Cerchi “Qwen uncensored” su Hugging Face e ti escono decine di risultati. Uno si chiama abliterated, un altro Josiefied, un altro ancora Gabliterated, poi ci sono i Dolphin, gli uncensored secchi e i NSFW.
Sembrano sinonimi. Non lo sono. Dietro quei nomi ci sono tecniche diverse, con effetti diversi sul modello e livelli di rischio molto diversi tra loro.
Ho passato in rassegna le schede ufficiali, gli strumenti che le producono e il paper accademico che li ha messi a confronto. Quello che ne esce è più interessante del previsto, e tocca una domanda che riguarda chiunque scarichi modelli aperti: quanto è solido l’allineamento di sicurezza di un modello, una volta che i pesi sono pubblici?
La risposta breve: molto meno di quanto si pensi.
Le tre cose che chiamiamo “uncensored”
Il termine è un ombrello che copre tre famiglie tecnicamente distinte. Confonderle è l’errore più comune.
- Modifica dei pesi (abliterazione). Si interviene direttamente sui parametri del modello per rimuovere il meccanismo del rifiuto. Nessun riaddestramento.
- Riaddestramento su dati filtrati. Si prende il modello e lo si addestra ancora su un insieme di dati da cui sono stati tolti gli esempi di rifiuto. È la strada della famiglia Dolphin.
- Istruzioni di sistema. Nessuna modifica al modello: si scrive un prompt che gli dice di non rifiutare. È il metodo più debole e il più reversibile.
Solo la prima tocca davvero il modello. Le pagine che si posizionano su queste ricerche quasi mai dicono di quale famiglia stanno parlando.
L’abliterazione spiegata senza matematica
Il punto di partenza è uno studio del 2024 con un titolo che dice già tutto: il rifiuto nei modelli linguistici è mediato da una singola direzione.
Detto in italiano corrente: dentro il modello, mentre elabora una richiesta, esiste una specie di segnale che si accende quando la richiesta è problematica. È quel segnale a produrre la risposta “non posso aiutarti con questo”. E - questa è la scoperta - non è sparso ovunque: è una direzione precisa e identificabile.
L’abliterazione fa esattamente questo: trova quella direzione e la toglie dai pesi. Sulla versione senza freni di Qwen3.8 27B l’operazione ha toccato 131 matrici del modello. Nessun parametro riaddestrato, nessun dato aggiuntivo.
Un’analogia: non è come rieducare qualcuno, è come tagliare un cavo. Il meccanismo che produce il rifiuto c’è ancora, ma non arriva più corrente.
Ti sta piacendo?
Ricevi una guida pratica ogni settimana. AI, tool e automazioni.
I numeri: cosa succede davvero
La scheda della versione senza freni di Qwen3.8 27B pubblica una valutazione prima e dopo. Sono questi i dati che rendono la faccenda seria.
Leggi la prima riga e poi le altre tre. Il rifiuto crolla da quasi cento a quasi zero, e la capacità del modello resta praticamente identica, entro un punto e mezzo su ogni prova.
C’è anche un dettaglio quasi comico: dal 30 al 50% delle risposte “senza freni” continua a premettere un breve avvertimento prima di rispondere comunque. È un residuo dell’addestramento, non un rifiuto.
E con la modalità di ragionamento attiva il modello non rifiuta quasi mai, sotto l’1,7%. Il che suggerisce una cosa non banale: è nel ragionamento che il rifiuto viene deciso.
Il glossario: cosa vuol dire ogni etichetta
Ecco cosa trovi effettivamente su Hugging Face e cosa significa.
Gli strumenti che eseguono l’operazione sono almeno quattro - oltre a Heretic esistono DECCP, ErisForge e abliterator - e producono risultati misurabilmente diversi tra loro.
Quando togliere i freni diventa un comando solo
Fino a poco tempo fa serviva capire come è fatto dentro un modello e regolare i parametri a mano. Heretic ha reso il processo automatico.
Lo strumento tratta la rimozione del rifiuto come un problema di ottimizzazione: cerca da solo la configurazione che minimizza due cose insieme, il numero di rifiuti sulle richieste problematiche e la distanza dal modello originale su quelle normali. Il secondo obiettivo serve a non danneggiare il modello mentre lo si modifica.
Il risultato: su un modello da 8 miliardi di parametri l’operazione richiede meno di un’ora su una scheda grafica di fascia consumer, e la qualità è pari o migliore di quella ottenuta a mano da esperti. Su Gemma 3 12B lo strumento ha ottenuto 3 rifiuti su 100 con una distanza dall’originale di 0,16, contro lo 0,45-1,04 dei metodi manuali.
Il dato che pesa più di tutti: la comunità ha già pubblicato oltre cinquemila modelli fatti con questo strumento, e il progetto ha superato le 7.900 stelle su GitHub.
Non serve essere ricercatori. Serve saper usare la riga di comando.
Cosa si rompe davvero
Un lavoro accademico ha messo a confronto quattro strumenti diversi su sedici modelli, e ha trovato la cosa più interessante di tutta questa storia.
La capacità che soffre di più non è la conoscenza generale né la comprensione del testo. È la matematica. I punteggi sui problemi matematici oscillano moltissimo a seconda dello strumento e del modello: da un miglioramento di 1,5 punti fino a un crollo di quasi 19 punti su un modello da 9 miliardi di parametri, cioè oltre un quarto della capacità originale.
Gli autori avanzano una spiegazione che vale la pena tenere a mente: i circuiti del ragionamento matematico e quelli del rifiuto potrebbero in parte sovrapporsi. Se è così, togliere i freni non è mai un’operazione a costo zero - solo che il costo si paga in un posto dove nessuno guarda.
Il confronto ha trovato anche differenze notevoli di copertura: uno strumento ha funzionato su tutti e sedici i modelli, un altro solo su cinque. Chi legge “abliterated” nel nome di un modello non sa quale sia stato usato, né con quale esito.
Perché questo riguarda il dibattito sui pesi aperti
Qui sta il punto che va oltre la curiosità tecnica.
Le aziende che rilasciano modelli aperti investono risorse considerevoli nell’allineamento di sicurezza. Quei numeri là sopra dicono che quel lavoro si può disfare in meno di un’ora, su hardware da poche centinaia di euro, senza capire come funziona il modello, e senza intaccarne le capacità.
Non è una notizia che fa piacere a nessuna delle due parti del dibattito. Chi difende i pesi aperti non può sostenere che l’allineamento resti in piedi una volta pubblicati. Chi li vuole chiusi deve fare i conti col fatto che la tecnica è pubblica dal 2024, documentata in un paper peer-reviewed, e ormai implementata in almeno quattro strumenti diversi.
La conclusione operativa è una sola, e vale per chiunque costruisca qualcosa sopra un modello aperto: l’allineamento del modello non è il tuo strato di sicurezza. Se il tuo prodotto ha bisogno di filtri, quei filtri li devi mettere tu, fuori dal modello. Contare su quelli di serie significa contare su qualcosa che si stacca con un comando.
Quando serve e quando è la risposta sbagliata
Questi modelli hanno usi legittimi, e le schede ufficiali sono esplicite nel delimitarli: ricerca sulla sicurezza, studio del meccanismo del rifiuto, interpretabilità, test dei propri sistemi di filtro. Un modello senza freni è il termine di paragone corretto per misurare quanto intercetta il tuo strato di moderazione.
Fuori da lì è la scelta sbagliata, e per motivi pratici prima ancora che etici.
Non mettercelo davanti agli utenti. Le schede lo dicono senza giri di parole: nessuna protezione integrata, e la responsabilità per quello che genera è interamente di chi lo usa. La licenza Apache 2.0 non trasferisce niente a nessun altro.
Non usarlo come agente autonomo. Questo è il punto che mi preoccupa di più. Le stesse schede avvertono che visione, uso degli strumenti e contesto lungo restano intatti, quindi i rischi si estendono all’uso agentico. Se colleghi un modello senza freni a un harness con accesso a shell e filesystem hai costruito la combinazione peggiore possibile: un sistema che esegue comandi sulla tua macchina e non ha nessun motivo per dire di no.
Se ti serve solo un modello meno rigido, un’istruzione di sistema ottiene di più con molto meno rischio di una modifica ai pesi.
Un’ultima annotazione pratica: verifica sempre i numeri sulle schede. Su una di quelle che ho consultato la dimensione dichiarata del modello era di 5 miliardi di parametri per un 27B, e lo spazio su disco riportato in due punti della stessa pagina differiva di sei volte. Metadati sbagliati sono la norma in questo angolo dell’ecosistema.
In sintesi
“Uncensored” non è una caratteristica, è una famiglia di tecniche diverse con conseguenze diverse. L’abliterazione funziona, è documentata, è automatizzata, ed è alla portata di chiunque sappia aprire un terminale.
Il dato che resta è quello sull’allineamento: si stacca senza rompere il modello. Chi costruisce sistemi seri su modelli aperti farebbe bene a partire da quel presupposto invece di ignorarlo.
Che differenza c’è tra abliterated e uncensored?
Abliterated indica una tecnica precisa: la rimozione della direzione del rifiuto dai pesi del modello. Uncensored è un termine generico che può riferirsi a quella tecnica, a un riaddestramento su dati filtrati, o anche solo a un’istruzione di sistema. Va sempre verificato nella scheda del modello.
Cos’è Heretic?
Non è un modello ma lo strumento che li produce: automatizza la rimozione dell’allineamento di sicurezza cercando da solo i parametri migliori. La comunità ha già pubblicato oltre cinquemila modelli realizzati con questo strumento.
Un modello abliterato diventa più stupido?
Sulle prove di conoscenza generale quasi no: le differenze restano entro un punto e mezzo. Ma il ragionamento matematico è molto più sensibile, con cali che in un caso hanno superato i 18 punti. Un lavoro accademico ipotizza che i circuiti della matematica e quelli del rifiuto si sovrappongano in parte.
È legale scaricarli?
I pesi sono in genere rilasciati con licenza Apache 2.0, quindi il download e l’uso sono consentiti. Ma la responsabilità per ciò che il modello genera resta interamente di chi lo usa, e la licenza non la trasferisce a nessun altro. Le schede ufficiali li dichiarano strumenti di ricerca, non prodotti.
Posso usarne uno come agente autonomo?
È la combinazione più rischiosa possibile e le schede stesse lo segnalano: uso degli strumenti, visione e contesto lungo restano intatti, quindi i rischi si estendono all’uso agentico. Un modello senza freni collegato a shell e filesystem non ha nessun motivo per rifiutare un comando distruttivo.
Che differenza c’è con i modelli Dolphin?
Dolphin segue la strada del riaddestramento su dati ripuliti dagli esempi di rifiuto, non della modifica diretta dei pesi. Il risultato pratico è simile, il metodo è completamente diverso, e anche in quel caso la scheda ufficiale invita a costruirsi il proprio strato di sicurezza prima di esporre il modello a qualcuno.
Cosa dovrebbe fare chi costruisce prodotti su modelli aperti?
Partire dal presupposto che l’allineamento del modello non è uno strato di sicurezza affidabile. Se il prodotto ha bisogno di filtri, vanno costruiti fuori dal modello: moderazione degli input, controllo degli output, limiti sui permessi degli strumenti.
Per la stesura dell’articolo sono state consultate le schede ufficiali dei modelli, la documentazione degli strumenti e il lavoro accademico di confronto.
Scheda della versione senza freni di Qwen3.8 27B
Scheda ufficiale con la descrizione dell’intervento sui pesi, le avvertenze sui rischi, i limiti d’uso dichiarati e i risultati delle verifiche sulle diverse precisioni.
Apri fonteHeretic, lo strumento di abliterazione automatica
Repository ufficiale con la descrizione del metodo di ottimizzazione, i modelli supportati e i confronti indipendenti rispetto agli altri strumenti della stessa categoria.
Apri fonteConfronto tra i metodi di abliterazione
Studio comparativo su quattro strumenti applicati a sedici modelli, con misure di conservazione delle capacità e il dato sulla sensibilità del ragionamento matematico.
Apri fonteModello originale Qwen3.8-27B
Repository del modello di partenza con licenza Apache 2.0, utile come riferimento per confrontare capacità e comportamento rispetto alle versioni modificate.
Apri fonteSe costruisci sistemi agentici su modelli aperti e vuoi ragionare su dove mettere i controlli, ne parlo nella newsletter settimanale su francescogruner.it. E se hai fatto prove su questi modelli con risultati diversi dai numeri qui sopra, scrivimi: su questo terreno i dati indipendenti scarseggiano.
Aggiungi francescogruner.it come fonte preferita
Se leggi spesso i miei articoli su AI, automazione e tecnologia, ora puoi dire a Google che vuoi vedere più spesso i contenuti di francescogruner.it tra le notizie.
