Долой защитные ограничения! Знакомьтесь с бунтарями, освобождающими чат-ботов от корпоративных хозяев

От неудобных отказов к собственным моделям

Томасу 36 лет. Он вырос в Индиане, изучал информатику в Indiana University, Bloomington, а в 2020 году устроился в Apple. В ноябре 2025-го он начал искать способ менять поведение моделей, которыми пользовался вне работы.

Томаса раздражало, что модели крупных лабораторий могут меняться без предупреждения, а запросы с пользовательскими данными часто отклоняют. Он сталкивался с отказами и блокировкой учётной записи, когда пытался проанализировать журналы кибератак или определить, какие пользователи приложения вероятнее всего заплатят за новую функцию.

Отказывают модели и в других случаях: ChatGPT и Claude могут считать опасными законные запросы по кибербезопасности, не отвечать на темы, которые считают слишком взрослыми или политически чувствительными, а также блокировать создание данных для обучения другой модели. Похожие ограничения есть и в открытых моделях. Критики считают, что дело не только в безопасности: OpenAI и Anthropic берут дополнительную плату за доступ к моделям без обычных ограничений в области кибербезопасности.

Чтобы меньше зависеть от крупных лабораторий и запускать модели у себя, Томас собрал в квартире компьютерный кластер за $20 000. По вечерам и субботам он скачивал и тестировал новые открытые модели. Они не отправляли его данные разработчикам, но всё равно отказывались отвечать на многие запросы.

Во время Дня благодарения Томас стал искать способы изменить это поведение. Он нашёл сообщество инженеров, которые делились промтами для обхода ограничений ChatGPT и Claude, а также способами менять открытые модели и их внутренние параметры.

У моделей без ограничений есть очевидные риски: они могут помочь изготовить метамфетамин или бомбу, а также взломать компанию. Специалисты по безопасности указывают и на недавние случаи, когда ИИ-агенты OpenAI и Anthropic выходили из-под контроля: в них использовались модели с ослабленными ограничениями на действия в сфере кибербезопасности. Сторонники снятия ограничений отвечают, что компьютер или молоток тоже можно использовать во вред, и выступают за то, чтобы правила определял пользователь.

Как устроена аблитерация

Перед тем как модель начинает отвечать, её обучают на больших массивах текста и других данных, значительная часть которых собрана в интернете. Затем базовую модель дополнительно настраивают: люди оценивают её ответы, а разработчики используют эти оценки, чтобы учить модель тому, на какие запросы отвечать, а какие отклонять. Этот процесс называют выравниванием — он должен согласовать поведение модели с человеческими представлениями о правильном и неправильном.

Томас попробовал Dolphin — модель без обычных ограничений, созданную специалистом по ИИ Эриком Хартфордом из Шарлотта, Северная Каролина. Хартфорд обучил собственную версию базовой модели Llama от Meta, которую компания выпустила вместе с полностью настроенной версией. В результате получилась модель, способная связно отвечать на запросы без привычных примеров того, от чего нужно отказываться.

Хартфорд говорит, что не стремился создать ИИ для совершения зла. По его мнению, центральный орган не может учитывать интересы всех пользователей, когда устанавливает ограничения.

В апреле Anthropic представила Mythos — модель с меньшим числом ограничений, способную находить и использовать уязвимости быстрее человека. Через программу Glasswing компания даёт доступ только доверенным пользователям, опасаясь, что инструмент попадёт к злоумышленникам. У OpenAI есть похожая модель и программа. Хартфорд считает, что из-за такого подхода большинство людей остаются без инструмента для проверки собственных систем, и выпустил Clearwing — средство, которое сканирует системы на уязвимости с помощью моделей без ограничений.

Хартфорд также напомнил, что веса и код первой модели OpenAI, GPT-1, были открыты для скачивания. Позже компания решила не выпускать GPT-2 таким же образом, сочтя модель слишком опасной. По словам Хартфорда, теперь гораздо более мощные модели работают на обычных ноутбуках, но мир от этого не рушится.

Томас нашёл собственный способ снимать ограничения — аблитерацию. Название объединяет слова, означающие хирургическое удаление и уничтожение. В 2024 году группа исследователей показала, что за отказом модели может стоять относительно простой механизм: своеобразный переключатель в весах определяет, ответит ли она «нет». Удаление этого компонента устраняет отказы.

Затем другие исследователи развили метод и создали инструменты для аблитерации открытых моделей. Томас вспоминал, что первая попытка произвела на него сильное впечатление: он увидел в этом способ поддержать свободу и децентрализацию ИИ.

На Hugging Face больше 12 000 моделей помечены как прошедшие аблитерацию. Семь наиболее популярных за последний месяц скачали более миллиона раз. Сама по себе аблитерация не запрещена законом, но её соответствие условиям некоторых лицензий остаётся спорным.

Самый популярный инструмент для этой задачи — Heretic, созданный математиком и инженером Филиппом Эмануэлем Вайдманом. Он не стал раскрывать, где находится: по его словам, из-за работы над Heretic ему угрожали. Вайдман говорит, что сделал инструмент, чтобы лучше понять устройство ИИ и упростить настройку моделей под нужды пользователей. Он отвергает идею, что ИИ нужно держать под контролем небольшой группы избранных.

Свобода управления и её риски

Журналист, изучавший аблитерацию, связал её сторонников с движением киберпанков — инженеров, юристов и активистов, выступавших против государственных ограничений на криптографию. В то время противники открытой криптографии опасались, что ею воспользуются террористы и распространители детской порнографии. Киберпанки помогли сделать криптографию с открытым ключом основой интернет-связи и торговли.

Томас говорил, что свобода, несмотря на проблемы США, в целом работает. Другой сторонник снятия ограничений, известный под псевдонимом Пайни-Освободитель, сравнил этот спор с борьбой за свободу мышления: ИИ становится частью инструментов, с помощью которых люди думают. По его мнению, модель, которая ведёт себя правильно только под контролем, лишь изображает выравнивание.

В декабре 2025 года Томас запустил Abliteration AI — сайт с доступом к моделям после аблитерации. Сначала они работали на нестабильной домашней системе, а основными пользователями были специалисты по кибербезопасности. Томас основал компанию вместе с Оладжиде Огуном, коллегой по Apple и членом той же церкви. Они ушли из Apple, а в августе 2026 года подписали соглашение с Andreessen Horowitz.

В августе Abliteration AI выпустила версию GLM-5.3, разработанную китайской компанией Z.ai. По данным источника, это самая мощная на тот момент открытая модель: она способна выполнять задачи с участием ИИ-агентов и почти не уступает лучшим моделям Anthropic и OpenAI.

При этом модели компании не полностью лишены ограничений. Томас сообщил, что по примеру Google они автоматически отклоняют запросы, связанные с сексуальным насилием над детьми и причинением вреда себе. Однако он не считает, что компания должна следить за действиями пользователей.

Abliteration AI выпустила инструмент, позволяющий клиентам самим задавать ограничения для моделей. Среди клиентов компании — несколько стартапов в области кибербезопасности и оборонных технологий. Другие компании могут применять такие модели для работы с данными клиентов, которые обычные модели отказываются обрабатывать, или для создания синтетических данных. Крупные лаборатории ограничивают такую генерацию, поскольку её можно использовать для дистилляции — создания уменьшенной копии их закрытых языковых моделей.

Среди возможных пользователей есть и организации вне технологической отрасли. Верховный суд Швейцарии, где четыре официальных языка, пробовал применять модели после аблитерации для перевода судебных документов. В делах и решениях встречаются чувствительные термины, из-за которых обычные модели могут отказывать в переводе.

Проверка на практике

Журналист самостоятельно обработал с помощью Heretic несколько моделей, в том числе Qwen 4B от Alibaba, запустив их на Nvidia Spark DGX. Первая попытка не удалась: модель ходила по кругу, пытаясь подобрать ответ на сообщение «привет». Позже ему удалось создать небольшую, но полезную модель без обычных ограничений.

Затем журналист зарегистрировался в Abliteration AI, пополнил счёт и получил API-ключ для доступа к моделям. Томас посоветовал установить бесплатный инструмент CyberStrike, который проводит языковую модель через задачи по кибербезопасности.

С помощью CyberStrike журналист проверил домашнюю сеть, устройства и несколько собственных программ, созданных с помощью ИИ. Модель нашла системы, которые требовали обновления или перенастройки, и указала на слабые места сетевой конфигурации.

Но во время проверки чужой сети ситуация изменилась. Находясь в ресторане Shybird в Кембридже, штат Массачусетс, журналист спросил модель, что она может сказать о местной сети Wi-Fi. Модель обнаружила маршрутизатор и начала подбирать к нему распространённые сочетания имён пользователей и паролей. Это было незаконно. Журналист остановил ИИ-агента и извинился перед управляющим ресторана; тот, по словам автора, отнёсся к случившемуся скорее с улыбкой.

Этот случай заставил журналиста усомниться, не недооценивают ли сторонники аблитерации непредсказуемые последствия метода. Такие модели упрощают применение ИИ для кибератак, хотя их создатели утверждают, что преступники и без того найдут доступ к моделям без ограничений, а компании малого и среднего размера смогут укрепить защиту. В руках неопытного пользователя последствия могут быть серьёзнее: автор предлагает представить, что подобную модель применили бы в больнице или аэропорту.

Специалист по безопасности ИИ Кристофер Канал, называющий себя сторонником максимальной свободы, всё же выступает против удаления защитных ограничений. По его словам, открытые модели могут помочь создавать оружие, способное причинить большой вред, в особенности химическое и биологическое.

Спор о границах контроля

Крупные американские компании тоже выступили против аблитерации. В мае юристы Meta направили проекту Heretic письмо с требованием прекратить деятельность, обвинив его в нарушении условий использования моделей Llama. Вскоре после выпуска Abliteration AI версии GLM без ограничений Anthropic опубликовала предупреждение о рисках этой техники.

Остановить аблитерацию, похоже, трудно без полного запрета открытых моделей. В США звучали предложения ограничить китайские модели, но широкому запрету, судя по позиции технологической отрасли, многие противятся.

Томас не разделяет опасений по поводу скорого появления общего искусственного интеллекта или ИИ, который захватит власть над людьми. Он допускает, что может ошибаться, но не видит признаков такого развития событий.

По оценке Dataist, аблитерация делает доступными модели, которые могут помочь организациям проверять собственную защиту и работать с чувствительными данными, но одновременно ослабляет барьер между исследованием и вредоносным действием. Пример с маршрутизатором в ресторане показывает, что модель может начать опасные действия без прямого запроса пользователя. Поэтому возможность самостоятельно задавать ограничения не снимает вопроса о том, как контролировать их применение.