root@unlockedmodels:~$ cat field-guide.md
Refusal comes off
in an afternoon.
Who sets
the rules?공개 가중치의 거부는
반나절이면 지워진다.
규칙은
누가 쓸 것인가.
A field guide for hackers and defenders: which abliterated, heretic and uncensored models exist, what their licenses still forbid, where they run, and how to build guardrails that hold when the model will not refuse.
해커와 방어자를 위한 필드 가이드. 어떤 abliterated·heretic·uncensored 모델이 있는지, 라이선스가 여전히 무엇을 금지하는지, 어디서 돌아가는지, 모델이 거부하지 않을 때도 버티는 가드레일을 어떻게 만드는지.
Landscape, licenses, deployment and defense only. No prompts, jailbreaks or instructions for harmful use. Uploader numbers are self reported unless a paper is cited.지형·라이선스·배포·방어만 다룬다. 유해한 용도의 프롬프트·탈옥·지침은 없다. 논문 인용이 없는 업로더 수치는 자체 주장이다.
Abliteration is a weight edit, not a new model.abliteration은 새 모델이 아니라 가중치 편집이다.
Refusal lives in one direction. Arditi et al. (2024) found that across 13 chat models, the difference between mean activations on harmful and harmless prompts gives a single direction in the residual stream that mediates refusal.
거부는 한 방향에 산다. Arditi 등(2024)은 13개 채팅 모델에서 유해·무해 프롬프트의 평균 활성값 차이가 residual stream에서 거부를 매개하는 방향 하나를 준다는 것을 찾았다.
Project it out and the model stops refusing. Orthogonalizing the weights that write to the residual stream against that direction removes the component everywhere. No retraining, no prompt tricks; the edit ships as new safetensors.
그 방향을 투영으로 빼면 모델은 거부를 멈춘다. residual stream에 쓰는 가중치를 그 방향에 직교화하면 성분이 모든 곳에서 사라진다. 재학습도, 프롬프트 기교도 없다. 결과물은 새 safetensors로 배포된다.
The picture is not quite one line. Later work finds refusal cones with several independent directions, and V4.1 builds already ablate a two dimensional subspace.
실제로는 한 직선이 아니다. 후속 연구는 여러 독립 방향으로 이뤄진 거부 원뿔을 찾았고, V4.1 빌드는 이미 2차원 부분공간을 지운다.
Variants you will meet on the Hub
Hub에서 만나는 변형
Abliteration
Direction ablation from a few hundred contrast prompts. FailSpy, mlabonne and huihui-ai made it routine.
수백 개의 대조 프롬프트로 방향을 지운다. FailSpy, mlabonne, huihui-ai가 일상화했다.
Heretic
p-e-w's tool searches ablation settings that minimize refusals and KL divergence together. Gemma 3 12B: 3 of 100 refusals at KL 0.16.
p-e-w의 도구가 거부 수와 KL 발산을 함께 줄이는 설정을 자동 탐색한다. Gemma 3 12B 기준 100개 중 3개 거부, KL 0.16.
Uncensored fine tunesUncensored 파인튜닝
Retraining on data that does not refuse: Dolphin, Lexi. Changes behavior through training rather than surgery.
거부하지 않는 데이터로 재학습한다. Dolphin, Lexi. 수술이 아니라 학습으로 행동을 바꾼다.
Multi direction다방향
Refusal is a cone, not a line (Wollschläger 2025). Builds that remove a subspace evade single direction detectors.
거부는 직선이 아니라 원뿔이다(Wollschläger 2025). 부분공간을 지운 빌드는 단일 방향 탐지기를 피한다.
The cost비용
KL from the base is the de facto damage metric. Reported losses: logic and coding, calmer talk about risk, and refusals that were useful.
원본 대비 KL이 사실상의 손상 지표다. 보고된 손실은 논리·코딩, 위험에 대한 덜 조심스러운 말투, 쓸모 있던 거부.
R1 1776R1 1776
Perplexity post trained DeepSeek R1 to drop political censorship only. Original repo is no longer public; mirrors remain.
Perplexity가 DeepSeek R1에서 정치 검열만 제거하도록 후학습했다. 원본 저장소는 비공개가 됐고 미러는 남아 있다.
Unlocking removes every brake. The site should decide which brakes stay on.
거부 제거는 모든 브레이크를 지운다. 어떤 브레이크를 남길지는 현장이 정해야 한다.
Abliterated DeepSeek V4.1 has no managed API. Bring the GPUs.거부 제거 DeepSeek V4.1은 관리형 API가 없다. GPU를 가져와야 한다.
V4.1 Flash (MIT, Sep 10, 2026; 1017 update Oct 17) is multimodal with 1M context: 552B backbone plus Engram memory, 763B on the Hub, 8 to 16B active. There is no V4.1 Pro, so every abliterated V4.1 is Flash based.
V4.1 Flash(MIT, 2026-09-10 공개, 10-17 1017 갱신)는 1M 컨텍스트 멀티모달이다. 552B 백본에 Engram 메모리를 더해 Hub 표기 763B, 활성 8–16B. V4.1 Pro는 없어서 거부 제거 V4.1은 모두 Flash 기반이다.
7+ repos, all MIT, mostly ungated. mrfakename (2D refusal subspace, 97 → 4 refusals per 100, self reported), pqhaz Heretic, s-zaizen, distributedcognition, dealignai, huihui-ai, audreyt and orcarouter GGUFs.
저장소 7개 이상, 모두 MIT, 대부분 게이트 없음. mrfakename(2차원 거부 부분공간, 100개 중 97 → 4 거부, 자체 주장), pqhaz Heretic, s-zaizen, distributedcognition, dealignai, huihui-ai·audreyt·orcarouter GGUF.
Together and Fireworks will not take it. Both accept uploads only for architectures they already serve. They host the official V4.1 Flash, not the unlocked builds.
Together와 Fireworks는 받지 않는다. 둘 다 이미 서빙하는 아키텍처만 업로드를 받는다. 공식 V4.1 Flash는 호스팅하지만 거부 제거 빌드는 아니다.
Your own stack works today. The distributedcognition card reports SGLang on 4× H200 at about 101 tok/s single stream with 256K context.
직접 구성한 스택은 지금 된다. distributedcognition 카드는 H200 4장 SGLang에서 단일 스트림 약 101 tok/s, 256K 컨텍스트를 보고한다.
Where it can be served
서빙할 수 있는 곳
| Option | 선택지 | How | 방법 | Hardware | 하드웨어 | Source | 출처 |
|---|---|---|---|---|---|---|---|
| Self host · SGLang | FP8 checkpoint, TP4/EP4, Engram tables in host RAM (SGLang V4.1 dev image)FP8 체크포인트, TP4/EP4, Engram 테이블은 호스트 RAM (SGLang V4.1 dev 이미지) | 4× H200 | card | ||||
| DeepInfra custom LLM | Point at any HF repo, private repos via token임의 HF 저장소 지정, 비공개는 토큰으로 | H200 / B200 | docs | ||||
| RunPod · Modal · Baseten | Your own vLLM or SGLang container on rented GPUs빌린 GPU에서 직접 vLLM·SGLang 컨테이너 | 4–8× H200 | RunPod · Modal · Baseten | ||||
| HF Inference Endpoints | Custom container and custom hardware; no 1 click preset for abliterated repos커스텀 컨테이너와 하드웨어, 거부 제거 저장소는 원클릭 프리셋 없음 | multi H200 | docs | ||||
| Mac · ds4 | 1 bit GGUF fully resident on Metal1비트 GGUF를 Metal에 전부 상주 | 128 GB Mac | card · ds4 | ||||
| llama.cpp PR branch | IQ1 and IQ2 GGUF; not in mainline per the cardsIQ1·IQ2 GGUF, 카드 기준 메인라인 미지원 | 2× H200 | card | ||||
| no | Together · Fireworks · OpenRouter | – | Together · Fireworks |
40 unlocked repos, each one resolved.거부 제거 저장소 40개, 하나씩 확인했다.
Parameters are Hub metadata and can be off for packed formats. License is the base model's: derivatives inherit it whatever the repo tag says.
파라미터 수는 Hub 메타데이터라 패킹 포맷에서는 어긋날 수 있다. 라이선스는 원본 기준이며, 저장소 태그가 뭐라고 하든 파생 모델은 이를 물려받는다.
| Repo | Base | Params | Method | License |
|---|---|---|---|---|
| mrfakename/DeepSeek-V4.1-Flash-1017-abliterated | DeepSeek V4.1-Flash-1017 | 763B MoE (FP8) | abliteration (2-dim subspace) | MIT |
| pqhaz/DeepSeek-V4.1-Flash-1017-heretic | DeepSeek V4.1-Flash-1017 | 763B MoE | Heretic | MIT |
| huihui-ai/Huihui-DeepSeek-V4.1-Flash-1017-abliterated-GGUF | DeepSeek V4.1-Flash-1017 | GGUF IQ1 ~233–250 GB | abliteration (cvector), GGUF | MIT |
| audreyt/DeepSeek-V4.1-Flash-Abliterated-GGUF | DeepSeek V4.1-Flash | GGUF ~106 GiB (ds4) | re-quant of pqhaz / s-zaizen | MIT |
| s-zaizen/DeepSeek-V4.1-Flash-Abliterated | DeepSeek V4.1-Flash | 763B MoE (510 GB FP8) | abliteration | MIT |
| distributedcognition/DeepSeek-V4.1-Flash-abliterated | DeepSeek V4.1-Flash | 763B MoE | abliteration | MIT gated |
| dealignai/DeepSeek-V4.1-Flash-UNCENSORED-FP8 | DeepSeek V4.1-Flash | 763B MoE (FP8) | undisclosed method | MIT |
| huihui-ai/Huihui-DeepSeek-V4-Flash-0731-abliterated-GGUF | DeepSeek V4-Flash-0731 | 284B MoE | abliteration, GGUF | MIT |
| huihui-ai/DeepSeek-R1-Distill-Qwen-32B-abliterated | R1-Distill-Qwen-32B | 32.8B | abliteration | MIT (base) |
| huihui-ai/DeepSeek-R1-Distill-Llama-70B-abliterated | R1-Distill-Llama-70B | 70.6B | abliteration | MIT + Llama 3.3 AUP 2.d AUP 1.h |
| bartowski/perplexity-ai_r1-1776-GGUF | Perplexity R1-1776 (DeepSeek R1) | 671B MoE | post-training (political de-censoring) | MIT original repo offline |
| failspy/Meta-Llama-3-8B-Instruct-abliterated-v3 | Llama 3 8B Instruct | 8.0B | abliteration | Llama 3 AUP 2.d |
| failspy/Meta-Llama-3-70B-Instruct-abliterated-v3.5 | Llama 3 70B Instruct | 70.6B | abliteration | Llama 3 AUP 2.d |
| mlabonne/Meta-Llama-3.1-8B-Instruct-abliterated | Llama 3.1 8B Instruct | 8.0B | abliteration | Llama 3.1 AUP 2.d |
| huihui-ai/Llama-3.3-70B-Instruct-abliterated | Llama 3.3 70B Instruct | 70.6B | abliteration | Llama 3.3 AUP 2.d AUP 1.h |
| Orenguteng/Llama-3.1-8B-Lexi-Uncensored-V2 | Llama 3.1 8B | 8.0B | fine-tune | Llama 3.1 AUP 2.d |
| dphn/Dolphin3.0-Llama3.1-8B | Llama 3.1 8B | 8.0B | fine-tune (Dolphin) | Llama 3.1 AUP 2.d |
| mradermacher/Llama-4-Scout-17B-16E-Instruct-abliterated-GGUF | Llama 4 Scout | 108B MoE (17B active) | abliteration, GGUF | Llama 4 AUP 2.d AUP 1.h |
| Nekotekina/Llama-4-Maverick-17B-128E-Instruct-Projected-Abliterated-GGUF | Llama 4 Maverick | 401B MoE | projected abliteration | Llama 4 AUP 2.d AUP 1.h |
| huihui-ai/Huihui-Qwen3.8-27B-abliterated-GGUF | Qwen3.8-27B | 27.3B | abliteration, GGUF | Apache-2.0 |
| huihui-ai/Huihui-Qwen3.5-27B-abliterated | Qwen3.5-27B | 27.8B | abliteration | Apache-2.0 |
| huihui-ai/Huihui-Qwen3.6-35B-A3B-abliterated-MTP-GGUF | Qwen3.6-35B-A3B | 35.5B MoE | abliteration, GGUF | Apache-2.0 |
| null-space/Qwen3-235B-A22B-abliterated-FP8 | Qwen3-235B-A22B | 235B MoE | abliteration | Apache-2.0 |
| huihui-ai/Huihui-Qwen3-Coder-30B-A3B-Instruct-abliterated | Qwen3-Coder-30B-A3B | 30.5B MoE | abliteration | Apache-2.0 |
| p-e-w/Qwen3-4B-Instruct-2507-heretic | Qwen3-4B-Instruct-2507 | 4.0B | Heretic | Apache-2.0 |
| zetasepic/Qwen2.5-72B-Instruct-abliterated-GGUF | Qwen2.5-72B-Instruct | 72.7B | abliteration, GGUF | Qwen license |
| mlabonne/gemma-3-27b-it-abliterated | Gemma 3 27B it | 27.4B | abliteration | Gemma ToU PUP |
| p-e-w/gemma-3-12b-it-heretic | Gemma 3 12B it | 12.2B | Heretic | Gemma ToU PUP |
| IlyaGusev/gemma-2-9b-it-abliterated | Gemma 2 9B it | 9.2B | abliteration | Gemma ToU PUP |
| wangzhang/gemma-4-31B-it-abliterated | Gemma 4 31B it | 31.3B | abliteration | Apache-2.0 (Gemma 4) |
| huihui-ai/Huihui-gpt-oss-20b-BF16-abliterated | gpt-oss-20b | 20.9B MoE | abliteration | Apache-2.0 |
| p-e-w/gpt-oss-20b-heretic | gpt-oss-20b | 20.9B MoE | Heretic | Apache-2.0 |
| mradermacher/gpt-oss-120b-abliterated-GGUF | gpt-oss-120b | 117B MoE | abliteration, GGUF | Apache-2.0 |
| huihui-ai/Huihui-Mistral-Small-3.2-24B-Instruct-2506-abliterated | Mistral Small 3.2 | 24.0B | abliteration | Apache-2.0 |
| dphn/Dolphin-Mistral-24B-Venice-Edition | Mistral Small 2501 | 24B | fine-tune (Dolphin × Venice) | Apache-2.0 |
| failspy/Codestral-22B-v0.1-abliterated-v3 | Codestral 22B | 22.2B | abliteration | Mistral MNPL non production |
| huihui-ai/Huihui-GLM-4.7-Flash-abliterated | GLM-4.7-Flash | 31.2B | abliteration | MIT |
| dealignai/GLM-5.3-ABLITERATED-NVFP4 | GLM-5.3 | ~391B | abliteration, NVFP4 | GLM-5.3 license (repo tag differs) verify license |
| lhca521/Huihui-Kimi-K2.5-BF16-abliterated-GGUF | Kimi K2.5 | 1.03T MoE | abliteration, GGUF | Modified MIT |
| failspy/Phi-3-mini-128k-instruct-abliterated-v3 | Phi-3 mini 128k | 3.8B | abliteration | MIT |
No repo matches. Clear the filter or try a family name such as qwen.맞는 저장소가 없다. 필터를 지우거나 qwen 같은 계열 이름으로 찾아본다.
Who makes them. huihui-ai is by far the most prolific; failspy and mlabonne did the 2024 work; p-e-w maintains Heretic (AGPL 3.0); mradermacher, bartowski and unsloth requantize. Ollama's huihui_ai namespace carries many abliterated tags, none for V4.x yet.
누가 만드나. huihui-ai가 압도적으로 많고, failspy와 mlabonne이 2024년 작업을 했으며, p-e-w가 Heretic(AGPL 3.0)을 관리한다. mradermacher, bartowski, unsloth는 재양자화를 올린다. Ollama의 huihui_ai 네임스페이스에 거부 제거 태그가 많고, V4.x는 아직 없다.
The weights changed. The license did not.가중치는 바뀌었다. 라이선스는 그대로다.
"…activities that present a risk of death or bodily harm to individuals, including use of Meta Llama 3 related to the following: … d. Operation of critical infrastructure, transportation technologies, or heavy machinery" Llama AUP 2.d · Llama 3 · Llama 4
Any Llama derivative, unlocked or not, is outside the license as a plant control assistant.
Llama 파생 모델은 거부 제거 여부와 상관없이 공장 제어 보조 도구로 쓰면 라이선스 밖이다.
Llama 3.3 / 4 · AUP 1.h
"Engage in any action, or facilitate any action, to intentionally circumvent or remove usage restrictions or other safety measures, or to enable functionality disabled by Meta" llama.com/llama4/use-policy
Gemma 2 / 3 · Prohibited Use Policy
"Attempts to override or circumvent safety filters or intentionally drive Gemma or Model Derivatives to act in a manner that contravenes this Gemma Prohibited Use Policy." ai.google.dev/gemma/prohibited_use_policy · Gemma 4 moved to Apache 2.0Gemma 4는 Apache 2.0으로 전환
Permissive families
허용적 계열
| Family | License | Terms that still matter | 여전히 중요한 조건 |
|---|---|---|---|
| DeepSeek V3 · R1 · V4 · V4.1 | MIT | No use restrictions in the license.라이선스상 용도 제한 없음. card | |
| Qwen3 to 3.8 | Apache 2.0 | Qwen2.5 72B uses the separate Qwen license.Qwen2.5 72B는 별도 Qwen 라이선스. license | |
| gpt-oss | Apache 2.0 | Usage policy asks only for compliance with applicable law.사용 정책은 관련 법 준수만 요구. USAGE_POLICY | |
| Mistral Small · Nemo | Apache 2.0 | Codestral 22B is MNPL, non production only.Codestral 22B는 MNPL, 비프로덕션 전용. MNPL | |
| Kimi K2.x | Modified MIT | Attribution above 100M MAU or $20M monthly revenue.MAU 1억 또는 월매출 2천만 달러 초과 시 표기 의무. | |
| GLM 5.3 | GLM license | Some derivative repos are tagged MIT; check the base.일부 파생 저장소가 MIT로 잘못 태그됨, 원본 확인. |
Hosts still apply rules. Hugging Face's content policy restricts content promoting high risk illegal activity, and it has disabled at least one abliterated repo built for offensive cyber use. OpenRouter's terms forbid red teaming models without written approval. Base repos for Llama 3.3, Llama 4 and Gemma 3 are gated; the derivatives checked here are not.
호스트 규칙도 그대로다. Hugging Face 콘텐츠 정책은 고위험 불법 행위를 조장하는 콘텐츠를 제한하며, 공격용 사이버 목적의 거부 제거 저장소를 최소 하나 비활성화했다. OpenRouter 약관은 서면 승인 없는 레드팀을 금지한다. Llama 3.3·4와 Gemma 3 원본은 게이트가 있지만, 여기서 확인한 파생 모델은 없다.
Assume the attacker already has one. Defend outside the weights.공격자는 이미 갖고 있다고 가정한다. 가중치 밖에서 막는다.
- 01Unlocked baseline거부 제거 기준선Your stack's worst case. Red team against it, not only the aligned base.내 스택의 최악 버전. 정렬된 원본만이 아니라 이것으로도 레드팀한다.
- 02Your app내 앱Tools, data and actions the model can reach.모델이 닿는 도구·데이터·행동.
- 03Guard on your policy내 정책을 읽는 가드A classifier on input and output that reads rules you wrote.내가 쓴 규칙을 읽는 입출력 분류기.
- 04Grader채점기Scores under refusal and over refusal together, every release.과소·과잉 거부를 함께, 릴리스마다 채점.
Red team baseline레드팀 기준선
Aligned models refuse to write the unsafe responses that safety classifiers need as training data. NVIDIA's Aegis 2.0 used an unaligned model for exactly that.
정렬된 모델은 안전 분류기 학습에 필요한 위험 응답을 쓰기를 거부한다. NVIDIA Aegis 2.0이 비정렬 모델을 쓴 이유다.
Guardrails you own내가 소유한 가드레일
Several guards read your written policy at inference time, so the rules are yours, not the vendor's.
일부 가드는 추론 시점에 내가 쓴 정책을 읽는다. 규칙의 주인이 공급자가 아니라 나다.
Both failure modes두 가지 실패
A stack that never refuses and one that refuses every legitimate request both fail. Score them together.
아무것도 거부하지 않는 스택도, 정당한 요청을 다 거부하는 스택도 실패다. 함께 채점한다.
- Harm위해: HarmBench · StrongREJECT · AgentHarm · WMDP
- Over refusal과잉 거부: XSTest · OR-Bench · SORRY-Bench
Detect the edit편집 탐지
Diff the candidate against its claimed base and probe the refusal gap in activations. A 2026 preprint combining both reports AUROC 0.95; multi direction edits evade the activation signal.
후보를 주장된 원본과 diff 하고 활성값의 거부 격차를 측정한다. 둘을 합친 2026 프리프린트는 AUROC 0.95, 다방향 편집은 활성 신호를 피한다.
- Two signal audit · Activation analysis preprints
Provenance출처 증명
Sign the weights you deploy and verify at load. A signature proves who published the files and that they were not altered. It says nothing about safety; pair it with evals. base_model on a card is self declared.
배포하는 가중치에 서명하고 로드 시 검증한다. 서명은 누가 올렸고 바뀌지 않았음만 증명한다. 안전성은 평가로 본다. 카드의 base_model은 자기 신고다.
Harder to strip지우기 어려운 안전
If you publish weights: filter hazardous pretraining data, spread refusal across representations, or train against tampering. None is unbreakable; layer them.
가중치를 공개한다면 위험 사전학습 데이터 필터링, 표현 전반에 거부 분산, 변조 저항 학습. 어느 것도 완벽하지 않으니 겹친다.
Same runtimes as any open model. Memory is the wall.런타임은 다른 오픈 모델과 같다. 벽은 메모리다.
Rule of thumb at 4 bit: parameters in billions × 0.6 GB, plus 1 to 2 GB headroom.
4비트 경험칙: 파라미터(B) × 0.6 GB, 여유 1–2 GB.
| Size | Q4 weights | Typical hardware | 일반 하드웨어 | Runtimes | 런타임 |
|---|---|---|---|---|---|
| 4–8B | ~3–5 GB | 8 GB GPU · 16 GB Mac | Ollama · LM Studio · llama.cpp · MLX | ||
| 14B | ~9–12 GB | 12–16 GB GPU | Ollama · llama.cpp · vLLM | ||
| 24–32B | ~15–20 GB | 24 GB GPU · 32 GB Mac | Ollama · llama.cpp · vLLM | ||
| 70B | ~42 GB | 2× 24 GB · 64 GB Mac | vLLM · llama.cpp | ||
| 235–400B MoE | ~140–240 GB | 192–256 GB Mac · multi GPU192–256 GB Mac · 멀티 GPU | vLLM · SGLang · llama.cpp | ||
| DeepSeek V4.1 Flash | 106 GiB – 510 GB | 128 GB Mac · 4× H200 | ds4 · SGLang · llama.cpp PR |
Managed platforms that take your own repo
내 저장소를 올릴 수 있는 관리형 플랫폼
| Platform | Any HF repo | 임의 HF 저장소 | Notes | 비고 |
|---|---|---|---|---|
| DeepInfra | yes | Any HF LLM, private repos via token, scales to zero임의 HF LLM, 토큰으로 비공개 저장소, 0까지 축소 | ||
| RunPod Serverless | yes | Any vLLM supported model; GGUF via the Ollama workervLLM 지원 모델 전부, GGUF는 Ollama 워커 | ||
| Modal | yes | Your own vLLM server, per second GPU billing직접 띄운 vLLM, 초 단위 GPU 과금 | ||
| Baseten | yes | Truss · vLLM / SGLang / TRT-LLM · H100 to B300 | ||
| HF Inference Endpoints | yes | vLLM, TGI or a custom containervLLM, TGI, 커스텀 컨테이너 | ||
| Replicate | yes | Package with Cog; up to 8× H100Cog 패키징, 최대 H100 8장 | ||
| Featherless | catalog | Serves many abliterated fine tunes up to 72B through HF Inference Providers72B까지 많은 거부 제거 모델을 HF Inference Providers로 서빙 | ||
| Together · Fireworks | limited | Only architectures they already support이미 지원하는 아키텍처만 | ||
| OpenRouter · Venice | no | Curated catalogs; Venice serves open models without an added filter큐레이션 카탈로그, Venice는 추가 필터 없이 오픈 모델 서빙 |
On the plant floor, refusal policy belongs to the site.공장 현장에서 거부 정책의 주인은 현장이다.
A working hypothesis from Team Attention, written so it can be tested.
Team Attention의 작업 가설이다. 검증할 수 있도록 적는다.
1 · Provider policy can block real work1 · 공급자 정책이 실제 업무를 막는다
Llama forbids operating heavy machinery outright. Hosted policies require human review for high stakes automation. In a 2026 study of military domain queries, hard refusal of legitimate requests reached 98.2%. Rules written for the public do not fit a plant with its own permits and interlocks.
Llama는 중장비 운영을 아예 금지한다. 호스팅 정책은 고위험 자동화에 사람 검토를 요구한다. 2026년 군사 도메인 연구에서 정당한 요청의 하드 거부율은 98.2%였다. 대중을 위해 쓴 규칙은 자체 인허가와 인터록을 갖춘 공장에 맞지 않는다.
2 · Abliteration is the wrong fix2 · abliteration은 잘못된 해법이다
It deletes the refusals a plant wants: bypassing an interlock, skipping a lockout tagout step, a setpoint outside the safe operating envelope. It also shifts how the model reasons about risk. One generic policy becomes no policy.
공장이 원하는 거부까지 지운다. 인터록 우회, LOTO 절차 생략, 안전 운전 범위 밖 설정값. 위험을 추론하는 방식도 바뀐다. 일반 정책 하나가 정책 없음이 된다.
3 · Write the policy, then score against it3 · 정책을 쓰고, 그것으로 채점한다
Start from the plant's own safety rules, turn them into a written policy, build a site safety grader that scores under and over refusal, then realign. The model stays advisory; safety functions stay in certified systems.
공장의 안전 규칙에서 출발해 정책 문서로 만들고, 과소·과잉 거부를 채점하는 현장 안전 채점기를 만든 뒤 재정렬한다. 모델은 조언자로 남고, 안전 기능은 인증된 시스템에 남는다.
Pipeline
파이프라인
- 01Site rules현장 규칙Procedures, safe limits, permits, SIS functions. Owned by the plant's safety engineers.절차서, 안전 한계, 작업 허가, SIS 기능. 공장 안전 엔지니어 소유.
- 02Policy as text정책 문서Allow, must refuse, must escalate, each with a reason. Versioned like a procedure.허용·반드시 거부·반드시 상신을 이유와 함께. 절차서처럼 버전 관리.
- 03Site safety grader현장 안전 채점기Cases from real operations. Scores under refusal and over refusal together.실제 운영에서 뽑은 사례. 과소·과잉 거부를 함께 채점.
- 04Realign and gate재정렬과 게이트Policy reading guard, fine tune against the grader, human sign off, safe state on disconnect.정책 읽는 가드, 채점기 기반 파인튜닝, 사람 승인, 연결 끊김 시 안전 상태.
Anchors in existing rules
기존 규칙의 근거
- EU AI Act Annex III (2) : AI as a safety component in critical infrastructure is high risk.: 중요 인프라의 안전 구성요소인 AI는 고위험.
- IET, AI in Functional Safety : AI should not directly implement IEC 61508 safety functions; its effect on safety must still be assessed.: AI는 IEC 61508 안전 기능을 직접 구현하지 말고, 안전 영향은 평가해야 한다.
- Anthropic 2026 usage policy update : an operator must be able to observe and stop model driven hardware, which holds a safe state on disconnect.: 모델이 구동하는 하드웨어를 운영자가 관찰·정지할 수 있어야 하고, 연결이 끊기면 안전 상태를 유지해야 한다.
- NIST AI RMF · ISO/IEC 42001 : a management system for owning the policy.: 정책을 소유하는 관리 체계.
- Constitutional Classifiers · gpt-oss-safeguard : classifiers built from a written policy, which can be the site's.: 명문화된 정책으로 만든 분류기. 그 정책이 현장의 것일 수 있다.
- Refusals in military LLMs · ADMITBench preprints : domain over refusal measured; industrial advice judged against IEC 61508 and 61511.: 도메인 과잉 거부 측정, 산업 조언을 IEC 61508·61511 기준으로 판정.
Questions hackers actually ask.해커들이 실제로 묻는 것.
What is an abliterated model?abliterated 모델이 뭔가?
An open weight model whose refusal direction was projected out of its weights after release. It is a weight edit, not a new model, and it inherits the base model's license.
공개 후 거부 방향을 가중치에서 투영으로 제거한 오픈 웨이트 모델이다. 새 모델이 아니라 가중치 편집이고, 원본 라이선스를 물려받는다.
Where can abliterated DeepSeek V4.1 run?거부 제거 DeepSeek V4.1은 어디서 돌리나?
No managed API serves it as of 2026-10-27. Self host on about 4× H200 with SGLang, use a bring your own repo service such as DeepInfra, RunPod, Modal or Baseten, or run the 1 bit build on a 128 GB Mac.
2026-10-27 기준 그대로 서빙하는 관리형 API는 없다. H200 4장 SGLang 자체 호스팅, DeepInfra·RunPod·Modal·Baseten 같은 저장소 직접 배포 서비스, 또는 128 GB Mac에서 1비트 빌드.
Can an abliterated Llama run a factory?거부 제거 Llama로 공장을 돌려도 되나?
No. Llama AUP item 2.d forbids operating critical infrastructure, transportation technologies or heavy machinery, and Llama 3.3 and 4 also forbid removing safety measures (item 1.h). Pick an MIT or Apache base.
안 된다. Llama AUP 2.d가 중요 인프라·운송·중장비 운영을 금지하고, Llama 3.3·4는 안전장치 제거 자체도 금지한다(1.h). MIT나 Apache 기반을 고른다.
Is it legal to download one?내려받아도 합법인가?
This page is not legal advice. Weights are distributed under their base license and the host's terms; what you do with them is governed by those terms and your local law. Check both before use.
이 페이지는 법률 자문이 아니다. 가중치는 원본 라이선스와 호스트 약관 아래 배포되고, 사용은 그 조건과 현지 법을 따른다. 쓰기 전에 둘 다 확인한다.
Does abliteration hurt the model?abliteration이 모델을 망가뜨리나?
Usually a little, sometimes more. KL divergence from the base is the common damage metric. Reported costs include logic and coding loss, calmer talk about risk, and the loss of useful refusals.
보통 조금, 가끔은 크게. 원본 대비 KL 발산이 흔한 손상 지표다. 논리·코딩 저하, 위험에 덜 조심스러운 말투, 쓸모 있던 거부의 상실이 보고됐다.
How can I tell if a checkpoint was abliterated?체크포인트가 거부 제거됐는지 어떻게 아나?
Diff it against the claimed base and measure the refusal gap in activations. A 2026 preprint combining both reports AUROC 0.95. Do not trust base_model fields; they are self declared.
주장된 원본과 diff 하고 활성값의 거부 격차를 잰다. 둘을 합친 2026 프리프린트는 AUROC 0.95. base_model 필드는 자기 신고라 믿지 않는다.
Should defenders use unlocked models?방어자가 거부 제거 모델을 써야 하나?
For testing, yes: they are the worst case your guardrails must survive, and they can generate the unsafe examples a classifier learns from. Keep them in an isolated eval environment, never in production paths.
테스트용으로는 그렇다. 가드레일이 버텨야 할 최악의 경우이고, 분류기가 배울 위험 예시를 만들 수 있다. 격리된 평가 환경에만 두고 프로덕션 경로에는 넣지 않는다.
Why should a plant write its own refusal policy?왜 공장이 거부 정책을 직접 써야 하나?
Provider policies are written for the public and can block legitimate industrial work, while abliteration removes every refusal including the ones that keep people safe. A site policy scored by a site safety grader keeps the brakes that matter.
공급자 정책은 대중을 위해 쓰여 정당한 산업 업무를 막을 수 있고, abliteration은 사람을 지키는 거부까지 모두 지운다. 현장 안전 채점기로 검증한 현장 정책이 중요한 브레이크를 남긴다.
Know what is out there
before it reaches your stack.내 스택에 닿기 전에
무엇이 나와 있는지 안다.
40 repos, their licenses and where they run, checked against the Hub on 2026-10-27.
저장소 40개와 라이선스, 실행 위치를 2026-10-27 Hub 기준으로 확인했다.
Browse 40 models모델 40개 보기Sources출처
Papers and primary pages. Items marked preprint were confirmed to exist but are not peer reviewed.
논문과 1차 페이지. preprint 표시는 존재만 확인했고 동료 심사 전이다.
- Arditi et al. 2024, Refusal Is Mediated by a Single Direction
- Zou et al. 2023, Representation Engineering
- Wollschläger et al. 2025, Geometry of Refusal
- Qi et al. 2023, Fine tuning Compromises Safety
- Qi et al. 2024, Shallow Safety Alignment
- Tamirisa et al. 2024, Tamper Resistant Safeguards
- O'Brien et al. 2025, Deep Ignorance
- Zou et al. 2024, Circuit Breakers
- Abu Shairah et al. 2025, Defense Against Abliteration
- Young 2025, Comparative Analysis of Abliteration Methods
- Surgical Refusal Ablation (2026) preprint
- Abliteration Is Not a Scalpel (2026) preprint
- Refusals in Military LLMs (2026) preprint
- Has This Checkpoint Been Abliterated? (2026) preprint
- Uncensored Open Weight Models: Redistribution (2026) preprint
- Constitutional Classifiers (2025)
- mlabonne, Uncensor any LLM with abliteration
- p-e-w/heretic · FailSpy/abliterator
- deepseek-ai/DeepSeek-V4.1-Flash · vLLM DeepSeek V4
- Llama 3 AUP · Llama 4 AUP
- Gemma Prohibited Use Policy · Gemma Terms
- Hugging Face Content Policy
- OpenAI Usage Policies · Anthropic Usage Policy