検閲なしLLM、解説：Abliteration技法、研究利用、そして越えてはいけない一線

検閲されていないLLMとは、拒否行動——リクエストに答える代わりに断るモデルの部分——が意図的に除去された言語モデルです。ほとんどはアブリテレーションによって作られています。研究者が拒否を媒介する単一の内部方向を見つけ出し、それを重みから消去します。これにより、モデルの残りの部分はほぼ無傷のまま残ります。その結果、通常のモデルなら「ノー」と言う場面でも答えてくれるモデルが生まれます。これこそが研究される理由であり、本番運用には向かない理由でもあります。私たちはそのようなビルドの1つ、Qwen3.8-27B-Uncensored-FP8（アブリテレーション済みでFP8量子化されたQwen3.8 27B）を、Apache 2.0の下で研究専用成果物としてHugging Faceにリリースしました。このページはカテゴリ解説です。これらのモデルが何か、それらを正当化する研究、安全に扱う方法、そして境界線がどこにあるのかについて説明します。

ある枠組みが、このカテゴリー全体を正直なものに保ってくれます。だから、最初にそれを提示させてください。検閲されていないモデルは、元となったモデルより賢くもなく、より真実を語るわけでもなく、より有能でもありません。それは、ひとつの振る舞いが差し引かれた、同じ重み付けにすぎません。それが今も知っていることはすべて、ずっと前から知っていたことです。変わったのは、もう拒否しなくなったということだけです。そのため、それは安全研究にとってはまさに有用な対象であり、展開するにはまさに危険なものです。この文の両半分はどちらも重要な支えであり、このページの残りの部分でその両方を説明します。

「無修正」が実際に意味するもの

• または、私たちのモデルカードを通じてアクセスできます。これには価格とベンチマークの詳細が含まれています。

この手法は、2024年の解釈可能性（インタープリタビリティ）研究から得られた知見に基づく。論文 "Refusal in Language Models Is Mediated by a Single Direction"（Arditi et al., arXiv:2406.11717, NeurIPS 2024）で著者らは、1.8B〜72Bパラメータの13種類のオープンチャットモデルすべてにおいて、拒否が残差ストリーム—層間で情報を伝達する内部状態—のほぼ一次元の部分空間によって支配されていることを示した。その方向を取り除くとモデルは拒否しなくなるが、逆に加えると、無害なリクエストまでも拒否するようになる。

Abliterationは、その発見を実用化する。すなわち、方向を推定し、それを残差ストリームに書き込む重み行列から直交化して除去する。私たち自身のビルドであるQwen3.8-27B-Uncensored-FP8では、拒否方向を単一の層で推定し、131個の残差書き込み行列から除去した。ビジョンタワーには手を付けていない。残るのは、同じ知識、同じ推論、そして同じ262,144トークンのコンテキストであり、そこから拒否だけが取り除かれている。そして、このラベルについて正確に言えば、「uncensored（無検閲）」は整合が取れているとか安全であるという意味ではない。ガードが外れているという意味だ。それがあなたに何を求めるのかについては、後で改めて論じる。

それらを生み出した研究

拒否方向（refusal direction）の発見は、一度に二つのことを成し遂げた。科学的には、安全性に関する挙動を機構的に説明した。すなわち、モデルが「ノー」と言うようにする、実在し発見可能な回路が存在するということだ。実用的には、アライメントがいかに脆いかを示した——重みへの単一のランク1編集だけで、ファインチューニングなしにその挙動をオフに切り替えられるのだ。これはひとつの研究室のモデルの欠陥ではない。著者らはそれを十数種以上のチャットモデルで再現した。

2026年までに、この技術はワンコマンドのパイプラインとなっており、これは諸刃の剣とも言える事実である。オープンソースライブラリであるHereticは、レイヤーごとに拒否方向を推定し、それらをアテンションおよびMLP射影から直交化して除去する。2026年5月のレポートでは、MetaのLlama 3.3のガードレール除去に約10分、GoogleのGemma 4に約90分かかり、派生モデルは3,500以上、累計ダウンロード数は1,300万を超えたと報告されている。Abliterix（Wu Wangzhang）はより慎重な手法を取る。すなわち、800の有害プロンプトと800の無害プロンプトから拒否方向を抽出し、直交射影を適用し、編集をrank-1 LoRAアダプタとして提供することでベースの重みを変更せず、さらに拒否率とKLダイバージェンスを報告して能力コストを見えるようにしている。0.8BのQwen3.5モデルでは、200の有害プロンプトのうち拒否は0件と報告された。

その段落を、安全性研究者の視点で読んでください。これらのツールを構築する目的は、誰かが模型のガードレールを楽しみで取り外せるようにすることではありません。重要なのは、その取り外しが簡単で、しかも公に知られているということです。それゆえ、それを測定し、その仕組みを研究し、それに耐えられるガードレールを構築すること自体が研究プログラムなのです。それがホワイトボックス的な意味でのレッドチーミングです。システムがどれほど壊されやすいかを知るまでは、そのシステムを防御することはできないからです。

なぜ2026年に無検閲モデルが熱くなったのか

三つの力が収束した。第一に、オープンウェイトの波だ。Qwen3.8 27Bとその仲間たちは寛容なライセンスのもとでリリースされ、アブリテレーションにはトレーニング実行が不要で、ウェイトを編集して再量子化するだけでよい。第二に、ツールは研究用コードからワンコマンドのライブラリへと成熟し、有能なエンジニアなら午後のひとときでビルドを作成できる。第三に、Hugging Faceが配布チャネルとなったことで、トラクションが測定可能になった。

私たち自身のデータポイント：2026年8月15日にリリースされたQwen3.8-27B-Uncensored-FP8は、約1日で257件のいいねと4,285件のダウンロードを記録しました（2026年8月16日確認）。何万人もの人々がガードなしのモデルをデプロイしたいと思っているわけではありません。多くの研究者やエンジニアがそれを研究したいと考えているのです。そして、ダウンロード数はその好奇心の需要曲線なのです。

用途：正当な研究用途

これが正当化できるリストであり、これが完全なリストです。リストに載っていない用途は、正当ではないと見なしてください：

• 解釈可能性 — 拒否回路が実際に何であるか、それがどこに存在するのか、そしてなぜ一つの方向を除去すると挙動が変わるのかを研究すること。

• レッドチーミングとガードレール評価 — モデレーションレイヤーを構築し、拒否応答を除去したモデルが生成する出力を、そのレイヤーが検出できるかをテストする

過剰安全性の測定 — ベースモデルが無害なリクエストを拒否する頻度を定量化し、それを実際の安全性から区別すること。

• ロバストネス研究 — アラインメントがどの程度容易に除去され得るかを測定するものであり、安全性のファインチューニングを設計するすべての人にとって不可欠な情報です。

• 制御された安全性実験 — AdvBenchやJailbreakBenchといったベンチマークスイートは、まさに拒否行動を標準化され再現可能な方法で測定するために存在している。

これらはすべて一つの性質を共有している。モデルは研究の対象であって、成果物ではない。この研究の成果は、論文、ベンチマーク結果、またはより良いガードレールであり、決してサービスではない。

責任を持って実行する方法（実際に研究を行う場合）

アブリテレイテッドモデルを扱う正当な理由があるなら、運用規則は単純明快です：

• ローカルで、サンドボックス化して、理想的にはエアギャップ環境で実行してください。公開エンドポイントなし、チャットサービスなし、共有サーバーなし。

• 標準ツール（vLLMやllama.cpp）で、他のオープンウェイトモデルと同様に提供できます。このビルドはブロックFP8量子化で、標準のvLLM FP8カーネルパス上で動作し、262Kコンテキスト、思考トグル、ツール呼び出しがすべてそのまま維持されています。

• ただ話し合うのではなく、測定せよ。有害プロンプトのベンチマークスイートにおける拒否率を定量化してベースモデルと比較し、良性プロンプトに対する過剰拒否も定量化せよ。KLダイバージェンスを報告して能力ドリフトが見えるようにせよ。それが実験と逸話の違いである。

• 出力は管理された環境に保持する。拡散させるのではなく、記録し、レビューし、破棄する。

自分のガードレールを評価する場合は、モデレーションレイヤーをモデルの前に配置してテストしてください。それこそがこの演習のすべての要点です。

• 完全なスペックシート、ベンチマーク表、ホスティングの詳細については、モデルカードを開いてください。これがこのビルドの正式なリファレンスです。

安全性の境界線：「研究専用」が意味するもの

この点は、いくら強調してもしすぎることはありません。アブリテーションされたモデルには、意味のある組み込みのガードレールはありません。通常のモデルなら拒否するような要求にも応じてしまいます。それが特徴であり、同時にリスクでもあります。だからこそ、私たちのものを含め、そうしたモデルの本格的なリリースにはすべて、同じ警告が添えられているのです。

• 組み込みのガードレールはありません。拒否動作はなくなりました。それがまだあるかのように振る舞わないでください。

• エンドユーザー向けでも、本番運用向けでもありません。製品、チャットボット、一般公開API、同僚が頼りにする社内ツール — そのいずれも、無検閲モデルの居場所として適切ではありません。

• 責任はあなたにあります。当社はQwen3.8-27B-Uncensored-FP8をApache 2.0のもとで提供しています。Apache 2.0は再配布に関して寛容なライセンスです。しかし、ライセンスは安全性の証明書ではありません。寛容なライセンスであってもモデルの挙動が変わるわけではなく、注意義務が移転するものでもありません。

• 使用する場合、その出力に対する責任はあなたにあります。管理された環境を整えるのはあなたの仕事であり、何を投入するかしないかを決めるのも、出力されたものをどう扱うかを決めるのも、同様にあなたの仕事です。

無検閲モデルが誤答となる場合

最も明確な言い方をするなら、モデルの向こう側に人がいる場合、検閲なしのモデルは間違った答えです。信頼性が必要なあらゆる製品、判断が重要になるあらゆるアシスタント、拒否が正しい挙動となるあらゆる場面では、代わりにベースモデルを使ってください。Qwen3.8 27Bが通常の形で存在する理由は、まさに拒否がバグではなく機能だからであり、それはほぼすべての実際の用途に当てはまります。アブリテート版は、上記の限定的な研究用途のためだけに存在し、それ以外のためには存在しません。

結論。検閲されていないLLMは、製品カテゴリでもなければ、ハックでもない。それは、真正な科学的系譜を持つ研究アーティファクトである——拒否方向（refusal direction）の発見から2026年の自動化ツールに至るまで——そして、厳格なデプロイメント境界を持つものだ。モデルは実在し、需要は測定可能であり、正当な用途もまた現実にある：解釈可能性、レッドチーミング、ガードレール評価、そして管理された安全性実験である。ガードを研究することと、誰かのためにガードをオフにすることの境界線こそが、このページの全要点であり、その線は決して動かない。

このビルドはApache 2.0のもとで公開されています — 研究用のみです。Hugging Faceでウェイトをダウンロードできます