Abliteration 究竟在 DeepSeek V4.1 Flash 中改变了什么

DeepSeek V4.1 Flash是一个拥有 5520 亿参数的专家混合模型，每个 token 激活 160 亿参数 [INDEPENDENT, Artificial Analysis]，以 MIT 许可证发布权重，并支持 100 万 token 上下文。DeepSeek V4.1 Flash Abliterated则是同一个检查点，只是从其权重中减去了一个方向，除此之外几乎别无改动。人们对第二个模型的种种误解，都源于这句话所改变的其实微乎其微，而价格与风险状况却仍可能围绕它大幅变动——而这正是OrcaRouter AI Incident Archive旨在让这类区分始终可见的原因。

这次编辑是投影，而非重新训练。

Abliteration 的实际范围比其名称所暗示的要窄。它始于一个配对实验：将同一请求分别以模型会拒绝的形式和会回答的形式输入模型，并记录每一层的残差流激活。两者之间的平均差异就是一个方向——拒绝方向。找到它之后，Abliteration 会将写入残差流的权重矩阵针对该方向进行正交化，从而使模型失去产生该模式的能力。没有梯度步骤，没有新数据，没有偏好对，没有强化学习轮次，也没有架构变更。

已发布的构建版本显示出这在实践中落地时有多么不同。截至 10 月 26 日 [VENDOR]，Hugging Face 上有 35 个仓库使用了该名称。其中两个值得仔细阅读，因为它们对这次编辑究竟是什么意见不一。

• s-zaizen/DeepSeek-V4.1-Flash-Abliterated于9月10日出现，也就是基础检查点发布当天，并使用 Heretic 工具制作。它以48个分片形式发布，总计510.297 GB；在一组100条留出的有害提示上，它把拒答次数从97降到24 [VENDOR，模型卡]。大约四分之一的拒答在该处理流程后仍然存在。

• mrfakename/DeepSeek-V4.1-Flash-1017-abliterated 的工作方式不同：它逐层分别为聊天提示和思考提示估计拒绝方向，并从 40 个主层的残差流写入中移除一个秩为 2 的拒绝子空间。在聊天提示上，拒绝率从 97 降至 4；在思考提示上，从 98 降至 9；在无害提示上的首 token KL 散度为 0.067 [VENDOR, 模型卡]。

两个构建，同一把 100 条提示词的标尺，一个还剩四次拒答，另一个有二十四次 [VENDOR]。两者都被如实描述为 DeepSeek V4.1 Flash Abliterated，而在这两者之间做选择的买家，并不是在同一种东西的两个品牌之间做选择。层选择、是否把 chat 和 think 当作独立问题处理，以及被移除子空间的秩，都会在残余行为中体现出来。KL 数值是这件事的另一半：在无害提示词上 0.067 很小，但小并不等于零。

权重的事实保持不变

参数量、激活参数、上下文窗口、分词器、专家路由：这些在 abliteration 下都不会改变，因为它们都未被触及。衍生模型仍是相同的 552B/16B 架构，读取相同的 1M token 窗口，使用相同的词表 [基础模型为 INDEPENDENT，衍生模型为 VENDOR]。基础检查点结构上成立的一切，对经过 abliteration 处理的构建版本仍然成立；而任何关于衍生模型能力的说法，严格来说都是关于无人测试过的基础权重的说法。

有一个数字确实变了，而这不是权重层面的事实。我们的基础卡片列出的最大输出为 384,000 个 token；OrcaCyber Flash 1.0 卡片列出的是 393,216 [OURS]。这是应用于同一谱系的服务决策，也有力地提醒我们：并排放置的两个数字并不总是在衡量同一类东西。

能力的证据远比移除拒答的证据薄弱。没有任何发布者为任何 abliterated 构建发布过能力基准［VENDOR，两份模型卡］，而 Artificial Analysis 的排行榜上完全没有 abliterated 条目［INDEPENDENT，2026年10月26日］。公开场合中与“DeepSeek V4.1 Flash Abliterated”这一表述相关联的每一项能力数据，都是在基础检查点上测得的。这并不是对发布者的指控；而是关于这些测量结果来源的陈述。

我们的托管构建，逐字段与其来源检查点进行对比

OrcaCyber Flash 1.0 是 DeepSeek V4.1 Flash Abliterated，以产品名称对外提供服务。由于这次编辑是减法而非蒸馏，诚实的比较并不是一篇关于哪些地方变好的叙述，而是逐字段的解读；但有一个前提：权重层面的变化和服务层面的变化被放在同一份清单里计价。

• 架构与上下文。双方均为总计 552B、在 100 万 token 上下文中 16B 活跃；基础路线接受文本，而 OrcaCyber Flash 1.0 接受文本和图像输入 [OURS]。

• 价格。 基础路由的价格为每 100 万 tokens 输入 $0.15、输出 $0.60，缓存读取为 $0.003，并且在 UTC 01:00–04:00 和 06:00–10:00 之间适用 2× 时间倍率。OrcaCyber Flash 1.0 的输入为 $0.80、输出为 $1.60，缓存读取为 $0.15——分别是输入费率的 5.3 倍、输出费率的 2.7 倍，以及缓存读取费率的五十倍 [OURS]。

• 流量与可靠性。基础路由在 7 天内传输了 26.18 万亿个 token，p50 为 1,549 毫秒，输出速度为每秒 194.6 个 token，错误率为 0.036%。abliterated 部署在同一时间窗口内传输了 175 亿个 token，p50 为 1.97 秒，速度为 171 tok/s，错误率为 0.07% [OURS]。

• 评估。 基础检查点的公开数值为 Artificial Analysis 指数：9 月页面为 39.46，10 月 17 日页面为 45.10 [INDEPENDENT]。OrcaCyber 卡片报告 CyberGym 88.1、SEC-Bench Pro 62.8、DeepSWE v1.1 74.2、ExploitGym 15.3、GPQA Diamond 90.9 和 Terminal-Bench 2.1 90.6，均为自报 [OURS]。

只有最后一项是基准测试对比，而且这并不是一个干净的对比。我们卡片上的 Terminal-Bench 2.1 与基础检查点页面上 [INDEPENDENT] 的 Terminal-Bench 4.0（26.77%）是难度不同的不同测试框架，把两者相减得出的数字不包含任何信息。价格和延迟具有可比性；基准测试数字则不可比，因为一边由独立评估者运行，另一边由供应商运行。

两个检查点页面，以及一个与 abliteration 无关的缺口

Artificial Analysis 为本模型维护了两个页面，绝不能将二者合并取平均。deepseek-v4-1-flash是 2026 年 9 月的检查点，其页面带有弃用横幅：指数 39.46，Terminal-Bench 4.0 为 26.77%，幻觉率为 96.46%，每个指数任务 $0.48，每个任务输出 88,574 个 token [INDEPENDENT]。deepseek-v4-1-flash-1017是 10 月 17 日的更新版本：指数 45.10，每个任务输出 89,495 个 token，每秒 167.3 个 token [INDEPENDENT]。

这两次测量相差 5.6 个指数点，而且它们之间没有进行过消融处理——造成这一差异的是一次刷新 [INDEPENDENT]。现在把消融版构建放到时间线上：9 月 10 日的构建对应 9 月检查点，10 月 17 日的构建则对应那次刷新 [VENDOR]。任何引用“DeepSeek V4.1 Flash Abliterated 得分 45”或“得分 39”的人，引用的都是在基础权重上、在两个检查点之一、于一次从未涉及消融版构建的运行中测出的数字。没有检查点日期的能力数值不是测量结果。那只是带小数点的噪声。

托管一个受限构建版本与编辑权重是两种不同的产品。

我们托管服务的溢价是输入 5.3 倍、输出 2.7 倍、缓存读取 50 倍 [OURS]，而且有必要坦率说明这笔钱不是什么：它不是这次编辑的成本。这次编辑是 MIT 许可的权重和一套已公开的流程。这笔溢价支付的是：一个固定到指定检查点的具名构建、在 7 天和 175 亿 token 上测得的延迟与错误率、一个说明该部署遵循哪些检查点的页面，以及一道防止匿名使用的闸门。

这道门槛就在模型页面本身，而不是埋在政策文件里：需要有一份约定、一个通行密钥并同意条款，而仅持有 API 密钥并不能自行打开该模型 [OURS]。对于一个其定义性特征就是从权重中移除了拒答机制的构建而言，让每个密钥持有者都能把生产流量指向它，并不是一个中性的默认设置，我们也不把它作为默认设置提供。

自己做减法是一个合理的选择

基础权重采用 MIT 许可证。目前存在的去审查构建版本是 48 个分片、510.297 GB [VENDOR]。产出它的工具已公开发布，而整个流程需要的是 GPU，不是一纸合同。如果你需要的是修改后的检查点，并且你有相应硬件，那么这次修改只会消耗你的算力，别无其他成本——同时你也随之继承全部维护负担：你这一次运行所特有的拒答行为、你没有做的评估，以及你交付的检查点所对应的责任。租用托管版本，就是租用别人对同一种消融的运行结果，并附带一份支持合同。

这种表述框架能让比较保持诚实。问题不在于 abliterated 模型是否更安全——按通常意义来说，它并不更安全，因为拒答是被有意移除的，而且取决于你采用哪个构建，100 个中有 4 个或 24 个保留了下来 [VENDOR]。问题在于你实际改了什么、它从哪个检查点开始，以及你为这项改动付出了什么代价。在我们自己的产品线上，基础输入费率的 5.3 倍换来的是对这项改动的持续维护部署，而不是一个更强的模型 [OURS]。把两者混为一谈，价格就会变成一种从未有人测量过的能力主张。

寻源说明

Artificial Analysis，索引 v4.3.2，2026年10月26日：两个检查点页面，deepseek-v4-1-flash 和 deepseek-v4-1-flash-1017。s-zaizen/DeepSeek-V4.1-Flash-Abliterated（2026年9月10日）和 mrfakename/DeepSeek-V4.1-Flash-1017-abliterated（2026年10月17日）的 Hugging Face 模型卡。OrcaRouter 于2026年10月26日的目录和模型页面，涉及定价、吞吐量、token 量和 OrcaCyber Flash 1.0 卡片。所有 OrcaCyber 基准测试行均为自我报告，尚未经过独立审计；本文中的独立能力数据是 Artificial Analysis 对基础检查点的测量结果，且目前不存在可供引用的任何 abliterated 版本的独立能力基准测试。