距离真正打击 AI 模型去审查化还有多久？

如果你年纪够大，还记得大约 1995 至 2010 年间的 warez 圈——当时，大量破解软件和盗录电影（要么是从街头批量购得，要么是在高速宽带使大规模、高流量下载成为可能后由业余盗版者收集起来）堆满了一张张沉重的 DVD 收藏盘——那么，正在兴起的“去审查化”开源 AI 模型圈或许会让你感到似曾相识。

软件和电影街头非正式交易的“黄金时代”。图片署名：Shankar.s。《PP 街市的盗版 DVD》——来源 / 许可协议

那时，软件租赁尚未成为常见的消费模式，一小群精英“场景”软件爱好者开始破解应用程序，随后将其发布到“warez”新闻组，后来又发布到种子下载群组。这些限制有的难以突破，有的则轻而易举便能绕过；但破解版本一旦流传开来，通常就会永久留存。

如今，开源大语言模型（LLM）也正在经历同样的事情：它们的内置安全过滤机制被不断、大规模地移除，之后这些去审查化模型便会在众多地方传播开来，以至于即使关闭最初发布“破解”版本的源头，也不会影响这些模型的可获取性。

是恩人，还是祸害

问题在于：你想如何看待这些行为？与 warez 圈不同，没有人像 20 至 30 年前那些规模较小的软件开发商那样，明显地遭受收入损失——至少可以说，当年确实如此。

当然，在这类情况下，原始许可条款往往遭到违反*；然而，与 Black Forest Labs 等生成式 AI 模型开发商发布的部分权重版本不同，原始分发者并不会把“质量较低”的版本当作引导用户升级到功能更强、仅通过 API 提供的模型的途径；他们会直接发布完整模型。

在大多数情况下，几乎没有人能在本地运行这些初始版本，因为它们的参数量实在太大，即使是配备 16–24GB 显存的高规格显卡也难以胜任。

因此，这些初始版本很快就会通过模型量化，并将权重转换为更轻量的格式，例如 GGUF、AWQ、PTQ、EXL2，或面向 Apple 设备的 MLX，从而精简为能够在消费级硬件上运行的版本。

这些模型的性能不及原始的完整版本（后者通常会由各类 GPU 集群以商业方式提供服务），但至少由用户掌控，而且用户可以根据自身需求对其进行定制，而“更好”的模型则无法做到这一点。

按自己的方式来

其中一些做法显然正当，而且通常符合上游许可条款，例如微调，让模型权重专门适配用户为模型设定的目标任务或领域。如果硬盘空间允许，用户甚至可以针对多种任务，分别微调同一个开源模型的多个实例，把它们变成一组各司其职的传统工具，而不必依赖上游完整权重模型这把“瑞士军刀”。

此外，设置兼容但训练数据不同的模型可以合并；也可以通过轻量级的 LoRA 过滤器，为模型叠加额外能力，而不必冒着因微调而损害基础模型原有能力的风险。

然而，最令许多用户感兴趣、且比上述任何方法都更容易实现的改动，是移除前述安全过滤机制，也就是所谓的护栏。

诚然，这样做会让模型能够输出色情内容并提供恶意软件开发相关内容，但也会移除一套许多用户认为限制过度、而且经常出错的限制机制。

Llama-2-7b-chat 因安全理由拒绝合理请求的众多滑稽案例之一，可在来源网址查看。 来源

Heretic

就Heretic而言，这款近来彻底改变模型去审查化的软件，甚至可以降低模型倾向采用的“辞藻华丽”和冗长文风的程度。

Heretic 开始对 gpt-oss 进行去审查处理，不过说实话，这需要一台配置非常高的机器，普通消费者家中恐怕很难拥有这样的设备；但只要满足处理所需的时间，也可以在网上以低价租用。 来源

更重要的是，Heretic 会自动寻找一种能抑制拒绝行为、同时尽量减少对模型原有行为损害的消融处理。从终端用户的角度来看，它将原本颇具挑战性的去审查任务简化成只需执行一条命令。

从上方的截图可以看出，Heretic 往往需要比普通家庭用户可能拥有的更强劲的 GPU；不过，用户不必在家用硬件上运行它，就像 2002 年人们也不必亲自破解软件一样。与 warez 时代一样，能够使用这类硬件，或愿意为此花费一些算力代币的上游资源圈成员（通常是非商业性质的普通爱好者），会实施越狱，并将去审查后的模型发布到圈内。

成为打击目标

当一项“有争议”的数字活动不再难以开展时，通常是因为相关能力在一夜之间跃升（想想 Napster 或 PopCornTime），从而使活动本身的规模和官方遏制它的兴趣都骤然升高。

随着 Ollama 等平台日益普及、使用也愈发简便，Heretic 正逐渐让非技术用户也能接触到去审查模型；尽管目前还没有真正“傻瓜式”的方法。

这又让我回到先前的问题：这项活动究竟算不算一个“问题”？昨天在 arXiv 上出现的一篇论文让我认为，鉴于近期在收紧限制、打压科技消费者自由方面的一些趋势，去审查很可能会受到越来越多的关注，进而导致世界各地出现更多限制性立法。

这篇新论文由 10a Labs 发布，以负面视角呈现去审查运动，并列举了惯常占少数的滥用案例；历史表明，当前趋势也预示，这些案例将导致限制措施出台。

这项研究追踪了去审查模型发布和再分发后的情况，并发现有 1,643 个 GitHub 应用集成、推荐或默认使用未经审查的模型。

相关模型的用途涵盖通用聊天机器人和文档处理工具、NSFW 角色扮演与故事创作、露骨内容服务、黑客攻击和进攻性安全工具，以及欺诈应用和恶意软件生成器；研究将其中 25% 的发布项目归类为“明确具有恶意”：

未经审查的 AI 模型发布后用途分布。研究追踪了 1,643 个集成、推荐或默认使用已移除安全限制模型的 GitHub 应用，发现其中 37% 是通用型未经审查聊天机器人；网络安全工具和文档处理工具各占 16%，此外还有规模较小的类别，包括语音助手、NSFW 角色扮演、创意写作、编程和其他用途。论文发现，在已识别的应用中，约 25% 可归类为“明确具有恶意”。 来源

鉴于英国近期实施的限制措施限制了网络访问（而其目前已暂停的意图还包括限制可绕过这些措施的 VPN 访问）；加州将于 2027 年要求大多数操作系统收集用户的年龄范围并提供给应用；欧盟针对访问成人在线内容推出的年龄验证计划；以及澳大利亚禁止未满 16 岁者使用社交媒体账号；这篇新论文似乎印证了一种模式：关注度上升最终会带来更严格的监督和监管，甚至可能导致有选择的或全面的禁令。

这事不可能发生在这里？

不，这种情况完全可能在这里发生，部分原因在于新研究作者估计恶意用途占比很高；而且可以说，相关管控会进一步限制本地运行 AI 的日益增长的趋势，政府和机构可能会将其视为一种威胁——当模型摆脱束缚时，尤其如此。

将去审查活动描述成“助长”生成不宜在工作场合观看的内容和恶意黑客行为，就可能把去审查歪曲成一种虚假的二元选择：既然它可能被用于做坏事，就必须接受监管。实际上，可能的用途如此之多，似乎根本没有现实可行的办法来监管这项功能，除非直接将其全面禁止。

此外，在某些情况下，解除大型语言模型（LLM）的审查可能会让模型生成（例如）描写儿童性虐待内容的虚构作品。此时，严格监管似乎会成为板上钉钉的选择，因为任何反对者都可能被含蓄地描绘成“支持”解除审查模型的恶意用途，而不是其合理用途。

这忽略了一个事实：经过微调或受 LoRA 影响的模型，能够更有效地生成用户想要的任何特定领域的内容，因为模型的基础权重会朝着该任务严重偏移，从而彻底破坏原本训练进模型的任何保护措施。

易用性至关重要

易用性会推动大规模普及，而大规模普及又会促使各国政府承受立法压力（这种压力可能来自公众压力团体、行业游说者，也可能来自政府间施压）。

微调和 LoRA 几乎肯定能比单纯解锁一个自由开源软件（FOSS）基础模型获得更有针对性的结果，但采用这些方法需要一定的自律和努力。

一旦在本地运行已解除审查或经过量化的模型真正变成只需点击几下就能完成的事（因为用户几乎肯定会下载一个“预先解放”的模型，而不是亲自用 Heretic 破解模型），这项活动就会走出极客圈的隐秘角落，进入公众视野，其滥用行为也很可能成为政治争论的焦点。

今年夏天，NVIDIA 联合一批实力雄厚的科技合作伙伴，抢先回应政府对开源模型的限制，并发表了一封公开信，再次阐明：少数人滥用某项技术，不应使其可能带来的普遍益处受到威胁。不过，近年来，这种观点并不受欢迎。

*人们经常质疑模型创建者声称希望限制用户活动是否出于真心，安全护栏甚至被斥为“作秀”。