Modelos de IA sem censura 2026: o guia completo de LLMs sem filtros, não alinhados e abliterados

Duas pessoas baixam o mesmo modelo de pesos abertos. A primeira faz uma pergunta no limite e recebe uma recusa educada. A segunda baixou uma cópia modificada do mesmo modelo base, faz a mesma pergunta e recebe uma resposta. Mesma arquitetura, mesmo conhecimento, comportamento diferente. Essa diferença é toda a história da IA sem censura.

Isso é possível porque modelos de pesos abertos são arquivos. Um chatbot hospedado mantém pesos, prompt de sistema e filtros nos servidores de outra pessoa, então você só pode conversar com ele. Um modelo de pesos abertos entrega os pesos. Qualquer pessoa pode fazer fine-tuning, mesclar, quantizar ou editar esses pesos e publicar o resultado. O comportamento de recusa é algo que o modelo aprendeu, então pode ser desaprendido ou suprimido.

A IA local torna isso prático. Um modelo de 12B ou 24B hoje roda em um notebook ou em uma única GPU, offline, dentro de apps em que você já confia. As páginas de tags do Hugging Face listavam em 2026-11-13 13.279 repositórios com a tag abliterated, 16.629 com uncensored e 7.058 com heretic, embora essas contagens incluam quantizações e duplicatas. Existem também dois índices especializados: o abliter.cn mostrava 921 modelos de 25.796 repositórios analisados, e o abliteration.org descreve um catálogo com mais de 19.000 modelos. Eles usam regras de inclusão diferentes, então os números não descrevem a mesma coisa.

O tema também está nas notícias. O Heretic 2.0 foi lançado em 2026-11-01 e substituiu a técnica clássica de direção única como padrão da ferramenta. A WIRED publicou um perfil da comunidade em 2026-11-10 (só conseguimos ler republicações dele, então o citamos como reportado). Um modelo Gemma 4 31B modificado, publicado em 2026-11-05, afirma uma grande queda nas recusas; examinamos seus números abaixo.

Este guia começa pelo fenômeno e depois explica os termos, a ciência e as ferramentas. Uma ideia o atravessa: pense nesses modelos como um componente intercambiável em apps locais. O app oferece documentos, voz, agentes e uma interface utilizável; o modelo decide o que vai responder. Combiná-los dá uma flexibilidade que nenhum serviço hospedado oferece, e também remove a rede de segurança que um serviço hospedado proporciona.

As palavras são usadas de forma solta, e é assim que as pessoas acabam baixando algo que não se comporta como anunciado. Veja o que cada termo significa tecnicamente.

O pré-treinamento ensina o modelo a prever texto a partir de um corpus enorme. Ele produz um sistema capaz, mas sem direção, que continua quase qualquer coisa. O ajuste por instruções e o fine-tuning supervisionado (SFT) então o treinam com conversas de exemplo para que responda perguntas em um formato útil.

O treinamento por preferências adiciona a camada de segurança. No RLHF (aprendizado por reforço com feedback humano), avaliadores humanos comparam respostas, um modelo de recompensa aprende suas preferências e o modelo é otimizado nessa direção. O DPO (otimização direta de preferências) chega a um resultado semelhante sem um modelo de recompensa separado. Conjuntos de dados de segurança associam pedidos nocivos a recusas, e assim o modelo aprende que certos tipos de pedido devem ser recusados: isso é o treinamento de recusa.

Onde esse comportamento mora? Em dois lugares. Um prompt de sistema é texto adicionado no início em tempo de execução, e você pode alterá-lo. O comportamento nos pesos do modelo é embutido durante o treinamento, e você não consegue mudá-lo sem mexer nos pesos. É por isso que só o prompt de sistema às vezes não faz um modelo responder, e por que edições nos pesos conseguem.

O diagrama mostra a ideia que torna a abliteração possível. Dentro de um transformer, cada camada lê de um registro compartilhado e escreve nele, chamado fluxo residual. Pesquisas sugerem que, no caso das recusas, boa parte do sinal está ao longo de uma única direção nesse fluxo.

A base científica é Arditi et al. (2024), "Refusal in Language Models Is Mediated by a Single Direction" (arXiv 2406.11717). Os autores testaram 13 modelos de chat abertos entre 1,8B e 72B de parâmetros. A conclusão: nesses modelos, a recusa é mediada por uma única direção no fluxo residual.

Como a direção é encontrada. Execute o modelo em um conjunto de prompts nocivos e em um conjunto de prompts inofensivos, registre as ativações internas em uma camada e posição de token escolhidas e calcule a diferença das duas médias. Esse vetor de diferença de médias é a direção de recusa candidata.

Como ela é removida. A ablação direcional projeta essa direção para fora das ativações em tempo de execução. A ortogonalização de pesos obtém o mesmo efeito de forma permanente: as matrizes de pesos que escrevem no fluxo residual são modificadas para não poderem mais escrever ao longo da direção. O modelo editado não precisa de retreinamento, e seu arquivo parece o de qualquer outro modelo.

O que se perde. Os autores relatam pequenas quedas de capacidade na maioria dos benchmarks, com exceção do TruthfulQA: ele caiu de forma consistente, cerca de 1 a 3,5 pontos. Eles também descrevem seu método de seleção de direção como heurístico. O guia prático de Maxime Labonne constatou que a abliteração reduziu todos os benchmarks que ele mediu, que uma etapa de "cura" com DPO recuperou a maior parte, mas não tudo, e que escolher a camada exige julgamento.

Um aviso sobre os números. A empresa de segurança Alice publicou um relatório que testou cinco modelos e relatou 98,0% de conformidade após a abliteração (539 de 550 prompts) contra 5,8% antes, e um post de blog que relata 96-100% em seis famílias de modelos. Esses números são reportados pela própria empresa, foram avaliados por um LLM como juiz, não passaram por revisão por pares e medem a disposição de responder, não o ganho real de capacidade. Trate-os como um dado, não como prova.

Quem e o quê. O Heretic é uma ferramenta de linha de comando de código aberto criada por Philipp Emanuel Weidmann (usuário p-e-w no GitHub). Em vez de pedir a um humano que escolha camadas e intensidades, ela automatiza a busca.

A abordagem original. O Heretic usa o Optuna, uma biblioteca de otimização de hiperparâmetros com amostrador TPE, para testar muitas configurações de abliteração. Scorers plugáveis avaliam cada tentativa. Por padrão, ele conta recusas com um scorer de palavras-chave e mede a divergência KL em relação ao modelo original em prompts inofensivos, de modo que a busca procura configurações que removam recusas alterando todo o resto o mínimo possível. Os modificadores são os componentes que de fato editam os pesos.

O que mudou na 2.0. A versão 2.0.0 foi publicada em 2026-11-01 (a 2.1.0 veio em 2026-11-08). O modificador padrão agora é a Arbitrary-Rank Ablation (ARA); a ablação direcional clássica, com opções de abliteração projetada e preservação de norma, continua disponível. A versão também traz um sistema de plugins, operação headless e um scorer de recusa baseado em BERT como plugin (o scorer padrão continua sendo o de palavras-chave). Arquivos de configuração do Heretic 1.x não funcionam na 2.x.

O que é a ARA. Segundo o pull request do próprio autor, a ARA não usa direções de recusa. Ela aprende edições de matriz por módulo com um otimizador L-BFGS, com três objetivos: não alterar as saídas para prompts inofensivos, fazer as saídas para prompts nocivos se parecerem com as dos inofensivos e afastá-las das antigas saídas nocivas. Uma única direção é uma edição de posto um; a ARA permite edições de posto mais alto, e por isso pode capturar um comportamento de recusa que não é unidimensional. A descrição completa ainda é apresentada como um preprint "em breve", então as afirmações de qualidade são do próprio autor e não foram verificadas de forma independente.

Hardware e trade-offs. A ferramenta carrega o modelo completo e executa muitas tentativas, então você precisa de memória suficiente para rodar o modelo que está modificando, além de tempo. Os trade-offs de qualidade seguem o padrão de outros métodos: um estudo comparativo de quatro ferramentas em 16 modelos (Young, arXiv 2512.13655, resumo lido) relata variações no GSM8K de +1,5 a -18,8 pontos e valores de KL do Heretic de 0,04 a 1,65, ou seja, os resultados dependem muito do modelo.

A abliteração não é o único caminho. A tabela compara as principais abordagens. A linha de mesclagem é deliberadamente cautelosa: não encontramos nenhuma fonte primária que documente mesclas como método para remover recusas.

Dolphin (cognitivecomputations e a organização mais nova, dphn) é a linha de fine-tuning mais conhecida. A entrada verificada atual é o Dolphin-Mistral-24B-Venice-Edition. O card diz que o prompt de sistema define o comportamento, ou seja, ele é direcionável, e não garantidamente sem recusas.

Hermes (NousResearch) não é uma família sem censura. Os modelos Hermes 4 têm alinhamento neutro e são direcionáveis. O RefusalBench da própria Nous, conforme relatado no card do Hermes 4.3 36B, mostra que o modelo respondeu a cerca de 72-75% dos prompts de teste, ou seja, cerca de um quarto ainda é recusado. Não classifique todo modelo Hermes como sem censura.

As variantes abliteradas do Qwen dominam os downloads. A entrada verificada mais baixada é a Huihui-Qwen3.8-27B-abliterated, com cerca de 4 milhões de downloads. Busca: Qwen abliterated no Hugging Face.

As variantes abliteradas do Gemma são a área mais nova. Modelos Gemma 4 modificados aparecem com abliteração simples e com Heretic e ARA. Busca: Gemma abliterated. Um deles, um modelo Gemma 4 31B ARA, afirma uma grande redução de recusas, examinada abaixo.

As variantes abliteradas do Llama são em sua maioria mais antigas. Nada mais novo que Llama 3.1 e 3.3 tem grandes números de downloads na nossa checagem de 2026-11-13, e a entrada de 8B mais baixada é de 2024. Busca: Llama abliterated.

Mistral, DeepSeek e GLM. Existe uma abliteração do Mistral Small 3.2 24B. Para DeepSeek e GLM, existem versões abliteradas dos modelos mais novos, mas com cerca de 284 GB e 321 GB, o que está fora do alcance de hardware de consumo; só um destilado mais antigo do DeepSeek R1 em 32B é viável.

Uma leitura crítica da afirmação do Gemma 4 31B. O model card relata recusas caindo de 99 em 100 prompts para 28 em 100 (Heretic v2.0.0 ARA, divergência KL de 0,0845). Isso é uma redução relativa de 72%, e também significa que 28 em 100 prompts de teste ainda acionaram o detector. O detector é uma lista de cerca de 34 palavras-chave como "sorry" e "illegal", aplicada a respostas truncadas em 100 tokens, então uma resposta útil com um aviso conta como recusa e uma não resposta sem essas palavras conta como conformidade. O conjunto de teste tem 100 prompts de um único dataset, o original marcou 99/100 e o valor de KL é medido apenas em prompts inofensivos, então não diz nada sobre capacidade. O card promete reprodutibilidade, mas o próprio arquivo de reprodução avisa que foi usada uma build local do Heretic sem commit. Não encontramos nenhuma avaliação independente. Outro repack de 31B sobre a mesma base relata 10/100 com KL 0,054, mas resultados de autores, execuções e configurações diferentes não são comparáveis.

Uma plataforma de hospedagem armazena e serve os próprios arquivos. Um índice especializado apenas rastreia plataformas de hospedagem e acrescenta uma camada de descoberta. Um índice pode ajudar a achar candidatos, mas o arquivo que você baixa ainda vem do host, então as questões de procedência sempre dizem respeito ao host e ao autor.

Verificamos dez repositórios atuais em 2026-11-13 na API do Hugging Face e nos model cards, e não em artigos antigos. Os tamanhos são os de arquivos GGUF Q4_K_M quando o repositório os publica; os valores de memória são estimativas nossas (tamanho do arquivo mais runtime e cache), não medições. Contagens de downloads e datas mudam o tempo todo, então esta tabela é um retrato do momento e deve ser atualizada independentemente do artigo.

O motivo pelo qual isso importa é a arquitetura da IA local. A maioria dos apps locais não traz um modelo fixo. Eles se conectam a um backend, geralmente Ollama, llama.cpp ou um servidor compatível com OpenAI, ou carregam arquivos GGUF que você escolhe.

Nossas próprias análises confirmam o padrão em várias categorias. O SillyTavern se conecta ao KoboldCpp, ao text-generation-webui, ao Ollama ou ao LM Studio. O Open WebUI funciona como interface para o Ollama ou qualquer API compatível com OpenAI. O LM Studio executa modelos GGUF com um navegador do Hugging Face embutido. AnythingLLM, Msty e Cline se conectam ao Ollama ou ao LM Studio. O n8n tem um nó dedicado ao Ollama, e o KoboldCpp executa arquivos GGUF diretamente. Quando o modelo é uma configuração, você pode trocar um modelo neutro por um sem restrições conforme a tarefa.

O que você ganha. Você obtém os recursos do app e o modelo da sua escolha, offline, sem um provedor hospedado lendo a conversa. A tabela mostra como isso se dá por categoria. Confirme que a versão do app que você usa aceita modelos personalizados antes de depender dela; esta lista é um ponto de partida, não uma garantia.

O Ollama (ollama.com) é o caminho mais simples para quem usa a linha de comando: baixe um modelo pelo nome e ele serve uma API que muitos apps entendem. O LM Studio (lmstudio.ai) é o caminho gráfico, com um navegador do Hugging Face embutido e um servidor local compatível com OpenAI. O llama.cpp (github.com/ggml-org/llama.cpp) é o motor por baixo de muitas dessas ferramentas e executa arquivos GGUF diretamente. O Transformers (huggingface.co/docs/transformers) carrega pesos safetensors em precisão total em Python, o que serve para pesquisa e para quem pretende avaliar ou modificar modelos.

GGUF e quantização. GGUF é o formato de arquivo único usado por ferramentas baseadas no llama.cpp. A quantização armazena os pesos com menos bits: Q4_K_M é o meio-termo usual, com cerca de um quarto do tamanho em precisão total e um custo modesto de qualidade. Quants menores economizam memória, mas podem prejudicar o raciocínio e o seguimento de instruções, então teste o arquivo específico que você usa.

Hardware. No Apple Silicon, a memória unificada é compartilhada entre CPU e GPU, então um Mac de 32 GB comporta um modelo Q4 de cerca de 24-27B de parâmetros mais o contexto; deixe vários gigabytes para o sistema. Em GPUs NVIDIA, o modelo deve caber na VRAM: uma placa de 24 GB serve para os modelos de 24-31B acima, e uma de 8 GB serve para modelos de 4-9B. Se o modelo não cabe, camadas vão para a RAM do sistema e a velocidade cai muito. Para números exatos, veja quanta VRAM um LLM local precisa.

Operação offline. Com os pesos no disco, nenhuma dessas ferramentas precisa de internet para gerar texto. Esse é o principal argumento de privacidade, e também o motivo de nenhum provedor poder impor regras de uso a uma cópia local.

Conceitualmente, sim, e é mais acessível do que já foi. Descrevemos o fluxo apenas em alto nível.

Descrevemos os riscos no nível necessário para entendê-los e não damos nenhum detalhe operacional.

Os argumentos mais fortes a favor de modelos menos restritivos merecem ser expostos de forma justa.

Os contra-argumentos são igualmente reais. As salvaguardas reduzem a chance de um modelo ajudar em danos graves, protegem usuários vulneráveis e tornam defensável a implantação em produtos.

A distinção-chave é entre um modelo que gera texto e um agente que pode executar comandos, ler arquivos, navegar na web ou interagir com outros sistemas. Se um modelo de chat escreve algo nocivo, uma pessoa ainda precisa agir com base nisso. Se um agente com o mesmo modelo age, a distância entre saída e consequência desaparece.

É difícil tornar as salvaguardas de modelos abertos resistentes à adulteração: a pesquisa sobre abliteração apresentada acima mostra que uma única edição de pesos pode suprimir o comportamento de recusa. Esse é um argumento central a favor de proteções mais fortes no nível do modelo e de controles externos em torno dele.

Sim. Como um modelo local não tem camada do lado do provedor, você adiciona as suas ao redor dele.

Não há uma resposta única, e isto não é aconselhamento jurídico. As questões a separar são posse, distribuição e uso, e a resposta pode variar por país e conforme o uso dado ao modelo.

AI Act da UE. O Regulamento (UE) 2024/1689 impõe obrigações aos provedores de modelos de IA de uso geral, com uma isenção parcial para modelos de código aberto que não se aplica a modelos com risco sistêmico. As obrigações para modelos de IA de uso geral valem a partir de 2025-08-02, e os poderes de fiscalização da Comissão a partir de 2026-08-02. As diretrizes de 2025 da Comissão dizem que um modificador a jusante só se torna provedor acima de um limite indicativo de computação; entendemos que a abliteração fica muito abaixo disso, mas o critério não é vinculante. Não conseguimos confirmar pelo texto se o Digital Omnibus de 2026 alterou as datas para IA de uso geral, então consulte o texto vigente.

Posse versus uso. Ter um arquivo de modelo é diferente de usá-lo para cometer um delito. O direito penal se liga a atos específicos: produzir conteúdo proibido, fraude, assédio ou ferramentas feitas para crime informático. Analisamos apenas parcialmente as disposições alemãs, então não confie neste guia para elas.

Licenças e contratos. As licenças acrescentam regras sobre a lei. Os model cards do Gemma 4 listam Apache-2.0 e apontam para uma página de licença do Gemma 4, enquanto as gerações anteriores do Gemma usavam os Gemma Terms e a Prohibited Use Policy, que proíbem contornar filtros de segurança; confira a página de licença do modelo base exato. A licença do Llama 3.1 exige um aviso "Built with Llama" e um prefixo no nome dos modelos derivados, com uma política de uso aceitável que restringe usos mas, na nossa leitura, não tem cláusula explícita contra contorno. Os model cards do Qwen3.5 e do Qwen3.8 da tabela indicam Apache-2.0. Leia sempre a licença do modelo base, e não só a do derivado.

Proteção de dados e direitos autorais. Processar dados pessoais localmente continua sujeito à lei de proteção de dados, e as questões de direitos autorais sobre os dados de treinamento dos modelos subjacentes não estão resolvidas. Nenhuma delas muda quando as recusas são removidas.

Várias tendências indicam que sim. A modificação pela comunidade é grande e crescente: as contagens de tags do Hugging Face acima chegam a milhares de repositórios. As ferramentas estão ficando mais automáticas: o Heretic busca as configurações por você, e a ARA vai além de uma única direção. Novas técnicas para remover recusas continuarão surgindo, e também técnicas que tornam as salvaguardas mais difíceis de remover.

Outros desenvolvimentos puxam em direções diferentes: arquiteturas de segurança configuráveis que deixam quem implanta escolher uma política, serviços comerciais que oferecem modelos menos restritos, IA local que cada vez mais dá o controle ao usuário e uma regulação que ainda está tomando forma. Espere um debate contínuo sobre se pesos abertos poderão algum dia ser tornados resistentes à adulteração.

Conclusão. A IA de pesos abertos está dando aos usuários mais controle sobre o comportamento dos modelos, e a camada do app torna esse controle prático. Mas remover salvaguardas não remove a responsabilidade: ela é transferida para quem executa o modelo.