O que é um modelo abliterado? Como a remoção de recusas de uma IA funciona de verdade

Se você passou pelo Hugging Face nos últimos tempos, viu a palavra em todo lugar: Llama-3-8B-abliterated, Qwen-abliterated e agora versões abliteradas do DeepSeek. Esses modelos respondem às perguntas que os originais recusam. E fazem isso sem prompt de jailbreak, sem uma nova rodada de treino com dados picantes e, quando o trabalho é bem feito, sem ficar visivelmente mais burros.

Então, o que é exatamente um modelo abliterado? Este guia explica a ideia em português claro, mostra como a abliteração funciona por dentro, conta o que ela custa em qualidade e compara com os outros jeitos de tirar a censura de uma IA. No fim, você vai ver como o Cleus usa a técnica para rodar o Cleus Smartest v3, um DeepSeek V4.1 Flash abliterado.

O que é um modelo abliterado?

Um modelo abliterado é um modelo de linguagem que teve o comportamento de recusa removido dos pesos, com precisão cirúrgica. A palavra vem do inglês abliterated, uma mistura de ablate (remover) com obliterate (apagar por completo). Ela pegou em 2024, depois que o desenvolvedor open source FailSpy publicou ferramentas para fazer isso e Maxime Labonne escreveu um tutorial no Hugging Face que circulou muito.

O ponto principal é o que não muda. O modelo continua com o mesmo conhecimento, a mesma capacidade de raciocínio e o mesmo estilo de escrita. O que ele perde é o reflexo treinado de responder a certos pedidos com "não posso ajudar com isso".

Isso é bem diferente do que as pessoas costumam fazer para contornar as recusas:

• Um jailbreak deixa o modelo intacto e tenta enganá-lo com um prompt esperto. O treino de segurança continua lá, brigando com você a cada turno.
• Um fine-tune sem censura treina o modelo de novo com dados que nunca recusam nada. Funciona, mas o novo treino pode apagar um pouco do que fazia o modelo original ser bom.
• A abliteração edita os pesos diretamente, mas só ao longo da única direção interna que carrega a recusa.

Por que a recusa mora em "uma única direção"

A ideia vem de um artigo de pesquisa de 2024, de Andy Arditi, Neel Nanda e colegas, chamado Refusal in Language Models Is Mediated by a Single Direction. Eles estudaram 13 modelos de chat open source populares, de até 72 bilhões de parâmetros, e encontraram algo surpreendente.

Dentro de um modelo de linguagem, cada palavra que você digita vira uma longa lista de números (um vetor) que atravessa a rede camada por camada. Os pesquisadores descobriram que, nos 13 modelos, a decisão de recusar era carregada principalmente por uma única direção nesse espaço.

A evidência era simples e impressionante:

• Apague essa direção enquanto o modelo está rodando, e ele para de recusar pedidos nocivos.
• Some essa direção a um pedido inofensivo, e o modelo recusa algo totalmente inocente.

Em outras palavras, a recusa não fica espalhada pelo modelo inteiro como o conhecimento. Ela se comporta mais como um interruptor. E, se é um interruptor, dá para tirar.

Como a abliteração funciona, passo a passo

Aqui vai o mesmo processo com um pouco mais de detalhe.

1. Junte dois conjuntos de prompts. Um conjunto tem instruções que o modelo recusa. O outro tem instruções normais, que ele responde sem problema. Os dois passam pelo modelo, e as ativações internas no último token são registradas em cada camada.

2. Tire a diferença. Em cada camada, a ativação média nos prompts "recusados" menos a média nos "respondidos" dá uma direção de recusa candidata.

3. Escolha a melhor candidata. Nem toda direção funciona igualmente bem. Cada candidata é testada: você remove e vê qual delas acaba com as recusas sem deixar as respostas sem sentido. No tutorial do Labonne, com um Llama 3 de 8B, a direção vencedora saiu de uma camada do meio.

4. Remova dos pesos. Dá para remover a direção em tempo de execução, com hooks, mas a abliteração costuma ir um passo além: ela reescreve as matrizes de pesos para que não consigam mais escrever nada ao longo dessa direção. Isso se chama ortogonalização de pesos. O resultado é um arquivo de modelo normal, que qualquer pessoa carrega e roda sem código especial.

5. Teste. Uma boa abliteração é comparada com o original em benchmarks de conhecimento, raciocínio e escrita, além de um teste de recusas. Se a qualidade caiu, quem está fazendo pode tentar outra camada ou uma edição mais leve.

A abliteração deixa o modelo mais burro?

Às vezes, um pouco. A resposta honesta é que depende do cuidado com que ela é feita.

No experimento original do Labonne, em 2024, o modelo de 8B abliterado pontuou abaixo do original em todos os benchmarks que ele rodou. Depois ele "curou" o modelo com uma rodada leve de treino por preferência (DPO) em cerca de 40.000 exemplos, que levou por volta de 6 horas e 45 minutos em seis GPUs A6000. Isso recuperou a maior parte do desempenho perdido, mas a matemática (GSM8K) não voltou.

As ferramentas melhoraram desde então. O Heretic, um projeto open source, automatiza a busca: ele testa várias intensidades de edição e várias camadas, e avalia cada tentativa em duas coisas ao mesmo tempo, a taxa de recusa e a divergência KL em relação ao modelo original. A divergência KL mede o quanto as respostas do modelo se afastam das do original em prompts normais. Poucas recusas com divergência KL baixa quer dizer que você tirou as recusas sem mudar todo o resto. O README do projeto diz que uma execução padrão em um modelo de 4B leva de 30 a 40 minutos em uma única RTX 3090.

A lição prática: uma abliteração descuidada pode estragar um modelo, e uma cuidadosa quase não aparece nas tarefas do dia a dia. Prefira sempre abliterações que foram testadas contra o original.

Abliteração vs. jailbreaks vs. fine-tunes sem censura

Um jeito curto de pensar nos três caminhos:

• Os jailbreaks são de graça e não exigem preparo nenhum, mas são frágeis. Brigam com o modelo a cada mensagem, quebram sempre que o provedor atualiza o modelo e gastam parte da janela de contexto discutindo. As respostas costumam sair cheias de ressalvas ou pela metade.
• Os fine-tunes sem censura são confiáveis depois de prontos, mas precisam de dados de treino e tempo de GPU, e os dados novos podem mudar a personalidade e as habilidades do modelo.
• A abliteração é barata perto de um treino, mira só nas recusas e mantém o comportamento estável em conversas longas, porque não tem mais nada brigando com o modelo.

É por isso que a maioria dos modelos de pesos abertos "sem censura" lançados desde 2024 são abliterações, às vezes seguidas de uma etapa leve de recuperação.

O que a abliteração não faz

Vale deixar os limites claros, porque existe muito hype em volta da palavra.

• Ela não acrescenta conhecimento. Um modelo abliterado sabe exatamente o que o original sabia. Se o original nunca foi treinado em um assunto, a abliteração não vai ensinar.
• Ela não remove todas as recusas. A recusa é na maior parte uma direção, não perfeitamente uma só. Alguns assuntos, e alguns jeitos de perguntar, ainda podem levar um não suave ou um aviso.
• Ela não muda a lei nem as regras do serviço. Um modelo disposto a responder não é a mesma coisa que uma resposta ser legal. Serviços hospedados continuam tendo termos de uso. No Cleus, por exemplo, não entra conteúdo envolvendo menores, nem imagens não consensuais de pessoas reais, nem nada feito para machucar alguém.
• Ela só funciona com pesos abertos. Você precisa do arquivo do modelo de verdade. É por isso que existem modelos Llama, Qwen, Mistral e DeepSeek abliterados, mas nunca um GPT ou um Claude abliterado.

Dá para abliterar um modelo por conta própria?

Com modelos pequenos, dá. Com o abliterator do FailSpy, o notebook do Labonne ou o Heretic, um modelo de 7B ou 8B pode ser abliterado em uma única GPU doméstica em menos de uma hora e depois enviado para o Hugging Face.

Com modelos de fronteira, a história é outra. O DeepSeek V4.1 Flash tem 552 bilhões de parâmetros. Mesmo que só de 8 a 16 bilhões fiquem ativos em cada token, o modelo inteiro precisa ser carregado para ser medido e editado, o que pede um servidor com várias GPUs e centenas de gigabytes de memória, e depois uma rodada completa de testes de qualidade. É trabalho de laboratório, não projeto de fim de semana.

Teste um DeepSeek V4.1 Flash abliterado: Cleus Smartest v3

Se você quer o resultado sem a conta das GPUs, o Cleus Smartest v3 roda uma versão abliterada do DeepSeek-V4.1-Flash-1017, a atualização de outubro do DeepSeek. É o modelo do Cleus com menos recusas, e ainda assim pensa antes de responder, então dá conta de programação, matemática e argumentos longos tão bem quanto de ficção sombria e perguntas adultas diretas.

Você pode usar em chats normais, em histórias longas no modo Story e em chats com criptografia de ponta a ponta. Para conhecer a fundo o modelo base, leia nosso guia sobre como usar o DeepSeek V4.1 Flash sem censura.

Perguntas frequentes sobre modelos abliterados

O que significa "abliterado"?

Descreve um modelo que teve o comportamento de recusa removido por uma edição nos pesos, ao longo da única direção interna que carrega as recusas. O nome mistura "ablate" e "obliterate" e surgiu na comunidade open source em 2024.

Um modelo abliterado é a mesma coisa que um modelo sem censura?

A abliteração é um dos jeitos de fazer um modelo sem censura. Outros são o fine-tuning com dados que nunca recusam nada e a fusão de modelos. A abliteração é popular porque é barata e deixa o resto do modelo quase intacto.

Modelos abliterados são piores que os originais?

Uma abliteração cuidadosa fica muito perto do original em tarefas normais. Uma descuidada pode perder um pouco de qualidade, principalmente em matemática. Quem faz direito mede os benchmarks ou a divergência KL em relação ao original antes de publicar.

Dá para abliterar o ChatGPT ou o Claude?

Não. A abliteração precisa de acesso direto aos pesos do modelo. Modelos fechados como GPT e Claude só rodam nos servidores das empresas donas, então a técnica só vale para modelos de pesos abertos, como Llama, Qwen, Mistral e DeepSeek.

É legal usar um modelo abliterado?

Na maioria dos lugares, sim. Licenças de pesos abertos, como a licença MIT do DeepSeek, permitem modificar o modelo. O que você faz com as respostas continua sujeito à lei e aos termos do serviço que você usa.

Onde posso usar um DeepSeek abliterado sem instalar nada?

O Cleus Smartest v3 é um DeepSeek V4.1 Flash 1017 abliterado que roda no navegador. Crie uma conta grátis, abra o seletor de modelos e escolha Smartest v3.

Fontes

• Arditi et al.: Refusal in Language Models Is Mediated by a Single Direction (arXiv, 2024)
• Maxime Labonne: Uncensor any LLM with abliteration (blog do Hugging Face, 2024)
• Heretic: automatic refusal removal for language models (GitHub)
• DeepSeek API change log: V4.1 Flash and V4.1-Flash-1017
• The Next Web: DeepSeek launches V4.1-Flash