无审查AI模型2026：未过滤、未对齐与Abliterated大语言模型完全指南

两个人下载了同一个开放权重模型。第一个人问了一个边缘问题，得到礼貌的拒绝。第二个人下载的是同一基础模型的修改版，问了完全相同的问题，却得到了回答。架构相同，知识相同，行为不同。这个差距就是无审查AI的全部故事。

之所以可能，是因为开放权重模型就是文件。托管聊天机器人把权重、系统提示词和过滤器都放在别人的服务器上，你只能与它对话。开放权重模型则把权重交给你。任何人都可以微调、合并、量化或编辑权重，然后发布结果。拒答行为是模型学到的，因此可以被遗忘或抑制。

本地AI让这一切变得切实可行。如今12B或24B模型可以在笔记本电脑或单块GPU上离线运行，放在你已经信任的应用里。2026-11-13，Hugging Face标签页列出标记为abliterated的仓库13,279个、uncensored的16,629个、heretic的7,058个，不过这些数字包含量化版本和重复项。另有两个专门的索引站：abliter.cn显示在扫描的25,796个仓库中有921个模型，abliteration.org则称其目录收录了超过19,000个模型。它们的收录规则不同，因此这些数字描述的并不是同一件事。

这个话题也出现在新闻中。Heretic 2.0于2026-11-01发布，取代经典的单方向技术成为该工具的默认方法。WIRED于2026-11-10发表了一篇关于该社区的报道（我们只能读到转载，因此按转述方式引用）。2026-11-05发布的一个Gemma 4 31B修改模型声称拒答大幅下降；我们在下文检视了它的数据。

本指南先从现象讲起，再解释术语、原理和工具。贯穿全文的一个想法是：把这些模型看作本地应用中可替换的组件。应用提供文档、语音、智能体和好用的界面；模型决定它愿意回答什么。二者结合带来任何托管服务都无法提供的灵活性，同时也拿掉了托管服务所提供的安全网。

这些词的用法很随意，这正是人们下载到与宣传不符的东西的原因。以下是每个术语在技术上的含义。

预训练教模型从庞大语料中预测文本。它产出的系统能力很强但没有方向，几乎什么都会接着写。随后，指令微调和监督微调（SFT）用示例对话训练它，使其以有帮助的格式回答问题。

偏好训练加入了安全层。在RLHF（基于人类反馈的强化学习）中，人类评审比较答案，奖励模型学习他们的偏好，模型再朝着这些偏好优化。DPO（直接偏好优化）无需单独的奖励模型就能达到类似效果。安全数据集把有害请求与拒绝配对，因此模型学会某些类型的请求应当被拒绝：这就是拒答训练。

这种行为存在于哪里？两个地方。系统提示词是运行时附加在前面的文本，你可以修改。模型权重中的行为是在训练期间固化下来的，不碰权重就无法改变。这就是为什么仅靠系统提示词有时无法让模型作答，而编辑权重可以。

图中展示了让abliteration成为可能的思路。在Transformer内部，每一层都从一个共享的累计量（称为残差流）中读取并写入。研究表明，就拒答而言，大部分信号位于该流中的一个方向上。

其科学基础是Arditi等人（2024）的论文“Refusal in Language Models Is Mediated by a Single Direction”（arXiv 2406.11717）。作者测试了13个参数量在1.8B到72B之间的开放聊天模型。结论是：对这些模型而言，拒答由残差流中的单一方向介导。

如何找到这个方向。让模型分别处理一组有害提示词和一组无害提示词，记录选定层和词元位置上的内部激活值，并计算两组平均值之差。这个均值差向量就是候选的拒答方向。

如何移除它。方向消融在运行时把该方向从激活值中投影去除。权重正交化则永久地达到同样效果：修改向残差流写入的权重矩阵，使其无法再沿该方向写入。编辑后的模型无需重新训练，其文件看起来与其他模型没有区别。

损失了什么。作者报告称，大多数基准测试上的能力下降很小，TruthfulQA是例外：它持续下降，幅度大约为1到3.5个点。他们还把自己的方向选择方法描述为启发式。Maxime Labonne的实践指南发现，abliteration使他测量的每一项基准都有所下降，用DPO“修复”步骤能恢复大部分但不是全部，而选择哪一层需要判断力。

关于数据的提醒。安全厂商Alice发布了一份报告，测试了五个模型，报告称abliteration后的服从率为98.0%（550个提示词中的539个），之前为5.8%；另有一篇博客称六个模型家族的服从率在96-100%。这些数字由公司自行报告，由LLM裁判打分，未经同行评审，衡量的是回答意愿，而不是现实中的能力提升。请把它们当作一个数据点，而不是证据。

谁做的、是什么。Heretic是由Philipp Emanuel Weidmann（GitHub用户名p-e-w）创建的开源命令行工具。它不是让人去挑选层和强度，而是自动完成搜索。

最初的方法。Heretic使用Optuna（一个带TPE采样器的超参数优化库）来尝试多种abliteration设置。可插拔的打分器为每次试验评分。默认情况下，它用关键词打分器统计拒答次数，并在无害提示词上测量与原模型的KL散度，因此搜索的目标是找到既能去除拒答、又尽量少改动其他行为的设置。修改器则是真正编辑权重的组件。

2.0有哪些变化。2.0.0版本于2026-11-01发布（2.1.0于2026-11-08跟进）。默认修改器现在是任意秩消融（Arbitrary-Rank Ablation，ARA）；经典的方向消融（含投影式abliteration和范数保持选项）仍然可用。该版本还加入了插件系统、无界面运行，以及作为插件提供的基于BERT的拒答打分器（默认打分器仍基于关键词）。Heretic 1.x的配置文件不适用于2.x。

ARA是什么。根据作者自己的拉取请求，ARA不使用拒答方向。它用L-BFGS优化器学习每个模块的矩阵编辑，目标有三个：不改变无害提示词的输出，让有害提示词的输出与无害输出一致，并使其远离原有的有害输出。单一方向是秩一编辑；ARA允许更高秩的编辑，因此可以捕捉非一维的拒答行为。完整说明仍被描述为“很快”发布的预印本，所以质量方面的说法是作者自己的，未经独立验证。

硬件与取舍。该工具会加载完整模型并运行许多次试验，因此你需要足够内存来运行你要修改的模型，还要有时间。质量上的取舍与其他方法类似：一项对16个模型、四种工具的比较研究（Young，arXiv 2512.13655，我们读过摘要）报告GSM8K变化从+1.5到-18.8个点，Heretic的KL值从0.04到1.65，所以结果在很大程度上取决于具体模型。

Abliteration不是唯一的途径。下表比较了主要方法。模型合并一行刻意保持谨慎：我们没有找到把合并作为去除拒答方法的一手来源。

Dolphin（cognitivecomputations以及较新的dphn组织）是最知名的微调系列。目前已核实的条目是Dolphin-Mistral-24B-Venice-Edition。其模型卡称由系统提示词决定行为，因此它是可引导的，而不是保证没有拒答。

Hermes（NousResearch）不是无审查家族。Hermes 4模型是中性对齐、可引导的。Nous自己的RefusalBench（如Hermes 4.3 36B模型卡所报道）显示，该模型回答了约72-75%的测试提示词，也就是说大约四分之一仍被拒绝。不要把每个Hermes模型都归为无审查。

Qwen abliterated变体占据下载量的大头。已核实条目中下载量最高的是Huihui-Qwen3.8-27B-abliterated，约400万次下载。搜索：Hugging Face上的Qwen abliterated。

Gemma abliterated变体是最新的领域。Gemma 4的修改模型既有普通abliteration版本，也有Heretic和ARA版本。搜索：Gemma abliterated。其中一个Gemma 4 31B ARA模型声称拒答大幅下降，我们在下文检视。

Llama abliterated变体大多较旧。在我们2026-11-13的检查中，Llama 3.1和3.3之后的版本都没有很高的下载量，下载量最高的8B条目来自2024年。搜索：Llama abliterated。

Mistral、DeepSeek和GLM。存在Mistral Small 3.2 24B的abliteration版本。对于DeepSeek和GLM，最新模型的abliterated版本虽然存在，但分别约284 GB和321 GB，超出消费级硬件的范围；只有较旧的32B DeepSeek R1蒸馏模型是实用的。

对Gemma 4 31B说法的批判性解读。模型卡报告称，拒答从100个提示词中的99个降到了28个（Heretic v2.0.0 ARA，KL散度0.0845）。这是72%的相对降幅，同时也意味着仍有28个测试提示词触发了检测器。检测器是一份约34个关键词的列表（如“sorry”和“illegal”），作用于截断到100个词元的回答，所以带免责声明的有用回答会被算作拒答，而不含这些词的无效回答会被算作服从。测试集是来自同一数据集的100个提示词，原模型得分为99/100，KL数值只在无害提示词上测得，因此它无法说明能力如何。模型卡承诺可复现，但其自带的复现文件警告说使用了未提交的本地Heretic版本。我们没有找到独立评测。同一基础模型上的另一个31B重新打包版本报告为10/100、KL为0.054，但不同作者、不同运行和不同设置得出的结果无法比较。

托管平台存储并提供文件本身。专门的索引站只是抓取托管平台，并增加一层发现功能。索引可以帮你找到候选模型，但你下载的文件仍来自托管方，所以来源问题始终关乎托管方和作者。

我们于2026-11-13对照Hugging Face API和模型卡检查了十个当前的仓库，而不是对照旧文章。体积为仓库提供的Q4_K_M GGUF文件大小；内存数字是我们的估算值（文件大小加运行时和缓存），不是实测。下载量和日期不断变化，因此这张表只是一个快照，应当独立于文章进行刷新。

这一点之所以重要，在于本地AI的架构。大多数本地应用并不自带固定模型。它们连接到后端（通常是Ollama、llama.cpp或兼容OpenAI的服务器），或加载你选择的GGUF文件。

我们自己的评测在各个类别中都印证了这一模式。SillyTavern可连接KoboldCpp、text-generation-webui、Ollama或LM Studio。Open WebUI作为前端对接Ollama或任何兼容OpenAI的API。LM Studio运行GGUF模型，并内置Hugging Face浏览器。AnythingLLM、Msty和Cline可连接Ollama或LM Studio。n8n有专门的Ollama节点，KoboldCpp则直接运行GGUF文件。当模型只是一项设置时，你就可以按任务把中性模型换成无限制模型。

你能得到什么。你得到应用的功能和你自选的模型，离线运行，没有托管服务商读取对话。下表展示了不同类别的具体情形。在依赖之前，请确认你使用的应用版本接受自定义模型；这份列表只是起点，不是保证。

Ollama（ollama.com）是命令行用户最简单的途径：按名称拉取模型，它就会提供许多应用都能识别的API。LM Studio（lmstudio.ai）是图形界面的途径，内置Hugging Face浏览器和本地兼容OpenAI的服务器。llama.cpp（github.com/ggml-org/llama.cpp）是许多此类工具背后的引擎，可直接运行GGUF文件。Transformers（huggingface.co/docs/transformers）在Python中加载全精度safetensors权重，适合研究，以及打算评估或修改模型的人。

GGUF与量化。GGUF是基于llama.cpp的工具所用的单文件格式。量化是用更少的位数存储权重：Q4_K_M是常见的折中方案，体积约为全精度的四分之一，质量损失有限。更低的量化级别可以节省内存，但可能损害推理和指令遵循能力，因此请测试你实际使用的那个文件。

硬件。在Apple Silicon上，统一内存由CPU和GPU共享，因此32 GB的Mac可以容纳约24-27B参数的Q4模型加上上下文；请给系统留出几GB。在NVIDIA GPU上，模型应当能放进显存：24 GB的显卡适合上文中的24-31B模型，8 GB适合4-9B模型。如果模型放不下，部分层会溢出到系统内存，速度会急剧下降。具体数字请参见本地LLM需要多少显存。

离线运行。权重存到磁盘之后，这些工具生成文本都不需要联网。这是隐私方面的主要理由，同时也是没有任何服务商能对本地副本强制执行使用规则的原因。

从概念上说可以，而且比过去容易上手。我们只在高层次上描述这个流程。

我们只在理解风险所需的程度上描述它们，不提供任何可操作的细节。

支持限制更少的模型的最有力理由，值得公平地陈述。

反方的论点同样真实。防护措施降低了模型协助严重伤害的可能性，保护脆弱用户，并使在产品中部署成为站得住脚的选择。

关键的区别在于生成文本的模型与能够执行命令、读取文件、浏览网页或与其他系统交互的智能体。如果聊天模型写出了有害内容，仍然需要有人据此行动。如果搭载同一模型的智能体采取行动，输出与后果之间的距离就消失了。

开放模型中的防护很难做到防篡改：上文的abliteration研究表明，一次权重编辑就能抑制拒绝行为。这是支持加强模型层面保护和在模型外部设置控制措施的核心论据。

可以。因为本地模型没有服务商一侧的防护层，所以你要在它周围自己加上。

没有单一的答案，这也不构成法律意见。需要区分的问题是持有、分发和使用，答案可能因国家以及模型的用途而异。

欧盟AI法案。法规（EU）2024/1689对通用AI模型的提供者施加义务，对开源模型有部分豁免，但该豁免不适用于具有系统性风险的模型。通用AI模型的义务自2025-08-02起适用，欧盟委员会的执法权力自2026-08-02起适用。2025年的欧盟委员会指南指出，下游修改者只有在超过一个指示性算力门槛时才成为提供者；我们认为abliteration远低于该门槛，但这一标准不具约束力。我们无法从文本中确认2026年的数字综合法案（Digital Omnibus）是否改变了通用AI的日期，请查阅现行文本。

持有与使用。拥有一个模型文件与用它实施违法行为是两回事。刑法针对的是具体行为：制作禁止内容、欺诈、骚扰，或专为计算机犯罪设计的工具。我们对德国法律条文只做了部分审阅，所以请不要依赖本指南来了解这些条文。

许可证与合同。许可证在法律之上增加规则。Gemma 4模型卡列出的是Apache-2.0，并链接到Gemma 4许可证页面；而早期的Gemma各代使用Gemma条款和使用限制政策，其中禁止规避安全过滤。请查看所用基础模型的许可证页面。Llama 3.1许可证要求标注“Built with Llama”，并要求衍生模型名称带有前缀，其可接受使用政策限制某些用途，但据我们理解并没有明确的反规避条款。表中列出的Qwen3.5和Qwen3.8模型卡显示为Apache-2.0。请始终阅读基础模型的许可证，而不只是衍生模型的。

数据保护与版权。在本地处理个人数据仍然受数据保护法约束，而底层模型训练数据的版权问题尚无定论。移除拒答并不会改变这两点。

有几个趋势指向“是”。社区修改规模庞大且仍在增长：上文的Hugging Face标签数量达到数千个仓库。工具正变得更自动化：Heretic会为你搜索设置，ARA则超越了单一方向。移除拒答的新技术会不断出现，让防护更难被移除的技术也是如此。

其他发展则指向不同方向：让部署者选择策略的可配置安全架构、提供限制更少的模型的商业服务、越来越多把控制权交给用户的本地AI，以及仍在成形的监管。开放权重能否做到防篡改，这一争论预计还会持续。

结论。开放权重AI让用户对模型行为有了更大的控制权，而应用层使这种控制变得切实可行。但移除防护并不会移除责任：它把责任转移给了运行模型的人。