¿Qué es un modelo abliterado? Cómo se le quitan de verdad los rechazos a una IA

Si has pasado por Hugging Face últimamente, habrás visto la palabra por todas partes: Llama-3-8B-abliterated, Qwen-abliterated y ahora versiones abliteradas de DeepSeek. Estos modelos responden las preguntas que sus originales rechazan. Lo hacen sin un prompt de jailbreak, sin otra ronda de entrenamiento con datos subidos de tono y, cuando se hace bien, sin volverse notablemente más tontos.

Entonces, ¿qué es exactamente un modelo abliterado? Esta guía explica la idea en palabras simples, repasa cómo funciona la abliteración por dentro, cuenta lo que cuesta en calidad y la compara con las otras formas de quitarle la censura a una IA. Al final verás cómo la usa Cleus para ofrecer Cleus Smartest v3, un DeepSeek V4.1 Flash abliterado.

¿Qué es un modelo abliterado?

Un modelo abliterado es un modelo de lenguaje al que le quitaron de los pesos, con precisión quirúrgica, su comportamiento de rechazo. La palabra viene del inglés abliterated, una mezcla de ablate (extirpar) y obliterate (borrar por completo). Se popularizó en 2024, cuando el desarrollador open source FailSpy publicó herramientas para hacerlo y Maxime Labonne escribió un tutorial en Hugging Face que se compartió muchísimo.

Lo importante es lo que no cambia. El modelo conserva el mismo conocimiento, la misma capacidad de razonar y el mismo estilo al escribir. Lo que pierde es el reflejo aprendido de contestar ciertos pedidos con un "no puedo ayudarte con eso".

Eso es muy distinto de lo que la gente suele hacer para esquivar los rechazos:

• Un jailbreak deja el modelo intacto e intenta engañarlo con un prompt ingenioso. El entrenamiento de seguridad sigue ahí, peleando contigo en cada turno.
• Un fine-tuning sin censura vuelve a entrenar el modelo con datos nuevos que nunca rechazan nada. Funciona, pero reentrenar puede desdibujar lo que hacía bueno al modelo original.
• La abliteración edita los pesos directamente, pero solo a lo largo de la única dirección interna que lleva el rechazo.

Por qué el rechazo vive en "una sola dirección"

La idea sale de un paper de 2024 de Andy Arditi, Neel Nanda y otros colegas, titulado Refusal in Language Models Is Mediated by a Single Direction. Estudiaron 13 modelos de chat open source populares, de hasta 72 mil millones de parámetros, y encontraron algo sorprendente.

Dentro de un modelo de lenguaje, cada palabra que escribes se convierte en una lista larga de números (un vector) que recorre la red capa por capa. Los investigadores vieron que, en los 13 modelos, la decisión de rechazar viajaba sobre todo en una sola dirección de ese espacio.

La evidencia era simple y contundente:

• Borra esa dirección mientras el modelo está funcionando, y deja de rechazar pedidos dañinos.
• Añade esa dirección a un pedido inofensivo, y el modelo rechaza algo totalmente inocente.

Dicho de otro modo, el rechazo no está repartido por todo el modelo como el conocimiento. Se comporta más bien como un interruptor. Y si es un interruptor, se puede quitar.

Cómo funciona la abliteración, paso a paso

Aquí va el mismo proceso con un poco más de detalle.

1. Reúne dos grupos de prompts. Un grupo son instrucciones que el modelo rechaza. El otro son instrucciones normales que responde sin problema. Los dos se pasan por el modelo y se registran las activaciones internas en el último token, en cada capa.

2. Saca la diferencia. En cada capa, la activación promedio de los prompts "rechazados" menos la promedio de los "respondidos" da una dirección de rechazo candidata.

3. Elige la mejor candidata. No todas las direcciones funcionan igual de bien. Cada candidata se prueba quitándola y viendo cuál frena los rechazos sin que las respuestas pierdan sentido. En el tutorial de Labonne, con un Llama 3 de 8B, la dirección ganadora salió de una capa intermedia.

4. Quítala de los pesos. La dirección se puede quitar en tiempo de ejecución con hooks, pero la abliteración suele ir un paso más allá: reescribe las matrices de pesos para que ya no puedan escribir nada a lo largo de esa dirección. Esto se llama ortogonalización de pesos. El resultado es un archivo de modelo normal que cualquiera puede cargar y usar sin código especial.

5. Ponlo a prueba. Una buena abliteración se compara con el original en benchmarks de conocimiento, razonamiento y escritura, más una prueba de rechazos. Si la calidad bajó, quien la hace puede probar otra capa o una edición más suave.

¿La abliteración vuelve más tonto al modelo?

A veces, un poco. La respuesta honesta es que depende del cuidado con que se haga.

En el experimento original de Labonne, en 2024, el modelo de 8B abliterado sacó peores resultados que su original en todos los benchmarks que corrió. Después lo "curó" con una ronda ligera de entrenamiento por preferencias (DPO) con unos 40,000 ejemplos, que tomó cerca de 6 horas y 45 minutos en seis GPU A6000. Con eso recuperó casi todo el rendimiento perdido, aunque las matemáticas (GSM8K) no volvieron.

Las herramientas han mejorado desde entonces. Heretic, un proyecto open source, automatiza la búsqueda: prueba muchas intensidades de edición y muchas capas, y puntúa cada intento en dos cosas a la vez, la tasa de rechazo y la divergencia KL frente al modelo original. La divergencia KL mide cuánto se alejan las respuestas del modelo de las del original en prompts normales. Pocos rechazos y poca divergencia KL significa que quitaste los rechazos sin cambiar todo lo demás. Según su README, una ejecución por defecto en un modelo de 4B tarda entre 30 y 40 minutos en una sola RTX 3090.

La conclusión práctica: una abliteración descuidada puede dañar un modelo, y una cuidadosa casi no se nota en las tareas de todos los días. Elige siempre abliteraciones que se hayan probado contra el original.

Abliteración vs. jailbreaks vs. fine-tuning sin censura

Una forma corta de pensar en los tres caminos:

• Los jailbreaks son gratis y no requieren preparar nada, pero son frágiles. Pelean con el modelo en cada mensaje, se rompen cada vez que el proveedor actualiza el modelo y gastan parte de la ventana de contexto en discutir. Las respuestas suelen salir llenas de rodeos o a medias.
• Los fine-tunings sin censura son confiables una vez hechos, pero necesitan datos de entrenamiento y horas de GPU, y los datos nuevos pueden cambiar la personalidad y las habilidades del modelo.
• La abliteración es barata comparada con entrenar, apunta solo a los rechazos y se comporta igual a lo largo de conversaciones largas, porque ya no hay nada peleando con el modelo.

Por eso la mayoría de los modelos de pesos abiertos "sin censura" publicados desde 2024 son abliteraciones, a veces seguidas de un paso ligero de reparación.

Lo que la abliteración no hace

Vale la pena dejar claros los límites, porque hay mucho ruido alrededor de la palabra.

• No agrega conocimiento. Un modelo abliterado sabe exactamente lo mismo que sabía el original. Si el original nunca se entrenó en un tema, la abliteración no se lo va a enseñar.
• No elimina todos los rechazos. El rechazo es sobre todo una dirección, no una sola de forma perfecta. Algunos temas, y algunas formas de preguntar, todavía pueden recibir un no suave o una advertencia.
• No cambia la ley ni las reglas del servicio. Que un modelo esté dispuesto a responder no es lo mismo que una respuesta sea legal. Los servicios alojados siguen teniendo términos de uso. En Cleus, por ejemplo, no hay contenido con menores, ni imágenes no consentidas de personas reales, ni nada pensado para hacerle daño a alguien.
• Solo funciona con pesos abiertos. Necesitas el archivo real del modelo. Por eso ves modelos Llama, Qwen, Mistral y DeepSeek abliterados, pero nunca un GPT o un Claude abliterado.

¿Puedes abliterar un modelo por tu cuenta?

Con modelos pequeños, sí. Con el abliterator de FailSpy, el notebook de Labonne o Heretic, un modelo de 7B u 8B se puede abliterar en una sola GPU de consumo en menos de una hora y luego subirse a Hugging Face.

Con modelos de tamaño frontera es otra historia. DeepSeek V4.1 Flash tiene 552 mil millones de parámetros. Aunque solo entre 8 y 16 mil millones están activos en cada token, hay que cargar el modelo completo para medirlo y editarlo, lo que implica un servidor con varias GPU y cientos de gigabytes de memoria, y después una ronda completa de pruebas de calidad. Es un trabajo de laboratorio, no un proyecto de fin de semana.

Prueba un DeepSeek V4.1 Flash abliterado: Cleus Smartest v3

Si quieres el resultado sin pagar la cuenta de las GPU, Cleus Smartest v3 usa una versión abliterada de DeepSeek-V4.1-Flash-1017, la actualización de octubre de DeepSeek. Es el modelo de Cleus con menos rechazos, y aun así piensa antes de responder, así que maneja programación, matemáticas y argumentos largos igual de bien que ficción oscura y preguntas adultas sin rodeos.

Puedes usarlo en chats normales, en historias largas en el modo Story y en chats con cifrado de extremo a extremo. Para conocer a fondo el modelo base, lee nuestra guía sobre cómo usar DeepSeek V4.1 Flash sin censura.

Preguntas frecuentes sobre los modelos abliterados

¿Qué significa "abliterado"?

Describe un modelo al que le quitaron el comportamiento de rechazo editando sus pesos a lo largo de la única dirección interna que lleva los rechazos. El nombre mezcla "ablate" y "obliterate" y salió de la comunidad open source en 2024.

¿Un modelo abliterado es lo mismo que un modelo sin censura?

La abliteración es una de las formas de hacer un modelo sin censura. Otras son el fine-tuning con datos que nunca rechazan nada, o la fusión de modelos. La abliteración es popular porque es barata y deja el resto del modelo casi intacto.

¿Los modelos abliterados son peores que los originales?

Una abliteración cuidadosa queda muy cerca del original en tareas normales. Una descuidada puede perder algo de calidad, sobre todo en matemáticas. Quienes lo hacen bien miden los benchmarks o la divergencia KL frente al original antes de publicar.

¿Se puede abliterar ChatGPT o Claude?

No. La abliteración necesita acceso directo a los pesos del modelo. Los modelos cerrados como GPT y Claude solo corren en los servidores de sus empresas, así que la técnica solo aplica a modelos de pesos abiertos como Llama, Qwen, Mistral y DeepSeek.

¿Es legal usar un modelo abliterado?

En la mayoría de los lugares, sí. Las licencias de pesos abiertos, como la licencia MIT de DeepSeek, permiten modificar el modelo. Lo que hagas con las respuestas sigue dependiendo de la ley y de los términos del servicio que uses.

¿Dónde puedo usar un DeepSeek abliterado sin instalar nada?

Cleus Smartest v3 es un DeepSeek V4.1 Flash 1017 abliterado que funciona en el navegador. Regístrate gratis, abre el selector de modelos y elige Smartest v3.

Fuentes

• Arditi et al.: Refusal in Language Models Is Mediated by a Single Direction (arXiv, 2024)
• Maxime Labonne: Uncensor any LLM with abliteration (blog de Hugging Face, 2024)
• Heretic: automatic refusal removal for language models (GitHub)
• DeepSeek API change log: V4.1 Flash and V4.1-Flash-1017
• The Next Web: DeepSeek launches V4.1-Flash