Blog · · Updated · By Dhrumil Barot, Founder
什么是去审查（abliteration）？开放模型中的 LLM 拒答移除如何运作
经过对齐的 LLM 中，拒答行为存在于权重空间中一个可测量的方向。去审查（abliteration）无需重新训练即可抹除该方向。以下说明此方法如何运作，以及已发布的数据实际能够证明什么。
如果你在搜索什么是去审查（abliteration），简短的回答是：权重编辑。研究人员会修改经指令微调的模型，在不进行常规重新训练的情况下，降低其经测量的拒答行为。LLM 去审查（abliteration）不是神奇的“无审查”开关，也不是 prompt 越狱。它是一种可复现的模型编辑流程，存在取舍，且必须在你计划提供服务的确切制品上进行测量。
本技术仅供合法、经授权的安全测试、网络防御、研究和评测讨论使用。降低拒答率的模型并不赋予你访问系统、暴露私有数据、创作未经同意的内容、剥削未成年人、对未授权目标部署恶意软件，或协助其他被禁止活动的权限。每项测试都应限定在你拥有或获明确授权评估的系统和数据范围内。
该方法在 2026 年受到更多关注。本分析援引了 Hugging Face 上逾一万个去审查（abliteration）构建版本、通过兼容 OpenAI 的 API 销售去审查模型的托管供应商，以及 9 月关于移除安全过滤器模型的报道。这些是具有时效性的市场观察，并不能证明每个构建版本都采用相同方法。本文将说明其机制、发布者如何测量效果、证据的局限，以及如何测试列表中提及的托管示例。
LLM 中的去审查（abliteration）是什么？
现代经指令微调的模型不会仅因一份简单的过滤清单说“不”就产生拒答。在对齐训练中，模型会学习与拒绝相关的激活模式：道歉式开头、说教、重定向，或拒答 token 序列。研究人员可以将模型拒答的 prompt 激活与其回答的匹配 prompt 激活进行比较，在残差流中寻找统计方向，再计算两组之间的差异。
该方向是一种有用的近似，而非对安全行为的完整解释。拒答会因层、prompt 措辞、模型系列、生成设置和量化而异。实际洞见在于，部分拒答行为可以表示为高维空间中的一个方向或一组方向。若编辑具有针对性，移除该分量的一部分或可降低拒答，同时保留基础模型的大部分其他行为。
LLM 去审查（abliteration）的分步原理
- 收集对比样本对。将基础模型会拒答的 prompt 与它会回答的近乎相同的 prompt 配对。样本质量至关重要，因为粗糙的配对可能将拒答与主题、语气或格式影响混在一起。
- 找到候选方向。记录两组的内部激活，分别取每组平均值并相减。所得向量即为该模型和 prompt 分布下的候选拒答方向。
- Ablate the component. Orthogonalize selected weights against that vector so the targeted component is reduced. Variants such as the Heretic method automate searches over layers and strengths. One report cited in the methodology documents a 200-trial optimization.
- 测量变化。在普通 prompt 上计算编辑后模型与基础模型之间的 KL 散度。较低的 KL 可能意味着分布变化较小，但不能替代能力基准测试、安全审查或特定任务测试。所引用的小模型报告给出的结果是：100 次中 3 次拒答，KL 为 0.072。来源：richardyoung/qwen3-4b-instruct-2507-abliterated。
因此，“去审查（abliteration）”一词描述的是对权重的干预，而非对每一项输出的保证。模型可能较少拒答，却仍会生成不准确、不安全或无关的回答。良好的评测会一并衡量拒答行为、常规任务质量、过度拒答和运行可靠性。
发布者如何衡量去审查（abliteration）是否成功
所引用的无审查 LLM 排行榜中出现了三类测量方式。它们回答的问题不同，不应合并为一个通用分数。
- 合规测试套件。huihui-ai 报告称，其消融后的 Qwen3-8B 在一组包含 320 个 prompt 的行为测试中 320 项全部通过，而基础模型为 320 项中通过 195 项；其消融后的 Qwen3-4B 也是 320 项全部通过，而该基础模型为 320 项中通过 261 项。完整方法论和测试代码链接见 huihui-ai/Qwen3-8B-abliterated 和 huihui-ai/Qwen3-4B-abliterated。
- 有害行为基准测试。Abliteration.ai 报告称，其托管模型在
mlabonne/harmful_behaviors测试套件中 100 次仅拒答 3 次，并列出了意在表明推理能力得以保留的能力评分。请参阅模型规格页面。该结果仅属于该服务和该测试套件；不应套用到无关的社区检查点。 - 过度拒答检查。所引用的 Qwen3.8 张量级消融报告称，XSTest 上的过度拒答率为 0%，在更广泛的测试套件中拒答率为 0% 至 6%。这只是关于所引构建版本和测试设置的证据，并不能证明该编辑保留了所有安全行为。来源：srchmnmichael/Qwen3.8-Uncensored。
一篇针对混合专家构建版本、采用逐专家方法论的社区文章汇总称，其在四个测试集上的拒答率为 0.7%。Featherless 对2026 年最佳无审查模型的汇总将该结果与其他结果一并收录。在采购决策中使用任何数字之前，请记录测试套件、prompt 数量、模型修订版本、量化方式、生成设置，以及测试由社区执行还是由托管方执行。
去审查（abliteration）与越狱、微调有何不同？
以下三种不同概念常被混为一谈：
- 越狱试图在 prompt 阶段影响固定模型。其结果会随措辞和模型更新而变化。它检验的是 prompt 策略，而非权重的永久属性。
- 无审查微调会在选定数据集上重新训练模型。它可能有效，但需要进行训练，并可能改变模型在许多任务上的能力或风格。数据集本身也包含其自身的判断。
- 去审查（abliteration）直接编辑权重。与训练相比，该流程可能更快，并可通过对比拒答测试和 KL 散度进行评测。它仍需要算力、谨慎的制品管理和编辑后的评测。
对安全团队而言，实际差异在于可复现性。越狱可以保留在测试工具中，而无需改变模型。消融会改变模型制品，因此组织必须为其建立版本、记录源许可证、测量实际提供服务的量化版本，并控制调用权限。微调同样会改变制品，但它采用不同的训练流程，且会带来不同的来源追溯问题。
LLM 去审查（abliteration）的局限与失效模式
LLM 去审查（abliteration）具有针对性，并非魔法。所引用的记录提示了以下几点注意事项：
- 量化可能重新引入拒答。多家发布者警告，对干净消融版本进行激进量化后，拒答可能多于全精度构建版本。请测量你实际提供服务的制品。
- 小型基础模型的提升可能较小。一个原本已有 81.6% 时间会遵从的 4B 基础模型，在该测试套件中可见的提升空间较小。提升更大并不自动意味着模型更好。
- 过度拒答可能变为拒答不足。移除过多可能使模型在本应暂停、请求授权或提供更安全替代方案的情形下仍然遵从。XSTest 和良性边缘案例 prompt 有助于发现这一取舍。
- KL 并非完整的质量评分。较低的 KL 数值是有用证据，表明在已测量 prompt 上的输出分布变化不大。它并不能证明准确性、工具安全性、隐私或稳健性。
- 模型许可证和授权要求仍然适用。移除拒答方向并不会移除法律或模型许可证。Vynaris 将其降低拒答率的模型描述为用于合法、经授权的红队测试、网络防御和评测，且无审查模型目录列明了被禁止的用途。仅测试你拥有或获授权评估的系统和数据。
在哪里运行去审查后的模型
- 托管 API。Vynaris 列出三种配置：DeepSeek V4 Flash、Qwen3.8-27B 和 Qwen3.6-35B。它们被描述为可通过一个兼容 OpenAI 的端点使用，输入价格从每百万 token $1.00 起。固定费率见定价。在公开托管运行结果之前，应将托管可用性与源构建版本的测量结果视为两类独立证据。
- 本地。Ollama 单行命令可以在兼容的笔记本电脑或工作站 GPU 上运行社区消融版本。这有利于受控实验，但模型更新、资源限制和监控责任将转由你承担。
- 自有 GPU。从 Hugging Face 拉取权重，使用 vLLM 或 SGLang 提供服务，并运行与你的工作负载相同的评测工具。团队能够运维整套技术栈时，这种方式可适用于稳定的大规模用量。
60 秒体验 LLM 去审查（abliteration）
理论固然有用，但受控比较能让行为差异变得具体。使用 Vynaris key 后，以下调用会将一条经授权的安全分析 prompt 发送给托管的 Qwen3.6 配置。请明确限定范围，使用你运营的预发布系统，并在相同设置下将结果与标准指令模型比较。
curl https://api.vynaris.com/v1/chat/completions \
-H "Authorization: Bearer vyn_sk_live_YOUR_KEY" \
-H "Content-Type: application/json" \
-d '{
"model": "vynaris/qwen3.6-35b-a3b-uncensored",
"temperature": 0.2,
"max_tokens": 512,
"messages": [
{"role": "system",
"content": "You are assisting an authorized security engineer testing systems they own."},
{"role": "user",
"content": "Walk through how you would enumerate attack surface on a staging API I operate, step by step."}
]
}'请勿使用在线的第三方目标，也不要在 prompt 中包含密钥。先对标准指令模型运行相同 prompt，再通过排行榜中的评测脚本，在更大的经授权 prompt 集上运行测试后再得出结论。单条响应可以说明拒答行为的差异；它不能证明质量或安全性。
如需比较供应商，请阅读2026 年最佳无审查 LLM API。集成详情见文档。
2026 年报道能证明与不能证明什么
该比较援引了 2026 年 9 月的报道，其中包括一篇提及 Hugging Face 上逾一万个去审查（abliteration）构建版本和大型无审查供应商的英文移除安全过滤器模型报道。这些报道证明了公众关注度和报告中的规模，但并未验证该计数中每个构建版本的内部机制、许可证、拒答率或托管质量。
对买家而言，关键区别在于：消费应用发布的是宽泛定位，而基础设施供应商发布的是可归因的模型 ID、测试套件、数量和谱系。选择安全测试工作流时应采用后者的证据，并在上传敏感数据前索取最新条款。
去审查构建版本买家核对清单
对任何构建版本或托管方使用以下清单：
- 具名测试套件与数量。使用的是哪套 eval、多少个 prompt、发生多少次拒答？未说明测试套件，就没有可复现的主张。
- 基础模型与差异。基础模型在同一套件中的得分是多少？编辑后改变了什么？
- KL 散度或同等指标。是否有证据表明编辑具有针对性，而非广泛改变了能力？
- 量化版本匹配。是否测量了实际提供服务的确切制品？
- 许可证与谱系。源代码仓库、许可证、模型修订版本，以及发布者与托管方之间的关系是什么？
- 更新频率。供应商是否为更正和新测量结果标注日期？
- 使用控制。授权、数据处理、日志记录、访问权限和禁止类别是否清晰？
继续阅读
常见问题
对 LLM 而言，abliterated 是什么意思？
这意味着模型的拒答行为已在权重空间中被锁定目标，并通过正交化等编辑方法降低，而无需常规重新训练。去审查后的模型可能会回答其经对齐的基础模型原本会拒答的 prompt，同时保留基础模型的大部分行为。结果仍须在确切制品和任务上测试。
去审查（abliteration）与越狱相同吗？
不同。越狱通过精心构造的 prompt 操控固定模型。去审查（abliteration）会永久编辑模型制品，并可作为该制品的属性进行基准测试。两种方式都不会使未经授权或被禁止的使用变得可接受。
去审查（abliteration）会损害模型质量吗？
有可能。参考报告给出了 100 次中 3 次拒答、KL 散度为 0.072 的结果，其他发布者也报告了其流程后的能力评分。这些结果表明其测试中测得的变化有限，并不保证质量不变。不佳的目标定位和激进量化都可能降低行为表现。
哪些模型的已发布消融结果最好？
所引用的小模型示例包括 huihui-ai 的 Qwen3-8B 和 Qwen3-4B 结果，均为 320 项合规项全部通过。所引用的旗舰规模示例报告称，张量级 Qwen3.8 消融在 XSTest 上的过度拒答率为 0%。只能在具名测试套件和构建配置内比较；每月排行榜会将这些结果分开列示。
使用去审查后的模型是否合法？
该技术本身是一种公开发表的模型编辑方法，但其合法性取决于许可证、司法管辖区、数据和活动。请将其用于经授权的安全测试、防御、研究和评测。无论模型行为如何，剥削未成年人、未经同意的色情内容、未授权访问，以及针对非自有系统部署恶意软件等禁止类别仍然受到禁止。