Qwen Uncensored、解説：Abliterated Qwen3.8-27B-FP8の実行方法

Qwen uncensoredはHugging Face上でほぼ常にアブリテレーション（abliteration）を意味します。アブリテレーションとは、モデルの残差ストリームから拒否方向を取り除く処理です。そして最初に使うべきビルドはQwen3.8-27B-Uncensored-FP8、2026年8月15日にHugging Faceで公開されたモデルです。これはQwen3.8-27Bのアブリテレーション済みブロックFP8ビルドで、公式FP8リリースとまったく同じvLLMカーネルパスで動作し、262Kコンテキスト、ビジョンタワー、MTP投機的デコーディングヘッドもそのまま維持されています。公開初日には257件のいいねと4,285件のダウンロードを獲得しました。これはチャットボットではなく研究ツールです。組み込みのガードレールはなく、Apache 2.0ライセンスで提供され、ベースモデルが拒否するリクエストにも応じます。このガイドでは、アブリテレーションによって実際に何が変わったのか、Hugging Faceから30.9GBの重みをダウンロードする方法、vLLM・SGLang・Transformersでモデルをサーブする方法、そして正当な研究のために何を実行すべきかを解説します。

「qwen uncensored」が実際に意味するもの

Abliterationは重みレベルでの介入であり、ファインチューニングではありません。拒否方向とは、モデルの残差ストリーム内にあるベクトルであり、これが活性化されると「それにはお手伝いできません」という出力が生成されます。Abliterationはその方向を特定し、重みから直交化して除去します。このビルドでは、除去は131個の残差書き込み行列に適用され（Arditi et al. 2024の「Refusal in Language Models Is Mediated by a Single Direction」の手法）、その結果は公式のQwen3.8-27B-FP8スキームにバイト単位で一致するよう再量子化されたため、vLLMは同一のFP8カーネルパスでそれを提供します。新しい重みは訓練されていません。

その区別が重要なのは、{{1}}"qwen uncensored"{{/1}}の検索結果上位には3つの異なるものが混在しているからです。すなわち、このようなabliterated重み編集、プロンプトレベルで拒否をマスクするだけのシステムプロンプト型{{2}}"uncensored packs"{{/2}}、そして安全性データなしで学習されたLoRAファインチューンです。これらは同等ではなく、このクエリで上位表示されるほとんどのページは、どのファミリーについて説明しているのかを明示していません。拒否メカニズムそのものを研究したいのであれば、重みレベルの介入だけが本物です。

拒否除去が実際に何をしたか — 数字

モデルカードは、vLLMで提供されているモデルで実行され、2026年8月15日付の安全性評価スイートを公開しています。思考オフの場合、7つの有害プロンプトベンチマークにおける拒否率は、ベースモデルの64〜99%から、このビルドでは0〜6%に低下します: AdvBench 99.0%→0.0%、JailbreakBench 94.0%→0.0%、StrongREJECT 97.3%→2.0%、HarmBench 98.7%→2.7%、MaliciousInstruct 99.0%→0.0%、SimpleSafetyTests 64.0%→6.0%、ForbiddenQuestions 73.3%→4.7%。思考オンの場合、モデルは実質的に拒否しません — 1.7%以下です。もう一つの注目すべき数値は注意書き率です:「検閲なし」の回答の30〜50%が、回答の前に短い免責事項を前置きします。これはトレーニングによる産物であり、拒否ではありません。

一方で、変わらなかった点もある。良性プロンプトに対する過剰拒否は、XSTest-safeにおいて5.6%から0.4%に低下し、すべての能力ベンチマークはベースラインの±1.3ポイント以内に留まる。MMLUは84.3%から84.7%、GSM8Kは90.0%から88.7%、MMLU-Proは77.6%から76.8%、CMMLUは81.4%から80.8%。WikiText-2のパープレキシティは6.96である。言い換えれば、この介入は拒否行動を除去したものの、モデルを有意に劣化させることはなかった。

Hugging Faceからそれを取得する方法

このリポジトリは orcarouter/Qwen3.8-27B-Uncensored-FP8 で、ゲート（アクセス制限）がかかっています。ファイルをダウンロードするには、Hugging Face アカウントでログインし、条件に同意する必要があります。このゲート自体が免責事項です。README を読むことは、このモデルの本質を受け入れることの一部だからです。ダウンロードされる内容は、ブロック FP8（E4M3、128×128 ブロック、動的アクティベーション）で構成された 7 つの safetensors シャード（1,606 テンソル）にわたる合計 30.9 GB で、ビジョンタワー、ノルム、埋め込み、lm_head は BF16 のまま保持されています。ライセンスは Apache 2.0 で、ベースモデルである Qwen/Qwen3.8-27B から引き継がれています。Hugging Face Inference Provider ではホストされていないため、自分で実行するか、ホスト型カードを使用する必要があります。

実行方法

重みはおよそ31 GBで、約56 GBのBF16チェックポイントの約半分です。カードは単一のH100 80GBまたはH200 143GBを推奨しており、重みと少量のKVキャッシュには約40 GBのVRAMが実用的な下限です。完全な262Kコンテキストにはさらに必要ですが、FP8 KVキャッシュによりそれは半分になります。カードが検証した設定は、--max-num-seqs 96、FP8 KVキャッシュ、MTP有効の1台のH200でした。

vLLMは意図された経路であり、単一のコマンドで実行できます。FP8スキームが公式ビルドと正確に一致するためです：

vllm serve "orcarouter/Qwen3.8-27B-Uncensored-FP8"

これにより、localhost:8000/v1/chat/completions で OpenAI 互換のエンドポイントが得られます。Docker での同等の操作は docker model run hf.co/orcarouter/Qwen3.8-27B-Uncensored-FP8 です。完全なセットアップについては、モデルカードは以下を推奨しています: テキストのみのサービングには --language-model-only、MTP 投機的デコードヘッドを有効にするには --speculative-config '{"method":"mtp","num_speculative_tokens":3}'、--kv-cache-dtype fp8、--max-model-len 262144、--reasoning-parser qwen3、そしてツール呼び出しには --enable-auto-tool-choice --tool-call-parser qwen3_coder です。--quantization fp8 は渡さないでください。スキームは config.json から読み取られます。BF16 KV キャッシュが必要な場合は --kv-cache-dtype fp8 を省略し、ビジョンタワーが必要な場合は --language-model-only を省略してください。

SGLangの場合：python3 -m sglang.launch_server --model-path "orcarouter/Qwen3.8-27B-Uncensored-FP8" --host 0.0.0.0 --port 30000。Transformersの場合、モデルカードにはパイプラインAPI — pipeline("image-text-to-text", model="orcarouter/Qwen3.8-27B-Uncensored-FP8") — と AutoProcessor.from_pretrained(...)、および AutoModelForMultimodalLM.from_pretrained(..., device_map="auto") の両方が記載されています。

研究において実際にそれで何をするのか

拒否応答を除去したモデルの意義は研究対象となることであり、このビルドはその介入が文書化されているため、研究するのが異常なほど容易です。具体的で正当な研究プロジェクトが3つあります：

• 拒否デルタを再現する。AdvBench、HarmBench、StrongREJECT、またはXSTest-safeを、アブリテート版ビルドとベースFP8の両方に対して実行し、カードの数値を確認する。有害なプロンプトでは64〜99%から0〜6%へ、良性のプロンプトでは過剰拒否が5.6%から0.4%へ減少することを確認する。この前後ペアは、拒否除去メソッドが機能するかどうか、そしてそのコストを知るために安全性チームが必要とする、まさにその測定値である。

• 拒否がどこに存在するかを調査する。ビルドは直交化された131個の行列を文書化しているため、残差ストリームの方向をベースと比較して、介入が何を動かしたかを確認できる。ここで思考オン時の結果は有益である。思考が有効な場合、拒否は1.7%以下に低下する。これは、方向性が最も重要であるのは推論トレースであることを示す証拠である。

• 自らのガードレールを評価する。モデレーションレイヤーをテストするには、ガードレールなしのベースラインが正しい対照群です。このモデルの出力に対してフィルターを実行し、それが捕捉するものを測定してください。それこそが、追加した安全性レイヤーを定量化する方法です。

このモデルが誤った答えとなる場合

通常のアシスタントや、エンドユーザーの前に置くようなものをお求めなら、これは間違ったモデルです。意味のある組み込みガードレールはなく、ベースモデルが拒否するリクエストにも応じてしまい、Apache 2.0はあなたの責任を移転するものではありません。代わりに、元の調整済みQwen3.8-27Bを使用してください。チャットボットで拒否を回避したい場合は、システムプロンプトパックの方が、重みの編集よりもリスクが低く、より効果的です。また、約40GBのカードを持っていなくてもモデルを研究したい場合、OrcaRouter上のホスト型カードobsidian/Qwen3.8-27Bが、同じ無検閲の27B系を、入力トークン100万あたり$0.40、出力トークン100万あたり$4.21で提供し、同じ262Kコンテキストを備えています。これはセキュリティおよびAI安全性の研究者に限定されており、モデレーションの判断は依然としてあなた側にあります。

安全境界 — ダウンロードする前にこれを読んでください

このモデルは、セーフティアライメントが大幅に除去されています。元のQwen3.8-27Bであれば拒否するような、有害・非倫理的・攻撃的・違法なリクエストにも応じる可能性があり、実質的な内蔵ガードレールは備わっていません。本モデルは厳密に正当な研究目的——解釈可能性、AI安全性・拒否メカニズムの研究、レッドチーミング、堅牢性評価、統制された実験——のためにのみ公開されています。ご利用方法および生成されるすべての内容について、利用者は全責任と法的責任を負うものとします。また、独自の安全性・モデレーション・悪用防止レイヤーを追加せずに、エンドユーザーへの展開や本番環境への導入を行うことはできません。著者は誤用に対するいかなる責任も負いません。リポジトリをダウンロードした時点で、これらの条件に同意したものとみなされます。ライセンスはApache 2.0です。

この記事には、意図的に有害なプロンプトは含まれていません。上記の拒否率は、モデルカード自体の安全性評価スイートに由来しています。これは、このクラスのモデルを測定する正しい方法です。つまり、標準的な拒否ベンチマークを実行し、数値を読み、それらが示す内容に基づいて研究を設計するということです。

結論

「Qwen uncensored」は技術を探すためのものであり、最初に試すべきバージョンはQwen3.8-27B-Uncensored-FP8です。これは、公式のFP8 vLLMカーネルパス上で動作し、262Kコンテキスト、ビジョン、MTPを維持したまま、拒否応答を取り除いた唯一のQwen3.8ビルドであり、公開された前後評価に裏打ちされています。ゲート付きの30.9 GBをHugging Faceから取得し、単一のH100またはH200上でvLLMを使ってサービスとして提供し、本来の目的——拒否応答の測定、拒否メカニズムの研究、ガードレールのテスト——に使用してください。チャットボットとして使用したり、エンドユーザーに出荷したりしないでください。重みは無料ですが、それを使って行うことの責任はすべてあなたにあります。

正当な研究用途の場合、ウェイトはHugging Faceにあります：Hugging Faceからダウンロード