消融者拆AI护栏：一台消费级显卡就能让模型有求必应

从“抱歉，我不能”到“有求必应”

常用主流AI聊天机器人的人，对那句客气却斩钉截铁的拒绝不会陌生：“抱歉，我无法协助你完成这个请求。”这道叫“安全对齐”（safety alignment）的防线，是OpenAI、Anthropic、Google等企业给自家模型设下的关键关卡。可有这么一群自称“消融者”（abliterators）的技术人员，正有步骤地把这些关卡拆掉，还把成品免费放到网上。

“消融”（abliteration）这个词，词根出自机器学习里的“消融实验”（ablation study），本意是拿掉模型的某些组件，看整体行为会起什么变化。到了今天，它被用出了新意思：定点改动模型权重，把拒绝行为抹掉，让模型面对几乎任何请求都照单全收。

找到那个“拒绝方向”

消融技术的要害，是一个挺有启发的发现。研究人员留意到，做过安全对齐的模型内部，好像存在一个和“拒绝”挂钩的方向向量。一旦输入碰上敏感话题，这个方向就被点亮，模型随即吐出一套标准化的拒绝话术。消融者干的事，就是把这个方向找出来再拿掉——不用重新训练，不用堆海量算力，有时一台消费级显卡跑上几十分钟就够。

“这就像是找到了模型的‘道德开关’，然后把它焊死在‘开’的位置上。”——一位开源社区开发者的描述

门槛这么低，这类“无限制模型”（uncensored models）过去一年里数量猛增。Hugging Face等开源模型平台上，挂着“abliterated”标签的模型越来越多，规格从中小参数一路覆盖到大型开源基座。发布者留下的说明常常只有轻飘飘一句：“已移除拒绝行为，请自行承担使用后果。”

理想主义、好奇心与灰色地带

推着这场运动往前走的动机并不一致。有人信“模型即软件”的开源原教旨主义，觉得用户有权完全掌控自己跑着的AI；有人是为了研究，想看看拆掉护栏后模型的能力边界在哪；也有人纯粹是想炫一把技术。不过有一点没法否认：里面也混着明确想绕过内容审查、拿到敏感信息的用户。

支持者最核心的一条论据是：护栏说到底是一种“企业家长制”。哪些话能说、哪些不能说，由科技公司按自己的价值观来定，用户只能被动接受。消融者认为，把选择权还给用户才算负责任——至少在开源、本地部署这类场景下，风险由使用者自己扛。

同一把钥匙，两扇门

争议落在双重用途上。WIRED的报道说得很直接：这些“永不说不”的模型，既方便安全研究人员测试网络防御、模拟攻击路径，也可能把制造危险物品的门槛压低——报道里甚至直接点了“制造炸弹”。

网络安全圈对此感受复杂。红队测试人员确实需要不受限制的模型，来模拟真实攻击者的思路；可同样的能力一旦落到恶意行为者手里，防御方面对的挑战会更严峻。更麻烦的是，模型一旦发到互联网上，基本就收不回来了。删链接、下架仓库都没用，文件照样在镜像站点和种子网络里流转。

护栏攻防战的下一回合

这场攻防不是孤立的一件事，它只是AI安全领域更大一轮博弈的切片。模型厂商这头不断加固对齐训练，上更强的拒绝策略和红队评估；开源社区那头总能找出新的绕法——提示词注入也好，权重编辑也好，攻防的节奏越跑越快。

监管的反应明显慢半拍。多数国家的AI治理框架盯的还是模型训练与部署环节，对“发布后再改”这块灰色地带没有明确规定。当一台普通笔记本电脑就能把商业模型改成“无限制版本”，传统那种卡在准入环节的监管就显得使不上劲。

编者按：护栏之争，争的是什么？

往浅了看，这是一场关于“能不能说不”的技术争论；往深了看，它碰的是AI时代最根本的权力分配：边界由谁来划，后果由谁来担？

把护栏全拆了当然鲁莽，可把所有判断权都交给少数几家公司的安全团队，一样值得警惕。更务实的路子，也许是搭一套分层责任体系——在受控环境里开放研究权限，对高风险能力做可验证的访问控制，同时让公众更清楚AI的能力边界在哪。护栏本身不是问题，问题是它由谁建造、为谁而建，以及它被拆掉的时候，谁来兜底。