Was Abliteration in DeepSeek V4.1 Flash tatsächlich verändert

DeepSeek V4.1 Flash ist ein Mixture-of-Experts-Modell mit 552 Milliarden Parametern und 16B aktiven Parametern pro Token [INDEPENDENT, Artificial Analysis], veröffentlicht mit unter MIT-Lizenz stehenden Gewichten und einem Kontext von 1M Token. DeepSeek V4.1 Flash Abliterated ist derselbe Checkpoint, nachdem eine Richtung von seinen Gewichten subtrahiert wurde – und fast nichts sonst. Jeder Fehler, den Menschen in Bezug auf das zweite Modell machen, folgt daraus, wie wenig dieser Satz ändert und wie sehr sich Preis und Risikoprofil trotzdem um ihn herum bewegen können, was genau die Art von Unterscheidung ist, die das OrcaRouter AI Incident Archive im Blick behalten soll.

Die Bearbeitung ist eine Projektion, kein erneutes Training.

Abliteration ist enger gefasst, als der Name vermuten lässt. Sie beginnt mit einem Experiment mit gepaarten Paaren: Dieselbe Anfrage wird in einer Form durch das Modell geschickt, die es ablehnt, und in einer Form, die es beantwortet, und die Aktivierungen des Residualstroms werden in jeder Schicht aufgezeichnet. Die durchschnittliche Differenz zwischen beiden ist eine Richtung – die Ablehnungsrichtung. Nachdem sie gefunden wurde, orthogonalisiert die Abliteration die Gewichtsmatrizen, die in den Residualstrom schreiben, gegen diese Richtung, sodass das Modell die Fähigkeit verliert, das Muster zu erzeugen. Es gibt keinen Gradientenschritt, keine neuen Daten, keine Präferenzpaare, keine Reinforcement-Runde und keine Änderung an der Architektur.

Die veröffentlichten Builds zeigen, wie unterschiedlich sich das in der Praxis niederschlägt. Fünfunddreißig Repositories auf Hugging Face tragen den Namen mit Stand vom 26. Oktober [VENDOR]. Zwei davon lohnt es sich, genauer zu lesen, denn sie sind sich nicht einig darüber, was die Änderung ist.

• s-zaizen/DeepSeek-V4.1-Flash-Abliterated erschien am 10. September, am Tag, an dem der Basis-Checkpoint veröffentlicht wurde, und wurde mit dem Heretic-Tool erzeugt. Es wird als 48 Shards mit insgesamt 510,297 GB ausgeliefert, und bei einem Satz von 100 zurückgehaltenen schädlichen Prompts reduziert es die Verweigerungen von 97 auf 24 [VENDOR, Modellkarte]. Etwa ein Viertel der Verweigerungen übersteht das Verfahren.

• mrfakename/DeepSeek-V4.1-Flash-1017-abliterated funktioniert anders: Es schätzt Ablehnungsrichtungen getrennt für Chat-Prompts und Think-Prompts, Schicht für Schicht, und entfernt einen Rang-2-Ablehnungsunterraum aus den Residual-Stream-Schreibvorgängen von 40 Hauptschichten. Die Ablehnungen sinken bei Chat-Prompts von 97 auf 4 und bei Think-Prompts von 98 auf 9, mit einer KL-Divergenz des ersten Tokens von 0,067 bei harmlosen Prompts [VENDOR, Modellkarte].

Zwei Builds, derselbe Maßstab von 100 Prompts, vier verbleibende Verweigerungen im einen und vierundzwanzig im anderen [VENDOR]. Beide werden ehrlich als DeepSeek V4.1 Flash Abliterated beschrieben, und wer zwischen ihnen wählt, wählt nicht zwischen zwei Marken ein und derselben Sache. Layer-Auswahl, ob Chat und Think als getrennte Probleme behandelt werden, und der Rang des entfernten Unterraums zeigen sich alle im Residualverhalten. Die KL-Zahl ist die andere Hälfte dieser Geschichte: 0,067 bei harmlosen Prompts ist klein, aber klein ist nicht null.

Die Fakten zu den Gewichten bleiben unverändert.

Parameteranzahl, aktive Parameter, Kontextfenster, Tokenizer, Expert-Routing: Nichts davon ändert sich durch Abliteration, weil nichts davon berührt wird. Die Ableitung ist dieselbe 552B/16B-Architektur, die dasselbe 1M-Token-Fenster mit demselben Vokabular liest [INDEPENDENT für die Basis, VENDOR für die Ableitung]. Alles, was für die Struktur des Basis-Checkpoints gilt, gilt weiterhin für den abliterierten Build, und jede Fähigkeitsaussage über die Ableitung ist streng genommen eine Aussage über Basis-Gewichte, die niemand getestet hat.

Eine Zahl ändert sich sehr wohl, und sie hat nichts mit den Gewichten zu tun. Unsere Basiskarte gibt eine maximale Ausgabe von 384.000 Tokens an; die Karte zu OrcaCyber Flash 1.0 nennt 393.216 [OURS]. Das ist eine Serving-Entscheidung, die auf dieselbe Modelllinie angewendet wird, und ein nützlicher Hinweis darauf, dass zwei nebeneinander gestellte Zahlen nicht immer dieselbe Art von Größe messen.

Die Belege für die Leistungsfähigkeit sind deutlich dünner als die Belege für die Entfernung des Verweigerungsverhaltens. Kein Herausgeber hat einen Benchmark zur Leistungsfähigkeit für irgendeinen abliterierten Build veröffentlicht [HERSTELLER, beide Modellkarten], und die Rangliste von Artificial Analysis enthält überhaupt keine abliterierten Einträge [UNABHÄNGIG, 26. Oktober 2026]. Jede öffentlich mit der Bezeichnung „DeepSeek V4.1 Flash Abliterated“ verbundene Leistungsangabe wurde am Basis-Checkpoint gemessen. Das ist keine Anschuldigung gegen die Herausgeber; es ist eine Aussage darüber, woher die Messungen stammen.

Unser Hosted-Build, Feld für Feld im Abgleich mit dem Checkpoint, von dem er stammt

OrcaCyber Flash 1.0 ist DeepSeek V4.1 Flash Abliterated, unter einem Produktnamen angeboten. Da es sich bei der Bearbeitung um eine Subtraktion statt um eine Destillation handelt, ist der ehrliche Vergleich keine Erzählung darüber, was besser geworden ist. Er ist eine Feld-für-Feld-Lektüre, mit dem Vorbehalt, dass eine Änderung auf Gewichtsebene und eine Änderung auf Serviceebene in derselben Liste bewertet werden.

• Architektur und Kontext.Beide Seiten umfassen insgesamt 552B, davon 16B aktiv, bei einem Kontext von 1M Token; die Basisroute verarbeitet Text, während OrcaCyber Flash 1.0 Text- und Bildeingaben akzeptiert [OURS].

• Preis. Die Basisroute kostet 0,15 $ Eingabe und 0,60 $ Ausgabe pro 1 Mio. Token, Cache-Lesevorgänge kosten 0,003 $, mit einem 2× Zeitmultiplikator zwischen 01:00–04:00 und 06:00–10:00 UTC. OrcaCyber Flash 1.0 kostet 0,80 $ Eingabe und 1,60 $ Ausgabe, Cache-Lesevorgänge kosten 0,15 $ — das 5,3-Fache des Eingabetarifs, das 2,7-Fache des Ausgabetarifs und das Fünfzigfache des Cache-Lese-Tarifs [OURS].

• Datenverkehr und Zuverlässigkeit. Die Basisroute verarbeitete in 7 Tagen 26,18 Billionen Tokens bei p50 1.549 ms, 194,6 Ausgabe-Tokens pro Sekunde und 0,036 % Fehler. Das abliterierte Deployment verarbeitete im selben Zeitraum 17,5 Milliarden Tokens bei p50 1,97 s, 171 tok/s und 0,07 % Fehler [OURS].

• Bewertung. Die öffentlichen Zahlen des Basis-Checkpoints sind ein Artificial-Analysis-Index von 39,46 auf der September-Seite und 45,10 auf der Seite vom 17. Oktober [INDEPENDENT]. Die OrcaCyber-Karte meldet CyberGym 88,1, SEC-Bench Pro 62,8, DeepSWE v1.1 74,2, ExploitGym 15,3, GPQA Diamond 90,9 und Terminal-Bench 2.1 90,6, alle selbst gemeldet [OURS].

Nur der letzte Punkt ist ein Benchmark-Vergleich, und zwar kein sauberer. Terminal-Bench 2.1 auf unserer Karte und Terminal-Bench 4.0 mit 26,77 % auf der Seite des Basis-Checkpoints [INDEPENDENT] sind unterschiedliche Testumgebungen mit unterschiedlichem Schwierigkeitsgrad, und die Subtraktion des einen vom anderen liefert eine Zahl ohne Aussagekraft. Preis und Latenz sind vergleichbar; die Benchmark-Zahlen sind es nicht, weil eine Seite von einem unabhängigen Bewerter und die andere vom Anbieter ausgeführt wurde.

Zwei Checkpoint-Seiten und eine Lücke, die nichts mit Abliteration zu tun hat

Artificial Analysis führt für dieses Modell zwei Seiten und diese dürfen niemals zusammen gemittelt werden. deepseek-v4-1-flash ist der Checkpoint von September 2026, und seine Seite trägt einen Deprecation-Hinweis: Index 39,46, Terminal-Bench 4.0 bei 26,77 %, eine Halluzinationsrate von 96,46 %, 0,48 $ pro Index-Aufgabe und 88.574 Ausgabetokens pro Aufgabe [UNABHÄNGIG]. deepseek-v4-1-flash-1017 ist die Aktualisierung vom 17. Oktober: Index 45,10, 89.495 Ausgabetokens pro Aufgabe und 167,3 Tokens pro Sekunde [UNABHÄNGIG].

5,6 Indexpunkte trennen diese beiden Messungen, und dazwischen fand keine Abliteration statt – ein Refresh hat das bewirkt [INDEPENDENT]. Ordne nun die abliterierten Builds auf der Zeitachse ein: Der Build vom 10. September liegt auf dem September-Checkpoint, und der Build vom 17. Oktober liegt auf dem Refresh [VENDOR]. Wer „DeepSeek V4.1 Flash Abliterated scores 45“ oder „scores 39“ zitiert, zitiert eine Zahl, die auf Basisgewichten gemessen wurde, an einem von zwei Checkpoints, in einem Lauf, der den abliterierten Build nie berührt hat. Eine Fähigkeitskennzahl ohne Checkpoint-Datum ist keine Messung. Sie ist Rauschen mit einem Dezimalpunkt.

Das Hosten eines gated Builds ist ein anderes Produkt als das Bearbeiten der Gewichte.

Der Aufpreis für unser Hosting beträgt das 5,3-Fache beim Input, das 2,7-Fache beim Output und das 50-Fache bei Cache-Reads [OURS], und es lohnt sich, klar zu sagen, was dieses Geld nicht ist: Es sind nicht die Kosten des Edits. Der Edit besteht aus MIT-lizenzierten Gewichten und einem veröffentlichten Verfahren. Der Aufpreis bezahlt einen benannten Build, der an einen festen Checkpoint gepinnt ist, Latenz- und Fehlerraten, gemessen über 7 Tage und 17,5 Milliarden Tokens, eine Seite, die angibt, welchen Checkpoints die Bereitstellung folgt, und eine Zugangssperre gegen anonyme Nutzung.

Diese Zugangsschranke befindet sich auf der Modellseite selbst, nicht in einem Richtliniendokument vergraben: Eine Vereinbarung, ein Passkey und die Bedingungen sind erforderlich, und der Besitz eines API-Schlüssels öffnet das Modell nicht von selbst [OURS]. Bei einem Build, dessen definierende Eigenschaft darin besteht, dass Ablehnungen aus den Gewichten entfernt wurden, ist es keine neutrale Standardeinstellung, jeden Schlüsselinhaber Produktionsverkehr darauf lenken zu lassen, und wir bieten sie auch nicht als eine solche an.

Die Subtraktion selbst durchzuführen ist eine legitime Option.

Die Basisgewichte sind MIT-lizenziert. Der heute existierende abliterierte Build umfasst 48 Shards und 510.297 GB [VENDOR]. Die Tools, die ihn erzeugt haben, sind veröffentlicht, und das Verfahren braucht GPUs statt eines Vertrags. Wenn du einen modifizierten Checkpoint brauchst und die Hardware hast, kostet dich die Änderung nur deine Rechenleistung und sonst nichts — und du erbst dabei den gesamten Wartungsaufwand: das Ablehnungsverhalten deines jeweiligen Laufs, die Bewertung, die du nicht durchgeführt hast, und die Verantwortung für den Checkpoint, auf den du beim Ausliefern gesetzt hast. Die gehostete Version zu mieten bedeutet, den Lauf derselben Subtraktion von jemand anderem zu mieten, mit einem angehängten Supportvertrag.

Diese Einordnung hält den Vergleich ehrlich. Die Frage ist nicht, ob das abliterierte Modell sicherer ist – im gewöhnlichen Sinne ist es das nicht, denn die Verweigerungen wurden absichtlich entfernt, und je nachdem, welchen Build man nimmt, überlebten 4 von 100 oder 24 von 100 [VENDOR]. Die Frage ist, was man tatsächlich geändert hat, von welchem Checkpoint es ausging und wofür man bei der Änderung bezahlt. In unserer eigenen Linie erkauft das 5,3-Fache der Basis-Eingaberate eine gepflegte Bereitstellung der Änderung, kein stärkeres Modell [OURS]. Wer beides verwechselt, macht aus einem Preis eine Fähigkeitsbehauptung, die niemand je gemessen hat.

Beschaffungshinweis

Artificial Analysis, index v4.3.2, 26. Oktober 2026: beide Checkpoint-Seiten, deepseek-v4-1-flash und deepseek-v4-1-flash-1017. Hugging-Face-Modellkarten für s-zaizen/DeepSeek-V4.1-Flash-Abliterated (10. September 2026) und mrfakename/DeepSeek-V4.1-Flash-1017-abliterated (17. Oktober 2026). OrcaRouter-Katalog und Modellseiten, 26. Oktober 2026, für Preise, Durchsatz, Token-Volumen und die OrcaCyber-Flash-1.0-Karte. Alle OrcaCyber-Benchmark-Zeilen sind selbst gemeldet und wurden nicht unabhängig geprüft; die unabhängigen Fähigkeitswerte in diesem Artikel sind Messungen des Basis-Checkpoints durch Artificial Analysis, und es gibt keinen unabhängigen Fähigkeits-Benchmark eines abliterierten Builds, der zitiert werden könnte.