Modèle abliterated : ce qu'est l'ablitération et ce qu'elle coûte

C'est quoi l'ablitération ? La version en 30 secondes

Leur découverte : effacez une seule direction du flux résiduel du modèle, et il cesse de refuser les instructions nuisibles ; ajoutez cette direction, et il refuse même les demandes anodines. La communauté open source en a tiré une recette et un nom, « abliteration », un jeu de mots sur ablation (en français, on lit aussi « ablitération »). Un modèle abliterated est simplement un modèle passé par cette recette.

Comment fonctionne l'ablitération, étape par étape

L'article original et le billet Hugging Face très lu de Maxime Labonne décrivent la même procédure de base. Sur le principe :

1. Réunir deux lots de prompts. L'un d'instructions que le modèle refuse, l'autre d'instructions ordinaires auxquelles il répond.
2. Enregistrer les activations. Faire passer les deux lots dans le modèle et sauvegarder les activations du flux résiduel aux positions des derniers tokens, couche par couche.
3. Calculer la différence des moyennes. Faire la moyenne des activations de chaque lot et soustraire l'une de l'autre. Le résultat normalisé est une direction de refus candidate pour cette couche.
4. Choisir le meilleur candidat. Tester les candidats issus de différentes couches et garder celui qui supprime les refus avec le moins de dégâts collatéraux. Labonne choisit en inspectant les sorties ; des outils plus récents automatisent ce choix.
5. Faire l'ablation. Soit soustraire la composante de cette direction à chaque écriture dans le flux résiduel au moment de l'inférence, soit la rendre permanente en orthogonalisant par rapport à cette direction les matrices de poids qui écrivent dans le flux (embeddings, sorties d'attention, sorties MLP).
6. Évaluer et, si besoin, réparer. Vérifier les refus et la qualité générale. Certains créateurs enchaînent avec un léger fine-tune par préférences pour récupérer les performances perdues.

C'est l'orthogonalisation des poids qui rend les modèles abliterated faciles à partager : la modification est inscrite dans les poids, donc le résultat se charge dans n'importe quel runtime classique, sans crochet particulier.

Modèle abliterated, fine-tuné ou jailbreaké : les différences

On range tout ça sous l'étiquette « non censuré ». Ce sont pourtant des outils différents, avec des coûts différents.

iComparaison conceptuelle fondée sur les travaux cités et les publications de la communauté.

Nous couvrons le paysage plus large des modèles ouverts, du matériel et de l'hébergement dans notre guide pour choisir un LLM non censuré en ligne ou en local.

Ce que l'ablitération ne fait pas

• 01Elle n'ajoute pas de connaissances.Un LLM abliterated sait exactement ce que savait son modèle de base. Si le modèle de base se trompe sur un sujet, la version abliterated se trompe aussi, simplement de meilleure grâce.
• 02Elle ne garantit pas zéro refus.Elle cible la direction dominante. Certains refus, certaines hésitations et certains avertissements peuvent survivre, selon le modèle et la couche choisie.
• 03Elle ne se généralise pas par une loi de la nature.Le résultat « une seule direction » s'est vérifié sur les modèles testés par les chercheurs. C'est une tendance empirique forte, pas une garantie pour toutes les architectures à venir.
• 04Elle ne marche pas sur les modèles fermés.Il faut les poids et l'accès aux activations. Les utilisateurs ne peuvent pas abliterer un modèle disponible uniquement en ligne.
• 05Elle ne supprime pas les limites légales.Vous restez responsable de ce que vous produisez.

Pourquoi l'ablitération compte, au-delà du chat non censuré

Les chercheurs ne cherchaient pas à fabriquer des chatbots non censurés. Leur propos portait sur l'ingénierie de la sécurité : si une seule direction contrôle le refus, alors l'entraînement de sécurité des modèles open-weight est superficiel et facile à défaire. L'article qualifie l'entraînement de sécurité actuel de fragile et soutient que comprendre l'intérieur des modèles peut donner des moyens concrets d'en contrôler le comportement, dans les deux sens.

• 01Pour les équipes sécuritécela montre que n'importe qui disposant des poids peut supprimer le refus, ce qui pèse sur la façon dont les labos envisagent la publication de modèles ouverts.
• 02Pour l'interprétabilitéc'est un exemple net de comportement qui correspond à une caractéristique lisible. Le même article s'en sert pour étudier comment des suffixes adverses étouffent le signal de refus.
• 03Pour les utilisateurs de modèles ouvertscela explique pourquoi des variantes « non censurées » de chaque nouvelle sortie apparaissent en quelques jours. La recette est courte et la puissance de calcul modeste.
• 04Pour tous les autresc'est un rappel qu'un refus est une habitude apprise, pas le signe que le modèle est plus sage que vous.

Les auteurs ont aussi répondu à l'inquiétude évidente dans leur billet : selon eux, la publication ajoute peu de risque nouveau, puisqu'on savait déjà que l'entraînement de sécurité pouvait être annulé à peu de frais et que les modèles concernés étaient publics. Vous pouvez ne pas être d'accord, mais lisez d'abord leur raisonnement plutôt qu'un résumé.

Le coût en qualité d'un modèle abliterated

Modifier des poids, c'est de la chirurgie, et la chirurgie a des effets secondaires. Dans l'expérience de Labonne sur un modèle de 8B, la version abliterated obtenait des scores inférieurs sur tous les benchmarks qu'il a lancés. Un léger fine-tune par préférences (DPO) appliqué ensuite récupérait l'essentiel de la baisse, sauf en maths (GSM8K). Les créateurs publient désormais souvent une version brute et une version « soignée ».

L'outillage a progressé depuis. Des projets comme Heretic, un outil open source de Philipp Emanuel Weidmann, automatisent la recherche des paramètres en minimisant deux choses à la fois : le nombre de refus et la divergence KL par rapport au modèle d'origine sur des prompts anodins. Une divergence plus faible signifie que le comportement sur les prompts normaux reste plus proche de l'original. C'est une cible sensée, mais ça reste un indicateur indirect ; le vrai test, ce sont vos propres tâches.

Utiliser un LLM abliterated avec bon sens

1. Trouvez-le via sa fiche de modèle. Les variantes abliterated sont en général publiées sur Hugging Face avec le nom du modèle de base et un suffixe. Une bonne fiche indique la base, la méthode, le choix de couche et l'éventuelle étape de réparation.
2. Vérifiez la licence. Le dérivé hérite en général de la licence du modèle de base et de ses restrictions d'usage.
3. Choisissez un format que votre runtime sait lire. Les fichiers GGUF fonctionnent avec les applications basées sur llama.cpp comme Ollama et LM Studio ; les safetensors avec les piles Python.
4. Dimensionnez-le selon votre matériel. Un modèle de 8B en 4 bits demande environ 4 à 5 Go pour les poids, davantage pour un long contexte.
5. Comparez-le à l'original. Mêmes prompts, deux modèles. Comptez les refus, mais aussi les erreurs factuelles et les baisses de qualité.

Nous ne mettons volontairement pas de liens vers des modèles abliterated précis, et nous ne publions pas de prompts pour contourner les règles d'un modèle ou d'un fournisseur. Choisissez parmi des sources documentées et jugez les résultats vous-même.

Quand un service hébergé fait mieux qu'un modèle abliterated

L'ablitération est brillante si vous voulez étudier les modèles, travailler entièrement hors ligne ou maîtriser chaque réglage. C'est disproportionné si ce que vous voulez vraiment, c'est un assistant qui répond franchement, écrit de la fiction sombre sans tourner de l'œil et sait ce qui s'est passé la semaine dernière.

• Pas de GPU à acheter, pas de fichiers à mettre à jour, pas de runtime à déboguer.
• Des modèles plus gros que ce que la plupart des installations domestiques peuvent charger.
• Une recherche web en direct avec sources, qu'aucun modèle local n'a d'origine.
• La génération d'images dans la même application.

C'est Unrestricted AI : un chat qui ne refuse qu'une courte liste publique de limites strictes (les mineurs, les images sexuelles ou fausses de personnes réelles, le fait d'aider quelqu'un à faire du mal à autrui), plus la recherche et, avec l'offre Max, les images. Réservé aux adultes, sans offre gratuite ; voir les offres et les prix. Si vous comparez, notre sélection des meilleurs chatbots IA sans censure met les options hébergées côte à côte, et notre page chat IA sans censure montre à quoi ressemble une conversation.