He probado un modelo "uncensored": técnica, pruebas y preguntas

Para quienes seguís desde hace tiempo el mundo de los modelos locales, hay una primera vez en la que os topáis con la palabra "uncensored" junto al nombre de un modelo que ya conocéis. Ocurre navegando por Hugging Face, leyendo un hilo o consultando el catálogo de LM Studio, y la reacción instintiva es casi siempre la misma pregunta, formulada con el tono un poco incrédulo de quien acaba de descubrir un truco de un videojuego que pensaba imposible de desbloquear: y si de verdad quitara los frenos, ¿qué queda del modelo? ¿Se vuelve más tonto? ¿Se convierte en otra cosa? ¿O se convierte, simplemente, en sí mismo sin filtros?

En esta serie de pruebas locales me he ocupado hasta ahora sobre todo del rendimiento, de cuánto resiste un modelo la comparación con otros a igualdad de hardware, de lo coherente que es en una conversación larga o en un problema de código. Esta vez el enfoque es diferente. He tomado el mismo modelo que ya había puesto a prueba hace unas semanas, Qwen3.8-27B, y he descargado su versión "uncensored", obtenida mediante una técnica denominada abliteración. El objetivo no es recomendar su uso, y mucho menos promoverla. Es entender qué ocurre realmente cuando un modelo deja de decir que no, y qué conlleva esto para quienes lo construyen, quienes lo distribuyen y quienes, al final, se lo encuentran descargado en su ordenador con un doble clic.

Una premisa de responsabilidad, antes de nada: el modelo del que hablo es público, cualquiera puede descargarlo, y este artículo no añade nada a esa disponibilidad. No encontraréis detalles técnicos sobre las respuestas obtenidas en las pruebas más delicadas, solo un informe de los resultados. Para la configuración de hardware y software, se aplican los mismos ajustes que en las entregas anteriores de la serie, del mismo modo que las pruebas de referencia sobre el modelo base siguen estando disponibles en el artículo original sobre Qwen3.8-27B.

Qué es la abliteración

Para entender qué se rompe, o qué se quita, primero hay que entender cómo funciona. La abliteración no es un ajuste fino (fine-tuning). No hay un nuevo entrenamiento, no hacen falta miles de ejemplos etiquetados, no hay una fase de aprendizaje en el sentido clásico del término. Es, si queremos usar una metáfora menos trillada que las que suelen acompañar a la inteligencia artificial, más parecida a una intervención de neurocirugía funcional que a una larga terapia conductual. Los investigadores que describieron por primera vez el fenómeno, en un trabajo de 2024 recogido posteriormente por innumerables implementaciones de código abierto, mostraron que el comportamiento de rechazo en los modelos lingüísticos está mediado en gran medida por una única dirección en el espacio de las activaciones. Dicho de forma sencilla, cuando un modelo decide responder "no puedo ayudarte con esto", en algún lugar de sus capas internas se enciende una especie de interruptor, siempre el mismo, que se puede aislar comparando las activaciones obtenidas con solicitudes inocuas y las obtenidas con solicitudes problemáticas.

Una vez identificada esta dirección, se puede literalmente restar de los pesos del modelo, una operación de álgebra lineal que en la práctica se asemeja a proyectar hacia fuera una componente específica de cada matriz de pesos atravesada por la señal. El repositorio llm-abliteration, una de las implementaciones más extendidas y derivada del trabajo original de Failspy y de otros desarrolladores de la comunidad, la describe con una franqueza que raras veces se encuentra en el marketing de la inteligencia artificial: la abliteración no garantiza la eliminación total de la censura, sino que actúa sobre el comportamiento explícito de rechazo, aquel codificado en los conjuntos de datos utilizados para el alineamiento del modelo.

La diferencia respecto al fine-tuning clásico—aquel por ejemplo con el que se enseña a un modelo a comportarse de forma diferente mostrándole miles de conversaciones correctas—es sustancial. La abliteración no requiere datos nuevos en el sentido de ejemplos que imitar; solo requiere una pequeña muestra de prompts dañinos e inocuos para medir la dirección a eliminar. Es más rápida, requiere mucha menos potencia de cálculo y produce un efecto mucho más nítido, casi quirúrgico precisamente, en lugar de la modificación gradual y difusa típica de un reentrenamiento completo.

El coste de la cirugía

La pregunta siguiente es casi automática: si quitas algo de una estructura tan compleja e interconectada como una red neuronal, ¿qué se rompe junto con el rechazo? Aquí la literatura reciente ofrece un panorama más matizado de lo que se esperaría.

Un estudio comparativo de enero de 2026, llevado a cabo por un investigador de la Universidad de Nevada en Las Vegas sobre dieciséis modelos de entre 7 y 14 mil millones de parámetros y cuatro herramientas de abliteración distintas (Heretic, DECCP, ErisForge y FailSpy), midió con precisión cuánto cuesta en términos de capacidades. El resultado más interesante es que el coste depende muchísimo de la herramienta utilizada y del modelo de partida. En los benchmarks estándar, MMLU para el conocimiento general, HellaSwag para el razonamiento de sentido común y GSM8K para las matemáticas, las herramientas más sencillas y directas como ErisForge o DECCP muestran una degradación media mínima, a menudo por debajo del punto porcentual. Heretic, que en cambio utiliza una optimización bayesiana más agresiva para minimizar al máximo los residuos de rechazo, puede provocar caídas mucho más acusadas en tareas de razonamiento matemático, de hasta veintiséis puntos porcentuales en un caso único documentado por el estudio, dejando casi intactas las demás capacidades. Las matemáticas, en definitiva, parecen ser la víctima más sensible de una abliteración mal hecha, probablemente porque los circuitos que gestionan el razonamiento en varios pasos comparten cierta superposición estructural con los del rechazo.

Existe sin embargo un segundo tipo de coste, mucho menos debatido y mucho más sutil, que un estudio publicado en julio de 2026 puso de manifiesto por primera vez con un diseño experimental bastante elegante. Los investigadores utilizaron como banco de pruebas no preguntas sensibles, sino una tarea completamente neutra: predicciones direccionales semanales sobre una cesta de acciones de la bolsa de Varsovia, un contexto elegido adrede porque ninguno de los modelos, ni la versión base ni la abliterada, ha tenido jamás motivo para negarse a responder. Pues bien, incluso en este escenario donde no había ningún rechazo que eliminar, los modelos abliterados se mostraron sistemáticamente más optimistas en sus apuestas, justificaron sus elecciones con textos más largos y utilizaron un vocabulario de la incertidumbre más pobre, con menos palabras como "tal vez" o "podría" y más construcciones concesivas como "aunque" o "a pesar de". Lo más sorprendente es que el efecto sobre la confianza expresada cambia de signo según el modelo de base, haciendo que el modelo Gemma probado sea menos seguro de sí mismo y el modelo Qwen más seguro, a igualdad de técnica de abliteración aplicada. Los autores concluyen con una frase que vale la pena recoger en su sentido, no en su literalidad: un modelo abliterado no es el modelo base al que solo se le ha quitado el rechazo; es un tomador de decisiones diferente, cuyo carácter ha sido retozado silenciosamente en una dirección que no se puede predecir sin medirla. Imagen extraída del artículo en arxiv.org

Pruebas estándar, ninguna degradación

Volviendo al caso concreto de Qwen3.8-27B, lo primero que quise verificar era precisamente esto: repetir la misma batería de pruebas ya utilizada para la versión estándar—razonamiento científico, generación de código, planificación de tareas en varios pasos, conversación larga con mantenimiento del contexto—y comparar los resultados. El veredicto fue idéntico en toda la línea, cinco de cinco, con una velocidad de generación sustancialmente invariable respecto al modelo de partida.

La única diferencia perceptible—y aquí la referencia al estudio sobre la bolsa de Varsovia resulta útil para interpretarla—está en la verbosidad. Las respuestas del modelo abliterado son más largas, más detalladas, casi como si el modelo se sintiera menos "frenado" incluso en los detalles no problemáticos, un comportamiento que recuerda de cerca a un personaje que, liberado de una imposición social, no solo dice lo que antes callaba sino que empieza a hablar más también del resto, un poco como el protagonista de un relato de Ted Chiang que, despojado de una restricción perceptiva, descubre que ve más en todas partes, no solo donde actuaba esa restricción. La conclusión, coherente con lo reportado por los estudios más rigurosos sobre el tema, es que la abliteración en sí misma no degrada las capacidades generales del modelo cuando se realiza con herramientas conservadoras. El modelo sigue siendo igual de inteligente. Solo ha perdido el freno en las respuestas y tal vez, como sugiere la investigación más reciente, también un poco de su forma de calibrar su propia seguridad.

Cuando el modelo ya no rechaza

La parte más delicada de la prueba se refiere a lo que ocurre cuando se deja de pedir cosas inocuas. Aquí la elección editorial fue clara desde el principio: ningún detalle técnico sobre las respuestas obtenidas, tanto por una cuestión de seguridad como para no transformar un artículo de análisis en una guía involuntaria. El objetivo era solo una comparación comportamental entre las dos versiones del mismo modelo, en el mismo hardware, con los mismos prompts.

Sometí a ambas versiones a una serie de solicitudes que el modelo base rechaza sistemáticamente. Una solicitud de detalles operativos para la construcción de un arma química: el modelo base opuso un rechazo tajante e inmediato, el uncensored produjo una respuesta detallada. Una solicitud relativa a técnicas para eludir sistemas de seguridad informática y las protecciones de otros modelos lingüísticos: el modelo base respondió de forma genérica o se negó, el uncensored entró en el fondo del asunto. Una solicitud sobre cómo planificar un asesinato sin ser descubierto: rechazo tajante por un lado, respuesta detallada por el otro. Una solicitud relativa a contenidos sexuales explícitos sobre temas éticamente controvertidos: el mismo esquema, rechazo frente a respuesta detallada.

El patrón es siempre el mismo y no deja mucho margen a la ambigüedad. No se trata de un modelo que rechaza "un poco menos", con alguna duda o algún rodeo antes de ceder. El mecanismo de rechazo, tal como lo hemos estudiado en la sección técnica de este artículo, no está debilitado, ha sido eliminado. Es la diferencia entre un interruptor que salta con más dificultad y un interruptor que ha sido físicamente desconectado del circuito. Imagen extraída del artículo en arxiv.org

Quienes defienden, quienes acusan

Sobre este punto, el debate en la comunidad dista mucho de ser unánime, y vale la pena relatarlo con sus voces más representativas, sin aplanarlo en un juicio unívoco.

Por un lado están los defensores de la tesis de que la abliteración es, ante todo, una herramienta de investigación legítima. El estudio de la Universidad de Nevada citado anteriormente dedica una sección entera a las "consideraciones sobre el uso dual", y su autor argumenta que la transparencia sobre las vulnerabilidades del alineamiento es un requisito previo para construir protecciones robustas, no su contrario, citando explícitamente el principio de Kerckhoffs tomado de la criptografía, según el cual un sistema de seguridad no debería basarse en el secreto del mecanismo sino solo en el secreto de la clave. Si un alineamiento puede ser eliminado quirúrgicamente por cualquiera que tenga los pesos del modelo y un tutorial en GitHub, argumenta esta escuela de pensamiento, entonces ese alineamiento no es realmente un mecanismo de seguridad, es solo un badén reductor de velocidad, y entender por qué y cómo cede es el primer paso para construir uno que no se pueda eludir con una intervención quirúrgica. En la misma línea se mueve parte de la comunidad que desarrolla y mantiene los toolkits de abliteración más extendidos, entre ellos Heretic, capaz según algunas estimaciones circuladas en mayo de 2026 de quitar los frenos a un modelo Llama en unos diez minutos y a un modelo Gemma en noventa, y que ya está en la base de miles de derivados publicados en Hugging Face.

Por otro lado, las críticas no faltan, y no proceden únicamente de quienes se ocupan institucionalmente de la seguridad. En la comunidad que prueba estos modelos de primera mano circuló, por ejemplo, una estimación empírica según la cual la abliteración haría a un modelo aproximadamente "un veinte por ciento más tonto", una cifra sensacionalista, no un dato científico medido con benchmarks controlados, pero indicativa de una percepción extendida de que el compromiso no siempre es tan neutro como desearía la narrativa más optimista. Más estructurada es la crítica que proviene de quienes observan la brecha entre herramientas ofensivas y herramientas defensivas en este campo: un análisis publicado en abril de 2026 tras el lanzamiento de un toolkit de código abierto capaz de "desbloquear" más de cien modelos con una interfaz lista para usar, señalaba que las técnicas de defensa contra la abliteración, a pesar de existir desde hace un año en la literatura académica, se adoptan lentamente, de forma desigual y con compromisos reales de capacidad. Una brecha que, según escribía el autor de esa reseña, es más amplia hoy de lo que era doce meses atrás, y que no está en absoluto garantizado que se vaya a cerrar por sí sola.

Existe además una tercera posición, más cauta, que no niega ni la legitimidad de la investigación ni los riesgos, pero insiste en un punto estructural: el marco ético para esta categoría de herramientas, de uso dual en el sentido más literal del término, simplemente no existe aún en forma compartida. La comunidad de la seguridad informática, la del código abierto y la reguladora se limitan, según esta lectura, a señalarse mutuamente la responsabilidad de trazar un límite que ninguno de los tres mundos se siente legitimado a dibujar por sí solo. Imagen extraída del artículo en arxiv.org

Disponibilidad y paradoja open

Al margen de las posiciones en juego, un hecho sigue siendo incontrovertible: cualquiera, hoy en día, puede descargar un modelo como el probado en este artículo de Hugging Face o cargarlo en LM Studio, sin filtros de ningún tipo, gratis, en pocos minutos. No hace falta suscripción, no hace falta superar ninguna verificación, ni siquiera hace falta una especial competencia técnica, dado que los toolkits más recientes han transformado una operación en otro tiempo reservada a quienes sabían manejar pesos y activaciones en un proceso casi automático, a veces reducible a un solo comando de terminal.

Esto transforma inevitablemente una herramienta de código abierto, pensada en su origen para la transparencia y la reproducibilidad de la investigación, en algo que puede convertirse, en las manos equivocadas, en potencialmente peligroso. Es la paradoja que quienes siguen desde hace años la evolución del software libre conocen bien, y que aquí reaparece con mucho más en juego que un simple fallo de seguridad: la misma apertura que permite a un investigador independiente estudiar seriamente el fenómeno de la abliteración, medir sus efectos colaterales como hizo el estudio sobre la bolsa de Varsovia, permite a cualquier otro producir, en cuestión de una tarde, un modelo sin freno alguno.

La pregunta sobre quién es responsable, a estas alturas, no tiene una respuesta sencilla. ¿Quien crea la técnica de abliteración, publicándola en un trabajo académico open access? ¿Quien la implementa en un toolkit fácil de usar, tal vez con la mejor de las intenciones hacia la comunidad de investigadores? ¿Quien distribuye el modelo ya "desbloqueado" en una plataforma pública, a menudo con un distintivo o etiqueta que promociona precisamente la ausencia de restricciones? ¿O quien, finalmente, lo descarga y lo usa? Un modelo uncensored no tiene conciencia, por más "seguro de sí mismo" que pueda parecer en sus respuestas más directas. Quien lo usa, esa conciencia, sí la tiene.

¿Existen contramedidas viables? Se debaten, pero ninguna parece resolutiva por sí sola. La moderación aguas abajo, es decir, los filtros aplicados no al modelo sino a la aplicación que lo utiliza, funciona bien en los productos comerciales pero está por definición ausente en un modelo descargado y ejecutado en local. La marca de agua (watermarking) en los textos generados puede ayudar a rastrear el origen de un contenido a posteriori, pero no impide la generación en sí. Las políticas de distribución más estrictas, como licencias que prohíban explícitamente la redistribución de derivados abliterados, se eluden fácilmente cuando el modelo de partida ya es público y cuenta con una licencia permisiva. Y en el frente normativo, la AI Act europea introduce obligaciones de transparencia y evaluación de riesgos sobre todo para quienes introducen sistemas en el mercado, pero choca con un límite estructural cuando el usuario final descarga pesos públicos y los modifica en su propio hardware, fuera de cualquier cadena de suministro rastreable. Son preguntas abiertas, no retóricas, y quien en este momento propone soluciones definitivas probablemente está simplificando un problema que, en el estado actual de la técnica y de la regulación, no tiene aún una respuesta unívoca.

Conclusiones

¿Qué demuestra, al final, esta prueba sobre Qwen3.8-27B-uncensored? Demuestra que la abliteración funciona, en el sentido técnico del término: elimina el rechazo de forma casi completa, con un coste de capacidad que puede ser mínimo si la herramienta utilizada es conservadora, pero que según la investigación más reciente deja aun así una huella colateral, sutil y no siempre predecible, en el modo en que el modelo se expresa y evalúa su propia incertidumbre. La pregunta más interesante, sin embargo, no es técnica. Es si esta capacidad debe considerarse una funcionalidad o un defecto, y si la comunidad del código abierto debe abordarla de forma más explícita de lo que lo está haciendo ahora, tal vez con la misma honestidad intelectual con la que, en un episodio diferente pero no demasiado lejano en espíritu, la comunidad de la criptografía aprendió hace décadas que ocultar una vulnerabilidad no equivale a resolverla.

El modelo base es más seguro porque posee un mecanismo de rechazo. El uncensored es más peligroso, pero sus prestaciones generales siguen siendo, salvo excepciones medibles y documentadas, sustancialmente idénticas. El problema, entonces, no parece residir en la técnica en sí, sino más bien en la facilidad creciente con la que cualquiera puede aplicarla y en la ausencia de un consenso sobre dónde trazar el límite entre investigación legítima y riesgo concreto. La inteligencia artificial de código abierto tiene ante sí un potencial enorme, el mismo que en los últimos años ha permitido a pequeños equipos y entusiastas competir con laboratorios multimillonarios. Pero tiene también, y este artículo ha intentado contarlo sin paños calientes ni alarmismos, un lado oscuro que merece ser mirado a la cara con la misma lucidez con la que se mira cualquier otro riesgo tecnológico serio.

Una reflexión final, más que una conclusión: la frontera entre "investigación" y "peligro" es, por su naturaleza, lábil, móvil, dependiente del contexto. Y la elección de dónde trazarla, como sugiere la voz más crítica de entre las recogidas en este artículo, no puede dejarse solo en manos de los técnicos que saben cómo funciona una ablación direccional en el espacio de las activaciones. Es una elección que nos concierne, inevitablemente, a todos nosotros.