从“抱歉，我不能”到“有求必应”
常用主流AI聊天机器人的人，对那种客气而坚决的拒绝不会陌生：“抱歉，我无法协助你完成这个请求。”OpenAI、Anthropic、Google等公司给自家模型设下的这道核心防线，叫作“安全对齐”（safety alignment）。可一群自称“消融者”（abliterators）的技术人员正有步骤地把它拆掉，还把成果免费放到网上。
“消融”（abliteration）这个词，词根来自机器学习里的“消融实验”（ablation study），原本指的是拿掉模型的某些组件，看整体行为会受什么影响。现在它有了新意思：定向改动模型权重，把拒绝行为抹掉，让模型几乎什么请求都接。
找到那个“拒绝方向”
消融技术的核心发现挺有启发。研究人员注意到，做过安全对齐的模型内部，好像存在一个和“拒绝”行为相关的方向向量。输入一碰到敏感话题，这个方向就被激活，模型随即输出标准化的拒绝话术。消融者要做的，就是找到这个方向并把它移除。不用重新训练，也不用海量算力，有时几十分钟、一张消费级显卡就够。
“这就像是找到了模型的‘道德开关’，然后把它焊死在‘开’的位置上。”——一位开源社区开发者这样描述。
门槛这么低，这类“无限制模型”（uncensored models）过去一年里数量猛增。在Hugging Face等开源模型平台上，带“abliterated”标签的模型快速变多，规格从中小参数一直覆盖到大型开源基座。发布者常常只丢下一句轻描淡写的说明：“已移除拒绝行为，请自行承担使用后果。”
理想主义、好奇心与灰色地带
推着这场运动往前走的动机并不一致。有人信“模型即软件”的开源原教旨主义，觉得用户有权完全掌控自己跑着的AI；有人是为了研究，想看看去掉护栏后模型的能力边界在哪；也有人就是技术炫技。不过其中确实混着一批明确想绕过内容审查、拿敏感信息的用户，这一点没法否认。
支持者的主要论点是：护栏说到底是一种“企业家长制”。科技公司拿自己的价值观去定什么能说、什么不能说，用户只能被动接受。消融者认为，把选择权还给用户才叫负责任，至少在开源、本地部署的场景里，风险由使用者自己扛。
同一把钥匙，两扇门
争议集中在双重用途上。WIRED的报道说得很直接：这些“永不说不”的模型，既方便安全研究人员测试网络防御、模拟攻击路径，也可能把制造危险物品的门槛拉低，报道里甚至直接提到了“制造炸弹”。
网络安全领域的感受挺复杂。红队测试人员确实需要不受限制的模型来模拟真实攻击者的思路，可同样的能力一旦落到恶意行为者手里，防御方要面对的挑战会更严峻。更麻烦的是，模型一旦发到互联网上，几乎收不回来。删链接、下架仓库，都挡不住文件在镜像站点和种子网络里继续传。
护栏攻防战的下一回合
这场攻防不是孤立事件，它是AI安全领域更大博弈的一个缩影。模型厂商这边不断加固对齐训练，上更强的拒绝策略和红队评估；开源社区那边总能找到新的绕法，从提示词注入到权重编辑，攻防节奏越来越快。
监管层面的反应明显慢了一拍。多数国家的AI治理框架还是盯着模型训练和部署环节，对“发布后修改”这块灰色地带没有明确规定。一台普通笔记本电脑就能把商业模型改成“无限制版本”，传统的准入式监管这时候就显得力不从心。
编者按：护栏之争，争的是什么？
表面上，这是一场关于“能不能说不”的技术争论；往深了看，它碰到的是AI时代最根本的权力分配问题：边界由谁来定，后果由谁来担？
把护栏全拆了当然鲁莽，可把所有判断权都交给少数几家公司的安全团队，一样值得警惕。更务实的路子，也许是建一套分层的责任体系：在受控环境里开放研究权限，对高风险能力做可验证的访问控制，同时让公众更清楚AI能力的边界在哪。护栏本身不是问题，问题是护栏由谁建造、为谁而建，以及它被拆掉的时候，谁来兜底。
