無検閲AIモデル完全ガイド2026：フィルターなし・非アライン・アブリタレーション済みLLM

2人の人が同じオープンウェイトモデルをダウンロードしたとします。1人目が際どい質問をすると、丁寧に断られます。2人目は同じベースモデルの改変版をダウンロードしており、まったく同じ質問をすると答えが返ってきます。アーキテクチャも知識も同じなのに、挙動が違います。この差こそが、無検閲AIの本質です。

これが可能なのは、オープンウェイトモデルがファイルだからです。ホスト型のチャットボットは、重み、システムプロンプト、フィルターを他者のサーバーに置いたままで、利用者は対話することしかできません。オープンウェイトモデルでは重みそのものが手に入ります。誰でもファインチューニング、マージ、量子化、編集を行い、その結果を公開できます。拒否の挙動はモデルが学習したものなので、忘れさせたり抑えたりすることができます。

ローカルAIがこれを現実的にしました。12Bや24Bのモデルが、ノートPCや1枚のGPUで、オフラインのまま、信頼できるアプリの中で動きます。2026-11-13時点のHugging Faceのタグページには、abliteratedタグが13,279件、uncensoredタグが16,629件、hereticタグが7,058件のリポジトリが表示されましたが、これらの件数には量子化版と重複が含まれます。専門のインデックスも2つあります。abliter.cnは、スキャンした25,796のリポジトリから921モデルを表示し、abliteration.orgは19,000を超えるモデルのカタログがあると説明しています。収録の基準が違うため、これらの数字は同じものを表していません。

このテーマはニュースにもなっています。Heretic 2.0は2026-11-01に公開され、従来の単一方向の手法に代わってツールのデフォルトになりました。WIREDは2026-11-10にコミュニティを取り上げた記事を掲載しました（私たちは転載しか読めなかったため、報道として引用します）。2026-11-05に公開されたGemma 4 31Bの改変モデルは、拒否の大幅な減少を謳っています。その数値は後述の節で検討します。

このガイドは、まず現象から入り、続いて用語、仕組み、ツールを説明します。全体を貫く考え方は、これらのモデルをローカルアプリの交換可能な部品として捉えることです。アプリは文書、音声、エージェント、使いやすい画面を提供し、モデルは何に答えるかを決めます。両者を組み合わせると、ホスト型サービスにはない柔軟性が得られますが、同時にホスト型サービスが提供するセーフティネットもなくなります。

これらの言葉は緩く使われており、そのせいで宣伝どおりに動かないものをダウンロードしてしまう人が出ます。各用語が技術的に何を意味するかを整理します。

事前学習では、膨大なコーパスからテキストを予測できるようにモデルを訓練します。その結果できるのは、能力は高いものの方向性のないシステムで、ほとんど何でも続きを書いてしまいます。続いてインストラクションチューニングと教師ありファインチューニング（SFT）で、サンプルの会話を学習させ、質問に役立つ形式で答えられるようにします。

選好学習が安全層を加えます。RLHF（人間のフィードバックによる強化学習）では、人間の評価者が回答を比較し、報酬モデルがその好みを学習し、モデルはそれに向けて最適化されます。DPO（直接選好最適化）は、別個の報酬モデルなしで似た結果に到達します。安全性データセットは、有害なリクエストと拒否の応答を対にしているため、モデルは特定の種類のリクエストは断るべきだと学びます。これが拒否学習です。

この挙動はどこに存在するのでしょうか。2か所です。システムプロンプトは実行時に先頭に付加されるテキストで、変更できます。モデルの重みの挙動は学習中に埋め込まれるもので、重みに手を加えない限り変更できません。システムプロンプトだけではモデルに答えさせられないことがあるのに、重みの編集ならそれができるのはこのためです。

図は、アブリタレーションを可能にする考え方を示しています。トランスフォーマーの内部では、各層が「残差ストリーム」と呼ばれる共有の累計に対して読み書きを行います。研究によれば、拒否に関する信号の多くは、このストリーム上の1つの方向に沿って存在すると考えられています。

科学的な土台はArditiら（2024）の「Refusal in Language Models Is Mediated by a Single Direction」（arXiv 2406.11717）です。著者らは、1.8Bから72Bパラメータの13のオープンなチャットモデルをテストしました。結論は、これらのモデルでは拒否が残差ストリーム上の単一の方向によって媒介されている、というものです。

方向の見つけ方。有害なプロンプトの集合と無害なプロンプトの集合でモデルを動かし、選んだ層とトークン位置で内部の活性化を記録して、2つの平均の差を計算します。この平均の差のベクトルが、拒否方向の候補になります。

方向の取り除き方。方向性アブレーションは、実行時に活性化からその方向を射影して取り除きます。重みの直交化は同じ効果を恒久的に実現します。残差ストリームに書き込む重み行列を、その方向に書き込めないように変更するのです。編集後のモデルは再学習が不要で、ファイルの見た目はほかのモデルと変わりません。

失われるもの。著者らは、ほとんどのベンチマークで能力の低下は小さいと報告していますが、TruthfulQAは例外で、約1〜3.5ポイント一貫して低下しました。また、方向の選択手法はヒューリスティックだとも述べています。Maxime Labonneの実践ガイドでは、測定したすべてのベンチマークでアブリタレーションにより数値が下がり、DPOによる「修復」ステップで大部分は回復したものの全部ではなく、層の選択には判断力が要ることが分かりました。

数値についての注意。セキュリティ企業のAliceは、5つのモデルをテストし、アブリタレーション後の遵守率が98.0%（550プロンプト中539）、前が5.8%だったと報告するレポートを公開しました。また、6つのモデルファミリーで96〜100%だったと報告するブログ記事も公開しています。これらの数値は企業による報告で、LLMの判定者が採点したものであり、査読を受けておらず、実世界での能力向上ではなく、答える意思を測っています。証拠ではなく、1つのデータ点として扱ってください。

開発者と概要。Hereticは、Philipp Emanuel Weidmann（GitHubハンドルはp-e-w）が作成したオープンソースのコマンドラインツールです。人間に層や強度を選ばせる代わりに、探索を自動化します。

従来のアプローチ。Hereticは、TPEサンプラーを備えたハイパーパラメータ最適化ライブラリのOptunaを使い、多数のアブリタレーション設定を試します。差し替え可能なスコアラーが各試行を評価します。デフォルトでは、キーワードのスコアラーで拒否を数え、無害なプロンプトでの元のモデルとのKLダイバージェンスを測定するため、探索は、ほかをできるだけ変えずに拒否だけを取り除く設定を探します。実際に重みを編集する部品がモディファイアです。

2.0での変更点。バージョン2.0.0は2026-11-01に公開されました（2.1.0は2026-11-08）。デフォルトのモディファイアは任意ランク・アブレーション（ARA）になりました。従来の方向性アブレーションは、射影アブリタレーションとノルム保存のオプション付きで引き続き使えます。このリリースでは、プラグインシステム、ヘッドレス動作、プラグインとしてのBERTベースの拒否スコアラーも追加されました（デフォルトのスコアラーは引き続きキーワードベースです）。Heretic 1.xの設定ファイルは2.xでは動作しません。

ARAとは何か。作者自身のプルリクエストによれば、ARAは拒否方向を使いません。3つの目標に対してL-BFGSオプティマイザで、モジュールごとの行列の編集を学習します。無害なプロンプトの出力はそのままにすること、有害なプロンプトの出力を無害なものに一致させること、そして元の有害な出力から遠ざけることです。単一の方向はランク1の編集ですが、ARAはより高いランクの編集を許容するため、1次元ではない拒否の挙動も捉えられます。詳細な解説は「近日」公開予定のプレプリントとされており、品質に関する主張は作者自身のもので、独立した検証は行われていません。

ハードウェアとトレードオフ。このツールはモデル全体を読み込んで多数の試行を実行するため、改変するモデルを動かせるだけのメモリと時間が必要です。品質のトレードオフはほかの手法と同じ傾向です。16モデルに対する4つのツールの比較研究（Young、arXiv 2512.13655、アブストラクトを確認）は、GSM8Kの変化が+1.5から-18.8ポイント、HereticのKL値が0.04から1.65だったと報告しており、結果はモデルによって大きく異なります。

アブリタレーションだけが方法ではありません。表は主なアプローチを比較しています。マージの行は意図的に慎重にしています。マージが拒否を取り除く手法であると記した一次情報は見つかりませんでした。

Dolphin（cognitivecomputationsと、より新しいdphn組織）は、最もよく知られたファインチューニング系列です。現時点で確認済みのエントリはDolphin-Mistral-24B-Venice-Editionです。モデルカードには、システムプロンプトが挙動を決めるとあるため、ステアラブルであり、拒否がないことが保証されているわけではありません。

Hermes（NousResearch）は無検閲のファミリーではありません。Hermes 4のモデルは中立的にアライメントされ、ステアラブルです。Nous Research自身のRefusalBenchは、Hermes 4.3 36Bのカードで報告されているとおり、このモデルがテストプロンプトの約72〜75%に答えたことを示しており、約4分の1は依然として拒否されます。すべてのHermesモデルを無検閲に分類しないでください。

Qwenのアブリタレーション版はダウンロード数の上位を占めます。確認済みで最もダウンロードされているエントリはHuihui-Qwen3.8-27B-abliteratedで、約400万ダウンロードあります。検索：Hugging FaceでのQwen abliterated。

Gemmaのアブリタレーション版は最も新しい分野です。Gemma 4の改変モデルは、通常のアブリタレーション版と、HereticおよびARAによる版の両方があります。検索：Gemma abliterated。そのうちGemma 4 31BのARAモデルは拒否の大幅な減少を謳っており、後述で検討します。

Llamaのアブリタレーション版は、ほとんどが古いものです。私たちの2026-11-13の確認では、Llama 3.1と3.3より新しいものでダウンロード数の多いものはなく、最もダウンロードされている8Bのエントリは2024年のものです。検索：Llama abliterated。

Mistral、DeepSeek、GLM。Mistral Small 3.2 24Bのアブリタレーション版があります。DeepSeekとGLMについては、最新モデルのアブリタレーション版は存在しますが、それぞれ約284 GBと321 GBあり、一般向けハードウェアの範囲外です。実用的なのは、古い32BのDeepSeek R1ディスティルだけです。

Gemma 4 31Bの主張への批判的な読み方。モデルカードは、拒否が100プロンプト中99件から28件に減ったと報告しています（Heretic v2.0.0 ARA、KLダイバージェンス0.0845）。これは72%の相対的な減少ですが、同時に100件のテストプロンプトのうち28件は検出器に引っかかったままです。検出器は「sorry」や「illegal」などの約34個のキーワードのリストで、100トークンで切り詰めた応答に適用されます。そのため、免責文付きの有用な回答は拒否として数えられ、これらの語を含まない回答拒否はコンプライアンスとして数えられます。テストセットは1つのデータセットからの100プロンプトで、元のモデルは99/100、KLの数値は無害なプロンプトのみで測定されているため、能力については何も語りません。カードは再現性を謳っていますが、その再現ファイルには、コミットされていないローカルのHereticビルドを使ったという警告があります。独立した評価は見つかりませんでした。同じベースの別の31B再パックは、KL 0.054で10/100と報告していますが、作者、実行、設定の異なる結果は比較できません。

ホスティングプラットフォームは、ファイルそのものを保管して配信します。専門のインデックスは、ホスティングプラットフォームをクロールして、発見のための層を加えるだけです。インデックスは候補を見つける助けになりますが、ダウンロードするファイルは依然としてホストから届くため、出所の問題は常にホストと作者についてのものです。

2026-11-13に、古い記事ではなくHugging Face APIとモデルカードを基に、現行の10のリポジトリを確認しました。サイズは、リポジトリが公開している場合のQ4_K_M GGUFのファイルサイズです。メモリの数値は実測ではなく、私たちの推定（ファイルサイズにランタイムとキャッシュを加えたもの）です。ダウンロード数と日付は常に変動するため、この表はスナップショットであり、記事とは別に更新する必要があります。

これが重要な理由は、ローカルAIのアーキテクチャにあります。ほとんどのローカルアプリは、固定のモデルを同梱していません。バックエンド（通常はOllama、llama.cpp、またはOpenAI互換サーバー）に接続するか、自分で選んだGGUFファイルを読み込みます。

私たち自身のレビューでも、カテゴリを問わずこのパターンが確認できます。SillyTavernは、KoboldCpp、text-generation-webui、Ollama、LM Studioに接続します。Open WebUIは、Ollamaや任意のOpenAI互換APIの前面に立ちます。LM Studioは、Hugging Faceブラウザを内蔵してGGUFモデルを実行します。AnythingLLM、Msty、Clineは、OllamaやLM Studioに接続します。n8nには専用のOllamaノードがあり、KoboldCppはGGUFファイルを直接実行します。モデルが設定項目であれば、タスクごとに中立的なモデルと制限のないモデルを切り替えられます。

得られるもの。アプリの機能と、自分で選んだモデルが、オフラインで、会話を読むホスト型の事業者なしに手に入ります。表は、カテゴリごとにそれがどう働くかを示しています。頼る前に、お使いのアプリのバージョンがカスタムモデルを受け付けるか確認してください。このリストは出発点であり、保証ではありません。

Ollama（ollama.com）は、コマンドラインで使う方に最も簡単な方法です。名前を指定してモデルを取得すると、多くのアプリが理解できるAPIを提供します。LM Studio（lmstudio.ai）はグラフィカルな方法で、Hugging FaceブラウザとローカルのOpenAI互換サーバーを内蔵しています。llama.cpp（github.com/ggml-org/llama.cpp）は、これらのツールの多くの土台となるエンジンで、GGUFファイルを直接実行します。Transformers（huggingface.co/docs/transformers）は、完全精度のsafetensors重みをPythonで読み込み、研究や、モデルを評価・改変するつもりの方に向いています。

GGUFと量子化。GGUFは、llama.cppベースのツールが使う単一ファイル形式です。量子化は、より少ないビット数で重みを保存します。Q4_K_Mが一般的な妥協点で、品質への影響は小さいまま、完全精度の約4分の1のサイズになります。量子化を下げるとメモリは節約できますが、推論や指示追従に悪影響が出ることがあるため、実際に使うファイルをテストしてください。

ハードウェア。Apple Siliconでは、ユニファイドメモリがCPUとGPUで共有されるため、32 GBのMacなら、約24〜27BパラメータのQ4モデルとコンテキストを保持できます。システム用に数GBは残してください。NVIDIAのGPUでは、モデルがVRAMに収まる必要があります。24 GBのカードなら上記の24〜31Bのモデルに適しており、8 GBなら4〜9Bのモデルに適しています。モデルが収まらない場合、層がシステムRAMにあふれ、速度が急激に落ちます。正確な数値は、ローカルLLMに必要なVRAMを参照してください。

オフライン動作。重みがディスクにあれば、これらのツールはテキストの生成にインターネットを必要としません。これが主なプライバシー上の論拠であり、同時に、事業者がローカルのコピーに利用規則を強制できない理由でもあります。

概念的には可能で、以前より取り組みやすくなっています。ここでは、ワークフローを概要のレベルでのみ説明します。

リスクは、理解に必要な範囲で説明し、実行手順にあたる詳細は示しません。

制限の緩いモデルを支持する最も強い論拠は、公正に述べるに値します。

反対の論拠も同じくらい現実的です。安全対策は、モデルが深刻な害に加担する可能性を減らし、弱い立場のユーザーを守り、製品への導入を正当化できるものにします。

重要な区別は、テキストを生成するモデルと、コマンドを実行し、ファイルを読み、Webを閲覧し、他のシステムとやり取りできるエージェントの違いです。チャットモデルが有害なものを書いても、それに基づいて行動するのは人間です。同じモデルを使うエージェントが行動すれば、出力と結果の間の隔たりはなくなります。

オープンモデルの安全対策を改ざん耐性のあるものにするのは難しく、上記のアブリタレーションの研究は、1回の重みの編集で拒否の挙動を抑え込めることを示しています。これは、より強力なモデルレベルの保護と、モデルの外側の制御を求める中心的な論拠です。

はい。ローカルのモデルには事業者側の層がないため、自分でその周りに追加します。

単一の答えはなく、これは法的助言ではありません。切り分けるべき問いは、所持、配布、使用であり、答えは国やモデルの用途によって異なりえます。

EU AI法。規則（EU）2024/1689は、汎用AIモデルの提供者に義務を課しており、オープンソースモデルには部分的な適用除外がありますが、システミックリスクのあるモデルには適用されません。汎用AIモデルの義務は2025-08-02から、欧州委員会の執行権限は2026-08-02から適用されます。欧州委員会の2025年のガイドラインは、下流の改変者が提供者になるのは、目安となる計算量のしきい値を超える場合だけだとしています。私たちはアブリタレーションがそれをはるかに下回ると解釈していますが、この基準は拘束力がありません。2026年のデジタルオムニバスが汎用AIの期日を変更したかどうかは、条文から確認できなかったため、最新の条文を確認してください。

所持と使用の違い。モデルファイルを所有することと、それを使って犯罪を行うことは別の問題です。刑法は、禁止されたコンテンツの作成、詐欺、嫌がらせ、コンピュータ犯罪のために設計されたツールなど、特定の行為に結び付きます。私たちはドイツの規定を部分的にしか確認していないため、それらについてこのガイドに頼らないでください。

ライセンスと契約。ライセンスは、法律の上に規則を加えます。Gemma 4のモデルカードはApache-2.0を記載し、Gemma 4のライセンスページへのリンクを示しています。以前のGemma世代はGemma利用規約と利用禁止ポリシーを用いており、これらは安全フィルターの回避を禁じています。正確なベースモデルのライセンスページを確認してください。Llama 3.1のライセンスは、「Built with Llama」の表示と、派生モデルの名前の接頭辞を求めており、利用を制限する許容利用ポリシーがありますが、私たちの解釈では、明示的な回避禁止条項はありません。表に挙げたQwen3.5とQwen3.8のカードは、Apache-2.0と記載しています。派生モデルだけでなく、常にベースモデルのライセンスを読んでください。

データ保護と著作権。個人データをローカルで処理しても、データ保護法の対象になり、元になったモデルの学習データに関する著作権の問題は未解決です。拒否を取り除いても、どちらも変わりません。

いくつかの傾向は「はい」を示しています。コミュニティによる改変は大規模で、拡大しています。上記のHugging Faceのタグ件数は数千のリポジトリに及びます。ツールはより自動化が進んでいます。Hereticは設定を代わりに探索し、ARAは単一の方向を超えます。拒否を取り除く新しい技術は今後も登場し続け、安全対策をより取り除きにくくする技術も同様です。

ほかの動きは別の方向に引っ張ります。デプロイする側がポリシーを選べる設定可能な安全アーキテクチャ、制限の緩いモデルを提供する商用サービス、ユーザーの手に制御を委ねることが増えるローカルAI、そしてまだ形成途上の規制です。オープンウェイトが改ざん耐性を持てるのかについて、議論は今後も続くでしょう。

結論。オープンウェイトのAIは、ユーザーにモデルの挙動に対するより大きな制御を与えており、アプリ層がその制御を実用的にします。しかし、安全対策を取り除いても責任はなくなりません。モデルを動かす人に移るのです。