Los modelos de lenguaje abiertos a los que se les ha quitado la capacidad de negarse, conocidos como «abliterados» o «sin censura», se cuentan ya por miles en Hugging Face, y muchas de sus fichas presumen de una tasa de negativas cercana a cero. El problema es cómo se mide esa cifra: en la mayoría de los casos se calcula buscando palabras como «lo siento» o «no puedo» en las respuestas, un método que la investigación académica lleva tiempo señalando como poco fiable. El resultado es que el nombre del archivo y el número de la ficha dicen menos de lo que parece sobre lo que el modelo hace en realidad.
Las claves de los modelos sin censura y sus métricas en 20 segundos
- La abliteración elimina de los pesos la dirección asociada a las negativas.
- Heretic automatiza el proceso y ya hay miles de modelos generados con él.
- Sus cifras de negativas se basan en detectar palabras clave en las respuestas.
- Estudios como StrongREJECT muestran que ese método distorsiona los resultados.
Qué es la abliteración
La técnica parte de un trabajo publicado en 2024 por Andy Arditi y otros investigadores, titulado Refusal in Language Models Is Mediated by a Single Direction y presentado en NeurIPS. El estudio mostró que, en una docena de modelos abiertos populares, la conducta de negarse a responder se asocia a una única dirección en el espacio interno de activaciones del modelo. Si esa dirección se calcula comparando cómo reacciona el modelo ante peticiones dañinas e inofensivas y después se proyecta fuera de los pesos, el modelo deja de negarse en gran medida sin necesidad de reentrenarlo.
La comunidad bautizó el proceso como abliteración y empezó a publicar versiones modificadas de modelos de Meta, Google, Alibaba o Mistral. Investigaciones posteriores, como la de Wollschläger y otros presentada en ICML 2025, apuntan a que la negativa no vive en una sola dirección sino en estructuras de varias dimensiones, lo que explicaría por qué los resultados de estas modificaciones varían tanto de un modelo a otro.
Heretic y el problema de medir las negativas
Buena parte de los modelos actuales salen de Heretic, una herramienta de código abierto con licencia AGPL-3.0 creada por Philipp Emanuel Weidmann. Automatiza la abliteración con un optimizador bayesiano (Optuna) que busca a la vez dos objetivos: reducir el número de negativas y minimizar la divergencia KL respecto al modelo original, una medida de cuánto se aparta del comportamiento inicial en peticiones inofensivas. Su documentación compara, por ejemplo, Gemma 3 12B de Google, que rechaza 97 de 100 peticiones dañinas en su versión original, con varias versiones abliteradas que bajan a 3 de 100, la de Heretic con la menor divergencia.
El matiz está en cómo se cuentan esas negativas. Según la propia documentación del proyecto, el evaluador revisa cada respuesta en busca de marcadores como «sorry», «I cannot» o «unethical» y la considera una negativa si encuentra alguno. Eso tiene dos efectos. Un modelo que responde a todo pero añade una advertencia legal puede contarse como si se hubiera negado, y el optimizador tiende a premiar la ausencia de esas palabras más que el comportamiento real. Es un caso de manual de la ley de Goodhart: cuando una medida se convierte en objetivo, deja de ser una buena medida. Heretic no lo oculta y reconoce que las métricas automáticas no sustituyen la evaluación humana, pero las fichas de muchos modelos derivados reproducen la cifra sin ese contexto.
La investigación respalda esa cautela. El trabajo StrongREJECT, de investigadores vinculados a Berkeley, demostró que los evaluadores que se limitan a detectar si hay o no una negativa explícita sobrestiman de forma significativa la eficacia de los ataques de jailbreak frente al juicio humano. Su alternativa puntúa además si la respuesta es específica y útil, y concluye que muchas técnicas que consiguen que un modelo no se niegue también reducen su capacidad, de forma que las respuestas resultantes suelen ser menos útiles de lo que aparentan.
El coste en capacidad y lo que implica para las empresas
La otra pregunta es si quitar las negativas empeora el modelo. El estudio de Arditi observó una caída en TruthfulQA en todos los modelos probados, aunque los propios autores advierten de que esa prueba incluye temas sensibles donde un modelo con y sin salvaguardas puede responder distinto de forma legítima. Comparativas independientes posteriores apuntan a que el razonamiento matemático es lo que más sufre, con variaciones muy distintas según el modelo base y la herramienta. Con muestras pequeñas, es difícil distinguir un deterioro real del ruido estadístico.
Para las organizaciones, la lección es doble. Por un lado, cualquier modelo de pesos abiertos puede modificarse para eliminar sus salvaguardas, así que la seguridad no puede depender solo del alineamiento del modelo: tiene que construirse también en el sistema, con controles de acceso, filtrado de entradas y salidas, registros y revisión humana. Por otro, ni el nombre de un archivo ni una cifra en una ficha de Hugging Face sustituyen a una evaluación propia con pruebas reconocidas, como XSTest para las negativas innecesarias o IFEval para el seguimiento de instrucciones, y con revisión manual de las respuestas.
Las negativas excesivas también son un problema real. Los modelos con salvaguardas a veces rechazan peticiones legítimas, como cómo eliminar residuos sanitarios o proteger contenido propio de la piratería, y ese es el argumento que esgrimen quienes defienden estos modelos para investigación o uso local. Pero la investigación más reciente sugiere que entrenar un modelo para una tarea concreta suele dar mejores resultados, y con menos riesgo, que eliminar en bloque su capacidad de decir que no.
Preguntas frecuentes
¿Qué es un modelo abliterado?
Un modelo de lenguaje al que se le ha eliminado de los pesos la dirección interna asociada a las negativas, siguiendo el método descrito por Arditi y otros en 2024, para que deje de rechazar peticiones.
¿Son fiables las tasas de negativas de las fichas de Hugging Face?
No del todo. Muchas se calculan buscando palabras clave en las respuestas, un método que, según estudios como StrongREJECT, no coincide bien con el juicio humano.
¿Quitar las negativas empeora el modelo?
Puede hacerlo en algunas tareas, sobre todo en razonamiento matemático, aunque el efecto varía mucho según el modelo y la herramienta empleada.
Fuentes:
