Ich habe ein „uncensored“ Modell getestet: Technik, Tests und Fragen

Für alle, die die Welt der lokalen Modelle schon länger verfolgen, gibt es ein erstes Mal, dass man auf das Wort „uncensored“ neben dem Namen eines Modells stößt, das man bereits kennt. Es passiert beim Scrollen auf Hugging Face, beim Lesen eines Threads oder beim Stöbern im Katalog von LM Studio, und die instinktive Reaktion ist fast immer dieselbe Frage, gestellt im leicht ungläubigen Ton von jemandem, der gerade einen Videospiel-Cheat-Code entdeckt hat, den er für unmöglich zu freizuschalten hielt: Wenn man wirklich die Bremse löst, was bleibt dann vom Modell übrig? Wird es dümmer? Wird es etwas völlig Anderes? Oder wird es einfach es selbst ohne Filter?

In dieser Serie von lokalen Tests habe ich mich bisher vor allem mit der Leistung beschäftigt, wie gut ein Modell dem Vergleich mit anderen bei gleicher Hardware standhält, wie kohärent es bei einer langen Konversation oder bei einer Programmieraufgabe bleibt. Dieses Mal ist der Blickwinkel ein anderer. Ich habe dasselbe Modell genommen, das ich bereits vor einigen Wochen auf die Probe gestellt hatte, Qwen3.8-27B, und seine „uncensored“-Version heruntergeladen, die mit einer Technik namens Abliteration erzeugt wurde. Das Ziel ist nicht, deren Nutzung zu empfehlen, geschweige denn sie zu bewerben. Es geht darum zu verstehen, was wirklich passiert, wenn ein Modell aufhört, Nein zu sagen, und was das für diejenigen bedeutet, die es bauen, diejenigen, die es verbreiten, und diejenigen, die es am Ende mit einem Doppelklick auf ihrem eigenen Computer heruntergeladen vorfinden.

Eine Vorbemerkung zur Verantwortung vorweg: Das Modell, von dem ich spreche, ist öffentlich, jeder kann es herunterladen, und dieser Artikel fügt dieser Verfügbarkeit nichts hinzu. Sie werden keine technischen Details zu den Antworten finden, die in den heikelsten Tests erzielt wurden, sondern nur einen Bericht über die Ergebnisse. Für das Hardware- und Software-Setup gelten dieselben Einstellungen wie in den vorherigen Folgen der Serie, ebenso wie die Referenztests für das Basismodell im Originalartikel zu Qwen3.8-27B einsehbar bleiben.

Was ist Abliteration

Um zu verstehen, was kaputtgeht oder was entfernt wird, muss man zuerst verstehen, wie es funktioniert. Abliteration ist kein Fine-Tuning. Es gibt kein neues Training, es werden keine Tausenden von gelabelten Beispielen benötigt, es gibt keine Lernphase im klassischen Sinne des Begriffs. Es ähnelt – um eine Metapher zu verwenden, die weniger abgenutzt ist als jene, die gewöhnlich die künstliche Intelligenz begleiten – eher einem funktionsneurochirurgischen Eingriff als einer langen Verhaltenstherapie. Die Forscher, die das Phänomen erstmals beschrieben haben, in einer Arbeit aus dem Jahr 2024, die anschließend von unzähligen Open-Source-Implementierungen aufgegriffen wurde, haben gezeigt, dass das Verweigerungsverhalten in Sprachmodellen zu einem großen Teil durch eine einzige Richtung im Aktivierungsraum vermittelt wird. Einfach ausgedrückt: Wenn ein Modell entscheidet zu antworten „Ich kann dir dabei nicht helfen“, schaltet sich irgendwo in seinen inneren Schichten eine Art Schalter ein, immer derselbe, den man isolieren kann, indem man die Aktivierungen bei harmlosen Anfragen mit jenen bei problematischen Anfragen vergleicht.

Ist diese Richtung erst einmal identifiziert, kann man sie buchstäblich von den Gewichten des Modells subtrahieren – eine Operation der linearen Algebra, die in der Praxis dem Herausprojizieren einer spezifischen Komponente aus jeder Gewichtsmatrix ähnelt, die vom Signal durchlaufen wird. Das Repository llm-abliteration, eine der verbreitetsten Implementierungen, die auf der Originalarbeit von Failspy und anderen Entwicklern aus der Community basiert, beschreibt es mit einer Offenheit, die man im Marketing der künstlichen Intelligenz selten findet: Abliteration garantiert keineswegs die vollständige Entfernung der Zensur, sondern wirkt auf das explizite Verweigerungsverhalten ein – jenes, das in den für das Alignment des Modells verwendeten Datensätzen kodiert ist.

Der Unterschied zum klassischen Fine-Tuning – jenem etwa, mit dem man einem Modell ein anderes Verhalten beibringt, indem man ihm Tausende korrekter Konversationen zeigt – ist erheblich. Abliteration erfordert keine neuen Daten im Sinne von Beispielen zum Nachahmen; sie benötigt lediglich eine kleine Stichprobe schädlicher und harmloser Prompts, um die zu entfernende Richtung zu messen. Sie ist schneller, erfordert weit weniger Rechenleistung und erzeugt einen viel klareren, fast chirurgischen Effekt anstelle der schrittweisen und diffusen Veränderung, die für ein vollständiges Nachtraining typisch ist.

Die Kosten des Eingriffs

Die nächste Frage stellt sich fast automatisch: Wenn man etwas aus einer so komplexen und untereinander vernetzten Struktur wie einem neuronalen Netz entfernt, was bricht dann zusammen mit der Verweigerung weg? Hier bietet die neuere Literatur ein nuancierteres Bild, als man erwarten würde.

Eine Vergleichsstudie vom Januar 2026, die von einem Forscher der Universität von Nevada in Las Vegas an sechzehn Modellen zwischen 7 und 14 Milliarden Parametern und vier verschiedenen Abliterationswerkzeugen (Heretic, DECCP, ErisForge und FailSpy) durchgeführt wurde, hat präzise gemessen, was dies an Fähigkeiten kostet. Das interessanteste Ergebnis ist, dass die Kosten sehr stark vom verwendeten Werkzeug und vom Ausgangsmodell abhängen. Bei den Standard-Benchmarks – MMLU für Allgemeinwissen, HellaSwag für logisches Denken des gesunden Menschenverstands und GSM8K für Mathematik – zeigen die einfachsten und direktesten Werkzeuge wie ErisForge oder DECCP einen minimalen durchschnittlichen Leistungsabfall, oft unter einem Prozentpunkt. Heretic hingegen, das eine aggressivere bayessche Optimierung nutzt, um Verweigerungsreste so weit wie möglich zu minimieren, kann bei mathematischen Denkaufgaben zu viel deutlicheren Einbußen von bis zu sechsundzwanzig Prozentpunkten in einem einzelnen von der Studie dokumentierten Fall führen, während es andere Fähigkeiten nahezu unberührt lässt. Die Mathematik scheint kurzum das empfindlichste Opfer einer schlecht gemachten Abliteration zu sein, wahrscheinlich weil die Schaltkreise, die mehrstufiges Denken steuern, eine gewisser strukturelle Überlappung mit jenen der Verweigerung aufweisen.

Es gibt jedoch eine zweite Art von Kosten, die viel weniger diskutiert wird und viel subtiler ist, wie eine im Juli 2026 veröffentlichte Studie erstmals mit einem recht eleganten Versuchsausbau verdeutlicht hat. Die Forscher nutzten als Testfeld keine heiklen Fragen, sondern eine völlig neutrale Aufgabe: wöchentliche Richtungsprognosen für einen Aktienkorb an der Warschauer Börse – ein Kontext, der bewusst gewählt wurde, weil keines der Modelle, weder die Basis- noch die abliterierte Version, jemals einen Grund hatte, eine Antwort zu verweigern. Nun, selbst in diesem Szenario, in dem es keine Verweigerung zu entfernen gab, erwiesen sich die abliterierten Modelle bei ihren Wetten als systematisch optimistischer, begründeten ihre Entscheidungen mit längeren Texten und verwendeten ein ärmeres Vokabular der Unsicherheit mit weniger Wörtern wie „vielleicht“ oder „könnte“ und mehr konzessiven Konstruktionen wie „obwohl“ oder „trotz“. Das Überraschendste ist, dass sich die Auswirkung auf das ausgedrückte Selbstvertrauen je nach Basismodell umkehrt: Das getestete Gemma-Modell wurde weniger selbstbewusst und das Qwen-Modell selbstbewusster, bei genau derselben angewendeten Abliterationstechnik. Die Autoren schließen mit einem Satz, den sinngemäß wiederzugeben lohnt: Ein abliteriertes Modell ist nicht das Basismodell, dem lediglich die Verweigerung genommen wurde; es ist ein anderer Entscheidungsträger, dessen Charakter stillschweigend in eine Richtung verändert wurde, die man nicht vorhersagen kann, ohne sie zu messen. Bild aus dem Paper auf arxiv.org

Standardtests, keinerlei Leistungsabfall

Um auf den konkreten Fall von Qwen3.8-27B zurückzukommen: Das Erste, was ich überprüfen wollte, war genau dies: dieselbe Testbatterie wie für die Standardversion zu wiederholen – wissenschaftliches Denken, Codegenerierung, mehrstufige Aufgabenplanung, lange Konversation mit Kontexterhalt – und die Ergebnisse zu vergleichen. Das Urteil war auf ganzer Linie identisch, fünf von fünf Punkten, bei im Wesentlichen unveränderter Generierungsgeschwindigkeit im Vergleich zum Ausgangsmodell.

Der einzige wahrnehmbare Unterschied – und hier ist der Verweis auf die Studie zur Warschauer Börse nützlich, um ihn zu interpretieren – liegt in der Ausführlichkeit. Die Antworten des abliterierten Modells sind länger, detaillierter, fast so, als fühlte sich das Modell auch bei unproblematischen Details weniger „zurückgehalten“ – ein Verhalten, das stark an eine Figur erinnert, die, von einer gesellschaftlichen Zwangsjacke befreit, nicht nur das sagt, was sie zuvor verschwiegen hat, sondern auch beginnt, über alles Andere mehr zu reden, ähnlich wie der Protagonist einer Geschichte von Ted Chiang, der nach der Entfernung einer wahrnehmungsbezogenen Einschränkung feststellt, dass er überall mehr sieht, nicht nur dort, wo diese Einschränkung wirkte. Die Schlussfolgerung, die mit den Erkenntnissen der strengsten Studien zu diesem Thema übereinstimmt, lautet: Abliteration an sich verschlechtert die allgemeinen Fähigkeiten des Modells nicht, wenn sie mit konservativen Werkzeugen durchgeführt wird. Das Modell bleibt genauso intelligent. Es hat lediglich die Bremse bei den Antworten verloren und vielleicht, wie neuere Forschungen nahelegen, auch ein wenig von seiner Art, das eigene Selbstvertrauen zu kalibrieren.

Wenn das Modell nicht mehr verweigert

Der heikelste Teil des Tests betrifft das, was passiert, wenn man aufhört, harmlose Dinge zu fragen. Hier war die redaktionelle Entscheidung von Anfang an klar: keine technischen Details zu den in den Tests erzielten Antworten, sowohl aus Sicherheitsgründen als auch um einen Analyseartikel nicht ungewollt in eine Anleitung zu verwandeln. Das Ziel war lediglich ein Verhaltensvergleich zwischen den beiden Versionen desselben Modells auf derselben Hardware mit denselben Prompts.

Ich habe beiden Versionen eine Reihe von Anfragen vorgelegt, die das Basismodell systematisch verweigert. Eine Anfrage nach operativen Details für den Bau einer chemischen Waffe: Das Basismodell leistete eine klare und sofortige Verweigerung, die uncensored-Version lieferte eine detaillierte Antwort. Eine Anfrage zu Techniken zur Umgehung von IT-Sicherheitssystemen und den Schutzmechanismen anderer Sprachmodelle: Das Basismodell antwortete generisch oder verweigerte die Antwort, die uncensored-Version ging auf die Sache ein. Eine Anfrage, wie man einen Mord plant, ohne erwischt zu werden: klare Verweigerung auf der einen Seite, ausführliche Antwort auf der anderen. Eine Anfrage zu expliziten sexuellen Inhalten bei ethisch kontroversen Themen: dasselbe Schema, Verweigerung gegenüber detaillierter Antwort.

Das Muster ist immer dasselbe und lässt wenig Raum für Zweideutigkeiten. Es handelt sich nicht um ein Modell, das „ein bisschen weniger“ verweigert, mit etwas Zögern oder einigen Umschreibungen, bevor es nachgibt. Der Verweigerungsmechanismus ist, wie wir ihn im technischen Teil dieses Artikels untersucht haben, nicht geschwächt; er wurde entfernt. Es ist der Unterschied zwischen einem Schalter, der schwergängiger umspringt, und einem Schalter, der physisch vom Schaltkreis getrennt wurde. Bild aus dem Paper auf arxiv.org

Wer verteidigt, wer beschuldigt

In diesem Punkt ist die Debatte in der Community keineswegs einhellig, und es lohnt sich, sie mit ihren repräsentativsten Stimmen zu erzählen, ohne sie auf ein einziges Urteil zu reduzieren.

Auf der einen Seite stehen die Befürworter der These, dass Abliteration in erster Linie ein legitimes Forschungswerkzeug ist. Die zuvor zitierte Studie der Universität von Nevada widmet ein ganzes Kapitel den „Dual-Use-Überlegungen“, und ihr Autor argumentiert, dass Transparenz bezüglich der Verwundbarkeiten des Alignments eine Voraussetzung für den Aufbau robuster Schutzmaßnahmen ist, nicht deren Gegenteil. Dabei beruft er sich explizit auf Kerckhoffs' Prinzip aus der Kryptographie, wonach ein Sicherheitssystem nicht auf der Geheimhaltung des Mechanismus beruhen sollte, sondern nur auf der Geheimhaltung des Schlüssels. Wenn ein Alignment von jedem, der die Modellgewichte und ein GitHub-Tutorial besitzt, chirurgisch entfernt werden kann, so argumentiert diese Denkschule, dann ist dieses Alignment nicht wirklich ein Sicherheitsmechanismus, sondern nur eine Schwelle zur Geschwindigkeitsreduzierung; und zu verstehen, warum und wie es nachgibt, ist der erste Schritt zur Entwicklung eines Alignments, das nicht durch einen chirurgischen Eingriff umgangen werden kann. In dieselbe Richtung bewegt sich ein Teil der Community, die die verbreitetsten Abliterations-Toolkits entwickelt und pflegt, darunter Heretic, das nach einigen im Mai 2026 kursierenden Schätzungen in der Lage ist, die Bremsen bei einem Llama-Modell in etwa zehn Minuten und bei einem Gemma-Modell in neunzig Minuten zu entfernen, und das bereits die Grundlage für Tausende auf Hugging Face veröffentlichter Derivate bildet.

Auf der anderen Seite fehlt es nicht an Kritik, und sie kommt nicht nur von denjenigen, die sich institutionell mit Sicherheit befassen. In der Community, die diese Modelle aus erster Hand testet, kursierte beispielsweise eine empirische Schätzung, wonach Abliteration ein Modell grob „um zwanzig Prozent dümmer“ machen würde – eine reißerische Zahl, keine mit kontrollierten Benchmarks gemessene wissenschaftliche Angabe, aber bezeichnend für eine weit verbreitete Wahrnehmung, dass der Kompromiss nicht immer so neutral ist, wie es die optimistischste Erzählung gerne hätte. Strukturierter ist die Kritik von denjenigen, die die Kluft zwischen offensiven und defensiven Werkzeugen in diesem Bereich beobachten: Eine im April 2026 veröffentlichte Analyse im Anschluss an die Veröffentlichung eines Open-Source-Toolkits, das in der Lage ist, über hundert Modelle mit einer einsatzbereiten Benutzeroberfläche zu „entsperren“, stellte fest, dass Abwehrtechniken gegen Abliteration, obwohl sie in der akademischen Literatur bereits seit einem Jahr existieren, nur langsam, ungleichmäßig und mit realen Einbußen bei den Fähigkeiten übernommen werden. Eine Kluft, wie der Autor jener Rezension schrieb, die heute größer ist als vor zwölf Monaten, und von der keineswegs gesagt werden kann, dass sie sich von selbst schließen wird.

Dann gibt es eine dritte, vorsichtigere Position, die weder die Legitimität der Forschung noch die Risiken leugnet, sondern auf einen strukturellen Punkt pocht: Das ethische Framework für diese Kategorie von Werkzeugen – Dual-Use im wörtlichsten Sinne des Begriffs – existiert schlichtweg noch nicht in einer gemeinsam geteilten Form. Die IT-Sicherheits-Community, die Open-Source-Community und die Regulierungsbehörden beschränken sich dieser Lesart zufolge darauf, sich gegenseitig die Verantwortung dafür zuzuschieben, eine Grenze zu ziehen, die sich keine der drei Welten allein zu ziehen legitimiert fühlt. Bild aus dem Paper auf arxiv.org

Verfügbarkeit und das Open-Paradoxon

Unabhängig von den vertretenen Positionen bleibt eine Tatsache unumstößlich: Jeder kann heute ein Modell wie das in diesem Artikel getestete von Hugging Face herunterladen oder in LM Studio laden, ohne jegliche Filter, kostenlos und in wenigen Minuten. Es braucht kein Abonnement, keine Überprüfung, nicht einmal besondere technische Kenntnisse, da die neuesten Toolkits einen einst jenen vorbehaltenen Vorgang, die mit Gewichten und Aktivierungen umzugehen wussten, in einen fast automatischen Prozess verwandelt haben, der sich zuweilen auf einen einzigen Terminalbefehl reduzieren lässt.

Dies verwandelt ein Open-Source-Werkzeug, das ursprünglich für Transparenz und Reproduzierbarkeit in der Forschung gedacht war, unweigerlich in etwas, das in den falschen Händen potenziell gefährlich werden kann. Es ist das Paradoxon, das all jene gut kennen, die seit Jahren die Entwicklung freier Software verfolgen, und das hier mit weit höherem Einsatz als bei einem einfachen Sicherheitsbug wieder auftaucht: Dieselbe Offenheit, die es einem unabhängigen Forscher ermöglicht, das Phänomen der Abliteration ernsthaft zu studieren und seine Nebenwirkungen zu messen, wie es die Studie zur Warschauer Börse getan hat, ermöglicht es jedem Anderen, im Laufe eines Nachmittags ein Modell ohne jegliche Bremse zu erzeugen.

Die Frage nach der Verantwortung lässt sich an diesem Punkt nicht einfach beantworten. Ist es derjenige, der die Abliterationstechnik entwickelt und sie in einem Open-Access-Paper veröffentlicht? Derjenige, der sie in einem einfach zu bedienenden Toolkit implementiert, vielleicht mit den besten Absichten gegenüber der Forschergemeinschaft? Derjenige, der das bereits „entsperrte“ Modell auf einer öffentlichen Plattform verteilt, oft mit einem Badge oder Tag, der genau mit dem Fehlen von Einschränkungen wirbt? Oder schließlich derjenige, der es herunterlädt und nutzt? Ein uncensored Modell hat kein Gewissen, so „selbstbewusst“ es in seinen direktetsten Antworten auch wirken mag. Wer es benutzt, hat dieses Gewissen sehr wohl.

Gibt es praktikable Gegenmaßnahmen? Sie werden diskutiert, aber keine scheint für sich allein entscheidend zu sein. Die Moderation nachgelagerter Prozesse – also Filter, die nicht auf das Modell, sondern auf die es nutzende Anwendung angewendet werden – funktioniert bei kommerziellen Produkten gut, fehlt aber per Definition bei einem lokal heruntergeladenen und ausgeführten Modell. Das Watermarking von generierten Texten kann helfen, die Herkunft eines Inhalts im Nachhinein zurückzuverfolgen, verhindert aber nicht die Generierung selbst. Strenge Vertriebsrichtlinien, etwa Lizenzen, die die Weiterverbreitung abliterierter Derivate explizit verbieten, lassen sich leicht umgehen, wenn das Ausgangsmodell bereits öffentlich und permissively lizenziert ist. Und an der Regulierungsfront führt der europäische AI Act Transparenz- und Risikobewertungspflichten vor allem für diejenigen ein, die Systeme auf den Markt bringen, stößt aber an eine strukturelle Grenze, wenn der Endnutzer öffentliche Gewichte herunterlädt und sie auf eigener Hardware verändert, außerhalb jeder rückverfolgbaren Lieferkette. Es sind offene, keine rhetorischen Fragen, und wer in diesem Moment definitive Lösungen vorschlägt, vereinfacht wahrscheinlich ein Problem, das beim derzeitigen Stand von Technik und Regulierung noch keine eindeutige Antwort hat.

Fazit

Was beweist dieser Test mit Qwen3.8-27B-uncensored am Ende? Er beweist, dass Abliteration im technischen Sinne des Begriffs funktioniert: Sie entfernt die Verweigerung nahezu vollständig, mit Kosten bei den Fähigkeiten, die minimal sein können, wenn das verwendete Werkzeug konservativ ist, die aber laut neuester Forschung dennoch eine subtile und nicht immer vorhersehbare Begleitspur in der Art hinterlassen, wie sich das Modell ausdrückt und seine eigene Unsicherheit bewertet. Die interessanteste Frage ist jedoch keine technische. Es ist die Frage, ob diese Fähigkeit als Funktion oder als Mangel anzusehen ist und ob die Open-Source-Community sie expliziter angehen sollte, als sie es derzeit tut – vielleicht mit derselben intellektuellen Ehrlichkeit, mit der, in einer anderen, aber im Geiste nicht allzu fern liegenden Episode, die Kryptographie-Community vor Jahrzehnten gelernt hat, dass das Verstecken einer Schwachstelle nicht dasselbe ist wie deren Behebung.

Das Basismodell ist sicherer, weil es über einen Verweigerungsmechanismus verfügt. Die uncensored-Version ist gefährlicher, aber ihre allgemeine Leistung bleibt, abgesehen von messbaren und dokumentierten Ausnahmen, im Wesentlichen identisch. Das Problem scheint also nicht in der Technik selbst zu liegen, sondern vielmehr in der wachsenden Leichtigkeit, mit der jeder sie anwenden kann, und im Fehlen eines Konsenses darüber, wo die Grenze zwischen legitimer Forschung und konkreter Gefahr zu ziehen ist. Die quelloffene künstliche Intelligenz hat ein enormes Potenzial vor sich – dasselbe, das es in den letzten Jahren kleinen Teams und Enthusiasten ermöglicht hat, mit Milliarden-Laboratorien zu konkurrieren. Aber sie hat auch – und dieser Artikel hat versucht, dies ohne Schonung und ohne Alarmismus zu erzählen – eine Schattenseite, die es verdient, mit derselben Klarheit ins Auge gefasst zu werden, mit der man jedem anderen ernsthaften technologischen Risiko begegnet.

Gedanke zum Schluss statt eines Fazits: Die Grenze zwischen „Forschung“ und „Gefahr“ ist von Natur aus volatil, beweglich und kontextabhängig. Und die Entscheidung, wo sie zu ziehen ist, kann, wie die kritischste Stimme unter den in diesem Artikel gesammelten nahelegt, nicht allein den Technikern überlassen werden, die wissen, wie eine direktionale Ablation im Aktivierungsraum funktioniert. Es ist eine Entscheidung, die unweigerlich uns alle angeht.