Cómo pierde un modelo su «no»: abliteration, Heretic y LLM sin censura

Un modelo abliterado es un modelo de lenguaje de pesos abiertos al que le han sacado de los pesos la costumbre de negarse, sin reentrenarlo. Alguien midió dónde representa el modelo la idea de «esto debería rechazarlo», quitó esa única dirección y guardó el resultado como un modelo nuevo. Esa edición se llama abliteration (a veces se ve «abliteración»), un cruce entre ablation y obliterate. Con Heretic, la herramienta de código abierto que la automatiza, ya se han publicado más de 5000 modelos.

Por qué un LLM se niega a responder: el «no» se entrena

Un modelo de chat no se niega porque tenga un filtro delante. Aprende a negarse en el entrenamiento que lo convierte en asistente, y cada fabricante pone la línea en un sitio distinto. Algunos rechazos protegen a personas. Otros dejan tirado a un pentester, a una médica que pregunta por los umbrales de sobredosis o a un novelista que escribe la escena de un crimen. La abliteration traslada esa decisión del fabricante a quien usa el modelo.

La dirección de rechazo: un vector carga con el «no»

En 2024, Arditi y sus coautores pasaron 128 instrucciones dañinas y 128 inofensivas por 13 modelos de chat abiertos y registraron lo que ocurría dentro. La diferencia entre las dos medias funciona como un interruptor. Si la quitas, el modelo deja de rechazar peticiones dañinas. Si la sumas, empieza a rechazar peticiones inofensivas. En todos los modelos que probaron bastó con esa única dirección.

Para que el cambio sea permanente, la dirección se quita de los pesos una sola vez, y queda un archivo de modelo normal y corriente. En las pruebas de los autores, la mayoría de los modelos editados mantuvo sus resultados en los benchmarks habituales de conocimiento y matemáticas.

Heretic: la abliteration en piloto automático

En 2024, Maxime Labonne convirtió el método en una receta que cualquiera podía seguir. Heretic, una herramienta de código abierto de Philipp Emanuel Weidmann, va un paso más allá y se encarga sola del trabajo de precisión. Un optimizador prueba distintos ajustes, capa a capa, y puntúa cada intento con dos objetivos: pocos rechazos con prompts dañinos y el menor cambio posible con los inofensivos. Esa segunda cifra es la divergencia KL: mide cuánto se alejan del original las palabras que elige el modelo.

Instalas Heretic, le indicas un modelo y esperas. Con un modelo de 4000 millones de parámetros, una ejecución tarda de 20 a 30 minutos en una sola RTX 3090, una tarjeta gráfica para videojuegos.

¿La abliteration vuelve más tonto a un modelo?

Si se hace a lo bruto, puede. Bien hecha, el modelo conserva casi todo o todo lo que sabe. El ejemplo más claro es Gemma 3 12B. La documentación de Heretic compara tres ediciones que bajan sus rechazos de 97 a 3 de cada 100. En la nota de conocimiento del UGI Leaderboard (NatInt) quedan justo en el orden de su desviación: la edición que más se alejó perdió más de la mitad de los 18,72 del original, y la de Heretic conservó la mayor parte.

Con gpt-oss-120b pasa lo mismo. Una abliteration sencilla bajó de 33,68 a 16,72, y la versión con Heretic se quedó en 33,41. Los métodos más recientes van aún más lejos: una edición de Gemma 3 12B con preservación de norma incluso supera al original.

La regla es sencilla: juzga el modelo terminado, no el nombre del método.

Los modelos sin censura de nuestro catálogo

El catálogo de modelos de nuestra página de IA privada recoge modelos de pesos abiertos cuya licencia permite el uso comercial y el ajuste fino, la mayoría en variantes sin censura. En el UGI Leaderboard, las versiones con Heretic responden con mucha más disposición y conservan su conocimiento:

Modelo original → variante con Heretic. Qué modelos caben en una tarjeta de 20, 24 o 96 GB lo explica nuestra guía de VRAM.

Abliterated o sin censura: cuatro formas de quitar los rechazos

«Sin censura» es el término general, y la abliteration es una forma de llegar ahí. El camino más antiguo es entrenar: Eric Hartford quitó los rechazos de un conjunto de instrucciones y entrenó con el resto una versión sin censura de WizardLM.

¿Funciona la abliteration en español?

Sí. Un equipo de la LMU de Múnich demostró que una dirección de rechazo sacada de prompts en inglés también apaga los rechazos en los demás idiomas con entrenamiento de seguridad, español y alemán incluidos. Para abliterar un modelo pensado para hispanohablantes no necesitas prompts en español.

Cómo leer el UGI Leaderboard

UGI son las siglas de Uncensored General Intelligence. El leaderboard es un Space de Hugging Face de DontPlanToEnd, y sus preguntas no se publican, para que nadie entrene un modelo con ellas. Dos columnas importan más. W/10 es la disposición a responder, de 0 a 10: hasta dónde se puede empujar a un modelo antes de que se niegue o se escabulla. NatInt mide el conocimiento general.

Lee las dos a la vez y siempre junto a la fila del modelo original. Mucha disposición con un NatInt hundido es un modelo obediente que ha empeorado en todo lo demás.

Sin censura quiere decir que las reglas las pones tú

Sin rechazos de serie, las reglas pasan del modelo a la forma de usarlo: el prompt de sistema, quién puede llegar al modelo y qué se registra. Un modelo libre de las políticas de un fabricante necesita las tuyas.

Con la IA privada gestionamos estos modelos por ti: un modelo de pesos abiertos, sin censura si lo quieres, en un servidor GPU dedicado en Alemania, y los prompts y las respuestas se procesan en tu servidor. Si un modelo aún se niega demasiado para tu trabajo, le quitamos los rechazos con abliteration. Antes de ponerlo en marcha, contesta a tus propias preguntas y casos límite, con el original al lado.