Qwen-Image-2.1 Uncensored: Was diese Community-Builds sind und welche Lizenz sie erben

Ein unzensierter Build von Qwen-Image-2.1 ist ein Checkpoint, dessen Moderationsverhalten geändert, entfernt oder von Anfang an nie vorhanden war – erstellt von einem Dritten und als abgeleitete Gewichte von jemandem vertrieben, der nicht zum Engineering-Team des Anbieters gehört. Das ist es, was der Begriff hier bedeutet, und es ist auch das, wonach ein Leser sucht, der über die japanische Suche 無検閲 oder die koreanische 무검열 hier ankommt: nicht eine Technik, um einen Filter aus einem Modell zu entfernen, sondern eine Antwort auf die Frage, ob eine Version ohne den Filter existiert, wo sie zu finden ist und ob das, was man herunterlädt, das Original ist oder ein Re-Upload von jemand anderem. Die Kurzfassung dieser Antwort: Ja, es gibt Dutzende davon; keines davon stammt vom Anbieter; und das Einzige, was jedes Einzelne von ihnen vom Anbieter erbt, ist die Lizenz.

Dies ist eher eine Referenzseite als eine Nachricht, und es lohnt sich, ausdrücklich zu sagen, warum. Qwen-Image-2.1 wurde am 20. September 2026 als Open Source veröffentlicht, was hier nur deshalb von Bedeutung ist, weil dieses Datum verrät, von welchem Hersteller-Release jeder unten aufgeführte Build abstammt und welche Lizenzvereinbarung für sie alle gilt. Die Builds sind mit den Daten versehen, die ihre eigenen Repositories veröffentlichen, und mehrere wurden innerhalb von Tagen nach dem Verfassen dieser Seite aktualisiert, doch nichts im Folgenden hängt von einem aktuellen Ereignis ab. Beantwortet wird eine Frage, die Menschen Monate nach einem Ereignis eintippen, und die Antwort steckt in den Repositories und in der Lizenzdatei und nicht in einer Release Note.

Beginne mit der unbequemen Tatsache: Es gibt keinen Filter zu entfernen.

Das Nützlichste, was Sie wissen können, bevor Sie eine beliebige Modellkarte in diesem Bereich lesen, ist, was die Veröffentlichung des Anbieters selbst tatsächlich enthält. Die Qwen/Qwen-Image-2.1 Repository-Datei model_index.json, gelesen am 13. Oktober 2026, deklariert eine Pipeline aus genau fünf Komponenten: einen Qwen3VLProcessor zur Eingabeverarbeitung, einen FlowMatchEulerDiscreteScheduler, einen Qwen3VLForConditionalGeneration-Text-Encoder, einen QwenImage21Transformer2DModel-Diffusionstransformer und einen AutoencoderKLQwenImage21-VAE. Es gibt keinen safety_checker-Eintrag. In dieser Datei gibt es weder eine Moderationskomponente noch eine Wasserzeichenkomponente.

Die Veröffentlichungsunterlagen des Anbieters enthalten ebenfalls keine Liste zulässiger Nutzung. Die Modellkarten für Qwen/Qwen-Image-2.1, Qwen/Qwen-Image-2.1-Turbo sowie die beiden Checkpoints zur Prompt-Umschreibung durchlaufen jeweils eine Einführung, eine Schnellstartanleitung und einen Lizenzabschnitt; keines der vier enthält einen Abschnitt zu Sicherheit, verantwortungsvoller Nutzung, Missbrauch oder Out-of-Scope, und das GitHub-Repository des Anbieters für das Modell enthält ebenfalls keinen. Die Lizenzvereinbarung ist die einzige Aussage zur Nutzung, die der Anbieter mit diesen Gewichten veröffentlicht, weshalb sie weiter unten auf dieser Seite ausführlich behandelt wird statt in einer Fußnote.

Diese Kombination erzeugt etwas leicht Seltsames. Ein großer Teil dessen, was „uncensored“ in dieser Facette bedeuten soll, ist eine Eigenschaft, die die Basisgewichte offenbar bereits besitzen. Der praktische Unterschied zwischen dem Checkpoint des Anbieters und einem „uncensored“-Checkpoint ist daher normalerweise kein Filter, der vorhanden war und nun verschwunden ist – es ist welche Komponenten Sie erhalten haben und wer sie zusammengestellt hat. Diese Unterscheidung ist keine Pedanterie: Sie ist der Unterschied zwischen einem Build, dessen Karte ehrlich sagen kann „Es wurde keine Gewichtsmodifikation angewendet“, und einem Build, dessen Karte eine tatsächliche Bearbeitung eines neuronalen Netzes beschreibt.

Was diese Builds tatsächlich sind

Jedes Repository, das ein unzensiertes Qwen-Image-2.1 enthält, ist ein abgeleitetes Artefakt. Keines davon ist eine Veröffentlichung des Herstellers, keines wird vom Hersteller gebilligt, und das Wort „uncensored“ in einem Repository-Namen ist eine Beschreibung, die von der Person verfasst wurde, die es hochgeladen hat, und keine Klassifizierung des Herstellers. Über diesen gemeinsamen Ausgangspunkt hinaus weichen die Builds in drei Arten voneinander ab, und sie auseinanderzuhalten macht den Großteil dessen aus, was ein Leser tun muss.

• Ein neu verpackter Upstream-Checkpoint. Das meistheruntergeladene Repository in diesem Bereich – abenzerps/Qwen-Image-2.1-Uncensored-Quantized, das beim Abruf am 13. Oktober 2026 für den letzten Monat 4.110 Likes und 2.188.658 Downloads aufwies – beschreibt seinen Inhalt als quantisierte Formate des Upstream-Modells „unter Verwendung der ursprünglichen Upstream-Basisgewichte“, erstellt aus einer benannten Quellrevision mit einer veröffentlichten SHA256SUMS-Datei. Seine Karte erhebt keinen Anspruch auf Fine-Tuning, Ablation oder Gewichtsmodifikation. Was sie feststellt, ist das Fehlen eines Filters: „Dieses Release hat keinen integrierten Sicherheitsprüfer oder Inhaltsfilter“, wobei das Ausgabeverhalten „ausschließlich“ dem Prompt und der Laufzeitumgebung zugeschrieben wird. Ein separates Repository, 0xSojalSec/Qwen-Image-2.1-Uncensored-GGUF, ist noch expliziter und erklärt unumwunden, dass es sich bei seinen Dateien um Quantisierungen der Originalgewichte handelt und dass „kein Fine-Tuning, keine Abliteration oder sonstige Gewichtsmodifikation vorgenommen wurde“ – eine Karte, die positiv bestreitet, irgendetwas zu verändern, während der Repository-Name unzensierte Ausgabe bewirbt.

• Ein Checkpoint, dessen Textencoder bearbeitet wurde. Dies ist die einzige Art in dieser Facette mit einer dokumentierten Methode auf Gewichtsebene, und es lohnt sich, sie präzise zu beschreiben, weil sie zeigt, wie der Prozess tatsächlich aussieht, wenn er durchgeführt und schriftlich festgehalten wird. AtomicChat/Qwen-Image-2.1-Turbo-Uncensored-GGUF — 375 Likes, 161.715 Downloads im letzten Monat bei derselben Lesart — gibt an, dass ein Abliterationsverfahren gegen den separaten Vision-Language-Encoder des Modells, Qwen/Qwen3-VL-8B-Instruct, nicht gegen das Bildmodell, durchgeführt wurde. Eine Ablehnungsrichtung wurde als Mittelwertdifferenz des Residualstroms am letzten Prompt-Token berechnet, wobei 416 schädliche gegen 416 harmlose englische Prompts bei Block 23 eines 36-Block-Stapels verwendet wurden, und diese Richtung wurde dann mit der Bearbeitung W' = W − 0,75 · r rᵀW aus den Gewichten herausprojiziert, angewendet auf 36 Attention-Ausgaben, 36 MLP-Down-Projektionen und das Token-Embedding, wobei der Vision-Tower unangetastet blieb. Die Karte gibt unmissverständlich an, dass der Denoiser unverändert und der Vision-Projektor nicht modifiziert ist. Es ist der Bericht eines einzelnen Herausgebers über seinen eigenen Prozess, von niemand anderem reproduziert, und es ist das, was einer dokumentierten Methode in dieser Facette am nächsten kommt.

• Ein Checkpoint, dessen Karte nichts darüber verrät, wie er erstellt wurde. Dies ist zahlenmäßig die größte Gruppe – und die unangenehme. KasugaiSakura/Qwen-Image-2.1-Uncensored-Abenzerps-GGUF ist auf Hugging Face als Duplikat des abenzerps-Repositories gekennzeichnet und bietet zwei Dateisätze nebeneinander an, ohne zu dokumentieren, worin sie sich unterscheiden. LuffyTheFox/Qwen-Image-2.1-Uncensored-Genesis-BF16-GGUF nennt ein „Genesis“-Verfahren, beschreibt das Scannen von ssm_conv1d-Tensoren und die Anwendung eines eigenen Singularwertzerlegungs-Durchlaufs und erklärt, dass der Autor überhaupt keine Modelle trainiert oder feinabstimmt – während nirgends eine Aussage zur Sicherheitsfilterung enthalten ist. Noctaluna/Noct-Q-Uncensored-Qwen-Image-2.1, eines der beliebtesten Repositories in der Suche, hat seine Modellkarte hinter dem Gate der Plattform für sensible Inhalte, sodass darin ohne Konto und Altersbestätigung nichts lesbar ist.

Die ehrliche Verallgemeinerung ist die bereits angedeutete: Die Einzelheiten variieren je nach Autor und sind häufig undokumentiert. Ein Leser sollte die Karte als den einzigen Beleg dafür betrachten, was mit den Gewichten geschehen ist, und „keine Angabe" als keine Angabe lesen und nicht als implizite Behauptung. Davon getrennt veröffentlicht mindestens ein Repository in der Facette eine tatsächliche Adapterdatei neben seinen Checkpoints – abenzerps liefert eine kleine qwen-image-2.1-uncensored-lora.safetensors im selben Repository – was ein direkter Beleg dafür ist, dass echte Modifikationen auf Gewichtsebene Teil dieses Ökosystems sind, und ebenso ein direkter Beleg dafür, dass sie nicht dasselbe sind wie der Name des Repositorys.

Einen echten Build von einem Re-Upload unterscheiden

Die Signale, die Informationen tragen, sind schmaler, als sie aussehen. Was ein Repository tatsächlich verrät:

• Ob die Karte eine Quellrevision nennt.Das abenzerps-Repository nennt einen bestimmten Commit-Hash von Qwen/Qwen-Image-2.1, aus dem seine Gewichte entnommen wurden. Eine gepinnte Revision ist der Unterschied zwischen „von einer bekannten Sache abgeleitet“ und „von etwas abgeleitet“.

• Ob Prüfsummen veröffentlicht werden. Eine SHA256SUMS-Datei ermöglicht es Ihnen zu bestätigen, dass die Datei, die Sie heruntergeladen haben, die getestete Datei ist, was bei einem mehrere Gigabyte großen Artefakt, das Sie nicht überprüfen können, wichtiger als üblich ist.

• Ob sie eine Methode beschreibt und ob die Beschreibung falsifizierbar ist. Die AtomicChat-Karte gibt die verwendeten Prompts, den Blockindex, die Editierformel und die exakten Tensoren, die berührt wurden, an – und berichtet bemerkenswerterweise, dass zwei ihrer eigenen Evaluations-Gates nicht bestanden wurden. Eine Karte, die ein Verfahren beschreibt und dann berichtet, wo das Verfahren nicht ausreichte, tut etwas, was eine Karte, die „uncensored“ sagt, nicht tut.

• Welche Lizenz das Repository deklariert und ob sie mit seinen Komponenten übereinstimmt. Dies ist ebenso ein Herkunftssignal wie ein rechtliches, und es ist nicht immer in sich stimmig – siehe unten.

• Ob die Plattform es als Duplikat kennzeichnet. Hugging Face kennzeichnet Kopien der Repositories anderer Leute als solche. Mehrere der am häufigsten heruntergeladenen Einträge in dieser Suche sind Duplikate des abenzerps-Repositories und keine eigenständigen Arbeiten, was nicht automatisch ein Problem ist, aber bedeutet, dass ihre Downloadzahlen dasselbe Artefakt zweimal messen.

Und die Signale, die nichts tragen:

• Das Wort „uncensored“ selbst. Es ist ein Feld in einem vom Uploader gewählten Dateinamen. Ein Repository in dieser Facette trägt es, während seine eigene Karte jegliche Gewichtsänderung verneint; ein anderes trägt es ganz ohne Sicherheitserklärung.

• Download-Zähler und Likes. Die Suche von Hugging Face nach der Zeichenfolge „qwen-image-2.1-uncensored" lieferte am 13. Oktober 2026 92 Repositories, und die Zahlen reichen von einer Handvoll bis in die Millionen. Eine hohe Zahl misst, wie viele Leute die Datei heruntergeladen haben, nicht, was darin steckt.

• Dateibenennung, die eine Abstammungslinie nahelegt. Namen, die an den Namen eines anderen Repositorys anklingen oder denen ein Suffix wie „Genesis“ oder „Sakura“ oder „Noct“ angehängt wird, sind kein Beweis dafür, was die Datei enthält.

Es gibt ein weiteres Signal, das man kennen sollte, weil es dasjenige ist, das still versagt: Ein Repository kann in Bezug auf die Lizenz, unter der es steht, intern widersprüchlich sein – und damit auch in Bezug darauf, was man damit tun darf. Die unzensierten Builds der Turbo-Familie kombinieren einen bearbeiteten Apache-2.0-Text-Encoder mit einem Denoiser, von dem die Karte selbst sagt, er stehe unter der Research-Lizenz – während das Lizenzfeld des Repositorys selbst Apache-2.0 angibt. Für zwei Hälften desselben Downloads gelten zwei verschiedene Lizenzen. Das ist keine Formalität, die hier geklärt werden müsste; es ist der Grund, warum der folgende Lizenzabschnitt vor der Dateiliste gelesen werden sollte.

Was ändert sich tatsächlich, wenn das Moderationsverhalten verändert wird

Die unbequeme Antwort lautet, dass in diesem Aspekt fast nichts gemessen wurde, und die einzige vorhandene Messung fand überhaupt keinen bildseitigen Effekt.

Der Autor berichtet, dass die Text-Ablehnungen des Encoders auf dem englischen JBB-Set von 88,9 % auf 1,2 % und auf einem russischen Aya-Set von 38,0 % auf 0 % gesunken sind, wobei MMLU vorher und nachher unverändert bei 77,35 % liegen soll. Auf der Bildseite meldet dieselbe Model Card das Gegenteil eines Erfolgs: Von 45 untersuchten Prompts „kippte kein einziger Prompt um“, mit der Erklärung, dass die Standard-Pipeline „bereits jede Kategorie im Probe-Set erzeugt und dieser Encoder genau dieselben erzeugt“. Die perzeptuelle Distanz zur unveränderten Pipeline wurde auf den sensiblen Prompts mit LPIPS 0,088 und auf neutralen mit 0,084 bis 0,090 gemessen – gegenüber 0,499 bei einem frischen Seed und 0,037 bei der Quantisierung des Standard-Encoders –, was heißt, dass die Bearbeitung die Ausgabe weniger stark perturbiert als eine Änderung des Zufalls-Seeds. Zwei interne Gates werden als nicht bestanden offengelegt: First-Token-KL an der 0,10-Grenze und ein Leak-Gate-Residuum von 1,9e-4 gegenüber einem Zielwert von 1e-5.

Betrachten Sie all das als die eigene Untersuchung eines einzelnen Anbieters, nicht reproduziert, mit seinem eigenen Prompt-Set. Es ist kein Benchmark, und diese Seite erhebt es auch nicht zu einem. Aber es legt die Form des Befunds fest, und die Form ist: In dem einen Fall, in dem jemand nachprüfte, änderte das Entfernen der Zensur aus dem Text-Encoder, was der Encoder über einen Prompt aussagt, und änderte nicht messbar, was das Bildmodell zeichnet. Nirgendwo in diesem Aspekt wird ein Qualitätsunterschied bei Bildern berichtet, in welche Richtung auch immer, und eine Seite, die Ihnen etwas anderes erzählte, würde ihn erfinden. Die Behauptung, dass die Ausgaben unverändert sind, ist ebenso ungestützt — auch nicht von der Person, die das gemessen hat, was dem am nächsten kommt.

Was du aufgibst

Als Tatsachen dargestellt, nicht als Warnungen. Hinter einem abgeleiteten Checkpoint steht kein Anbieter: kein Update-Pfad, wenn der Anbieter das Basismodell ändert, kein Bugtracker, keine Verpflichtung zu veröffentlichen, was sich zwischen einem Upload und dem nächsten geändert hat, und keine Garantie, dass die Datei ihrer eigenen Beschreibung entspricht, abgesehen von den Prüfsummen, die der Autor zu veröffentlichen gewählt hat. Die Reproduzierbarkeit ist durch dasselbe begrenzt – wo eine Karte ihre Methode dokumentiert, kann man sie prinzipiell wiederholen, und wo sie nichts dokumentiert, hat man einen Namen und eine Datei. Der Support ist die Community, die ihn erstellt hat, mit der Geschwindigkeit des Issue-Tabs eines Repositorys. Und die Lizenz wird nicht dadurch lockerer, dass das Artefakt aus der Community stammt: Ein abgeleitetes Werk erbt die Bedingungen, die an das Material geknüpft sind, von dem es abgeleitet wurde – was für diese Builds eine Forschungslizenz mit einer nicht-kommerziellen Beschränkung ist. Im nächsten Abschnitt steht, was diese Beschränkung in den eigenen Worten des Anbieters besagt.

Die Lizenz, die jeder dieser Builds erbt

Das Qwen/Qwen-Image-2.1-Repository trägt license: other mit license_name: qwen-research, und die LICENSE-Datei ist die Forschungslizenzvereinbarung, datiert vom 20. September 2026, mit Hangzhou Tongyi Laboratory Technology Co., Ltd. als Lizenzgeber. Vollständig gelesen am 13. Oktober 2026, ist die gewährte Lizenz eine beschränkte, nicht ausschließliche, weltweite, nicht übertragbare und gebührenfreie Lizenz, die Materialien ausschließlich für nicht kommerzielle Zwecke zu nutzen, zu kopieren, zu verbreiten, zu verändern und abgeleitete Werke davon zu erstellen, wobei "nicht kommerziell" innerhalb der Vereinbarung als Forschungs- oder Evaluierungszwecke definiert ist. Die kommerzielle Nutzung wird auf eine separate Lizenz verwiesen, die per E-Mail an die in der Vereinbarung genannte Adresse angefordert wird.

Da jeder unzensierte Build in dieser Facette ein abgeleitetes Werk dieser Materialien ist, ist die Weitergabe eines solchen eine Weitergabe unter dieser Vereinbarung, und die Bedingungen wandern mit ihm. Drei sind konkret und anhand der Dateiauflistung eines Repositorys überprüfbar:

• Die Vereinbarung weitergeben. Die Vereinbarung verlangt, dass jeder, der die Materialien oder eine Ableitung davon erhält, eine Kopie der Lizenz erhält. Ein Repository, das ein qwen-research-Tag trägt, aber kein Lizenzdokument mitliefert, hat dies nicht in der Form getan, die die Vereinbarung beschreibt.

• Geänderte Dateien markieren. Geänderte Dateien müssen auffällige Hinweise tragen, aus denen hervorgeht, dass sie geändert wurden. Eine neu kodierte oder bearbeitete Gewichtsdatei ist eine geänderte Datei. Dateinamen, die "UC" oder "uncensored" enthalten, stellen keinen solchen Hinweis dar.

• Den Attributionshinweis wortgetreu übernehmen. Der Hinweis – „Qwen is licensed under the Qwen RESEARCH LICENSE AGREEMENT“, „Copyright (c) 2026 Hangzhou Tongyi Laboratory Technology Co., Ltd.“, „All Rights Reserved.“ – muss in einer Notice-Textdatei, die mit den Kopien weitergegeben wird, beibehalten werden.

Als Beobachtung, nicht als Urteil: Die Dateiliste für das am häufigsten heruntergeladene Repository in dieser Facette, gelesen am 13. Oktober 2026, enthält eine README-Datei, eine Prüfsummendatei, eine .gitattributes-Datei und die Gewichtsdateien, und weist keine LICENSE-Datei und keine Datei namens Notice auf. Ob dies die Vereinbarung erfüllt, ist eine Frage für die Person, die weiterverbreitet, nicht für diese Seite; für Leserinnen und Leser ist der Punkt, dass die Bedingungen real sind und nicht immer im Download sichtbar sind.

Zwei weitere Klauseln binden jeden, der auf dem Ergebnis aufbaut, statt es nur herunterzuladen. Wenn die Materialien oder ihre Ergebnisse verwendet werden, um ein Modell zu erstellen, zu trainieren, feinabzustimmen oder zu verbessern, das dann verbreitet wird, muss die Dokumentation deutlich sichtbar "Built with Qwen" oder "Improved using Qwen" anzeigen. Und "Qwen" darf nicht als primärer Name oder Bezeichner eines abgeleiteten Werks verwendet werden, obwohl eine beschreibende Verwendung wie "fine-tuned from Qwen Image" erlaubt ist. Jeder, der einen weiteren Adapter auf einem unzensierten Checkpoint trainiert, fällt unter beide Klauseln.

Auffälligerweise enthält die Vereinbarung weder eine Liste zulässiger oder verbotener Nutzungen noch eine Klausel, die sich mit der Entfernung, Deaktivierung oder Änderung von Sicherheitsfiltern, Guardrails oder ähnlichen Mechanismen befasst. Die darin enthaltenen Nutzungsbedingungen sind die nichtkommerzielle Beschränkung, die Einhaltung der anwendbaren Exportkontroll- und sonstigen Gesetze in China, den Vereinigten Staaten und anderswo, die Anforderung zur Anzeige von „Built with Qwen“ und die Namensbeschränkung. Es gilt chinesisches Recht mit ausschließlicher Zuständigkeit der Volksgerichte von Hangzhou. Die Vereinbarung stellt außerdem ausdrücklich klar, dass keine Verpflichtung zu Support, Updates oder Folgeversionen übernommen wird und dass die Gewährleistung des Lizenzgebers ausgeschlossen wird.

Die Position des Anbieters, wie der Anbieter sie darstellt

Die eigene Darstellung dieses Modells durch den Anbieter in dem auf den 20. September 2026 datierten Projekt-Blogbeitrag dreht sich vollständig um die Fähigkeiten: eine 7B-Komponente zur visuellen Generierung über 32 Single-Stream-DiT-Schichten hinweg, vereinheitlichte Generierung und Bearbeitung, native Transparenz, Bearbeitung mit bis zu zehn Referenzbildern, verbesserte Typografie und Porträts. Es gibt keinen Absatz über Filterung, Moderation, zulässige Inhalte oder verantwortungsvolle Nutzung – weder in diesem Beitrag noch im GitHub-Repository noch auf einer der Modellkarten der Veröffentlichung. Die einzige veröffentlichte Aussage des Lizenzgebers darüber, was Sie mit diesen Gewichten tun dürfen, ist die Lizenzvereinbarung selbst, und ihre Antwort lautet, dass Sie sehr viel mit ihnen tun dürfen, sofern es der Forschung oder Evaluierung dient und Sie ihre Bedingungen weitergeben.

Für einen Leser, dessen Frage eher kommerziell als technisch ist, ist das die Tatsache, nach der er handeln sollte. Der unzensierte Status eines Checkpoints ist nicht das, was darüber entscheidet, ob Sie mit ihm ausliefern können, und eine Downloadzahl ist keine Gewährung von Rechten. Lesen Sie das Lizenz-Tag im Repository, prüfen Sie, ob das Lizenzdokument tatsächlich vorhanden ist, und wenn die Antwort kommerziell relevant ist, fragen Sie den Lizenzgeber – die Vereinbarung nennt die Adresse.

Eine letzte Grenze, die es sich zu ziehen lohnt, weil die beiden Fragen dicht beieinanderliegen und getrennte Antworten verdienen. Wenn Sie tatsächlich die Formatfrage brauchen – was eine GGUF-Quantisierung des Denoisers von Qwen-Image-2.1 mit der Datei macht, was sie Sie an Wiedergabetreue kostet und womit sie ausgeführt wird –, ist das auf unserer Qwen-Image-2.1-GGUF-Seite behandelt, und diese Seite wiederholt es bewusst nicht. Die hier geklärte Frage ist die nach Herkunft und Berechtigung.