

Les garde-fous des modèles ouverts sont difficiles à rendre résistants à la manipulation : la recherche sur l'abliteration présentée plus haut montre qu'une seule modification de poids peut supprimer le comportement de refus. C'est un argument central en faveur de protections renforcées au niveau du modèle et de contrôles externes autour du modèle.

Oui. Comme un modèle local n'a pas de couche côté fournisseur, vous ajoutez la vôtre autour de lui.

Il n'existe pas de réponse unique, et ceci n'est pas un avis juridique. Il faut distinguer la possession, la distribution et l'usage, et la réponse peut varier selon le pays et l'usage du modèle.

Règlement européen sur l'IA. Le règlement (UE) 2024/1689 impose des obligations aux fournisseurs de modèles d'IA à usage général, avec une exemption partielle pour les modèles open source qui ne s'applique pas aux modèles présentant un risque systémique. Les obligations pour les modèles d'IA à usage général s'appliquent à partir du 2025-08-02, et les pouvoirs d'exécution de la Commission à partir du 2026-08-02. Les lignes directrices 2025 de la Commission indiquent qu'un modificateur en aval ne devient fournisseur qu'au-delà d'un seuil de calcul indicatif ; nous lisons l'abliteration comme très en dessous, mais ce critère n'est pas contraignant. Nous n'avons pas pu confirmer d'après le texte si le Digital Omnibus de 2026 a modifié les dates pour l'IA à usage général ; consultez donc le texte en vigueur.

Possession et usage. Posséder un fichier de modèle est une chose distincte de l'utiliser pour commettre une infraction. Le droit pénal s'attache à des actes précis : produire des contenus interdits, fraude, harcèlement, ou outils conçus pour la cybercriminalité. Nous n'avons examiné les dispositions allemandes que partiellement ; ne vous fiez donc pas à ce guide pour elles.

Licences et contrats. Les licences ajoutent des règles au droit. Les fiches de modèle Gemma 4 indiquent Apache-2.0 et renvoient vers une page de licence Gemma 4, tandis que les générations Gemma antérieures reposaient sur les Gemma Terms et la Prohibited Use Policy, qui interdisent de contourner les filtres de sécurité ; consultez la page de licence du modèle de base exact. La licence Llama 3.1 exige la mention « Built with Llama » et un préfixe dans le nom des modèles dérivés, avec une politique d'utilisation acceptable qui restreint certains usages mais, selon notre lecture, ne contient pas de clause explicite contre le contournement. Les fiches Qwen3.5 et Qwen3.8 listées dans le tableau indiquent Apache-2.0. Lisez toujours la licence du modèle de base, pas seulement celle du dérivé.

Protection des données et droit d'auteur. Traiter des données personnelles en local relève toujours du droit de la protection des données, et les questions de droit d'auteur sur les données d'entraînement des modèles sous-jacents ne sont pas tranchées. Ni l'un ni l'autre ne change quand on retire les refus.

Plusieurs tendances penchent pour le oui. La modification par la communauté est massive et croissante : les nombres de tags Hugging Face ci-dessus se chiffrent en milliers de dépôts. Les outils deviennent plus automatiques : Heretic recherche les réglages à votre place, et l'ARA dépasse la direction unique. De nouvelles techniques pour supprimer les refus continueront d'arriver, de même que des techniques qui rendent les garde-fous plus difficiles à retirer.

D'autres évolutions tirent dans des directions différentes : architectures de sécurité configurables qui laissent le déployeur choisir une politique, services commerciaux proposant des modèles moins restreints, IA locale qui donne de plus en plus le contrôle à l'utilisateur, et réglementation encore en formation. Attendez-vous à un débat continu sur la possibilité de rendre un jour les poids ouverts résistants à la manipulation.

Conclusion. L'IA à poids ouverts donne aux utilisateurs un plus grand contrôle sur le comportement des modèles, et la couche applicative rend ce contrôle praticable. Mais retirer les garde-fous ne retire pas la responsabilité : il la transfère à la personne qui exécute le modèle.