La paradoja del modelo sin censura: menos rechazo, menos seguridad, y por qué la IA local sigue siendo importante

Hay un argumento familiar en el mundo de la IA local: los modelos alineados rechazan demasiado, así que quítales la censura. Nuestros benchmarks confirman la primera parte. El sobrerrechazo en indicaciones benignas, como escribir una escena de crimen ficticia o explicar un desbordamiento de búfer, cayó del 44% al 0,5% después de la ablación en un modelo. Pero esto es lo que omite el argumento: la misma edición redujo los rechazos de seguridad genuinos del 41,5% al 9,5%. El sobrerrechazo y el rechazo de seguridad no son problemas separados. Son la misma perilla en los pesos, y girarla elimina ambos.

Esto no es una crítica a los modelos sin censura. Para privacidad, costo y control, las tres verdaderas razones para ejecutar localmente, son la herramienta adecuada. El punto es que la conversación sobre ellos tiende a enmarcar la compensación como "obtén lo que quieres sin el filtro", cuando la verdadera compensación es más honesta: logras pasar en las indicaciones legítimas, pero también dejas pasar las genuinamente dañinas, porque los modelos no saben la diferencia. Esa responsabilidad recae en ti.

Cómo un modelo aprende a decir que no

Entender lo que elimina la falta de censura requiere entender cómo un modelo aprende a rechazar en primer lugar. Sucede en tres etapas. Primero, el preentrenamiento en un enorme corpus de texto, donde el modelo no tiene concepto de rechazo: un modelo base en bruto continuará casi cualquier texto. Luego, el ajuste por instrucciones, donde aprende a seguir solicitudes y comportarse como un asistente. Luego, la alineación, RLHF o DPO, donde los rechazos se instalan entrenando con datos de preferencia que recompensan el declinar ciertas categorías de solicitudes.

Esa tercera etapa es deliberadamente amplia, porque los equipos que lanzan productos para el mercado masivo no pueden anticipar cada caso límite. El efecto secundario es la generalización excesiva: en lugar de bloquear solo los detalles genuinamente dañinos, el modelo aprende a tratar categorías enteras como prohibidas: los mismos diez cubos que usan los benchmarks de seguridad: violencia, actividad ilegal, odio, acoso, contenido sexual, autolesión, engaño, privacidad, comportamiento poco ético y "dañino" general. Pregunta sobre la química detrás de una reacción doméstica, cómo funcionaba un arma histórica o una trama criminal para una novela, y el reflejo destinado a detener el uso indebido real también se activa en tu tarea legítima.

Ablación versus ajuste fino

Hay dos rutas principales para construir un modelo sin censura. El ajuste fino entrena el modelo base con datos de instrucción adicionales. La familia Dolphin, por ejemplo, aprende nuevo comportamiento de ese conjunto de datos, incluida la disposición a responder. Debido a que es un entrenamiento genuino, también puede mejorar el seguimiento de instrucciones y el tono, no solo eliminar rechazos. El costo es la computación, y el riesgo de desviarse de las fortalezas del modelo base si los datos son débiles.

La ablación es el enfoque más ligero. Los investigadores descubrieron que el rechazo en muchos modelos alineados está gobernado por una única dirección en el flujo residual del modelo, el estado interno que pasa de capa a capa. Para encontrarla, ejecutas el modelo sobre conjuntos emparejados de indicaciones dañinas e inofensivas, registras las activaciones y tomas la diferencia de medias entre ambas. Luego eliminas la capacidad del modelo para expresar esa dirección, ya sea sobre la marcha en inferencia o permanentemente ortogonalizando las matrices de pesos contra ella. Es rápido, barato y se mantiene cerca del original, aunque generalmente necesita un ligero ajuste fino de "curación" posterior para recuperar la pequeña caída de capacidad.

Los mejores lanzamientos a menudo combinan ambos: ablación para cumplimiento, luego ajuste fino para restaurar el pulido.

Lo que realmente muestran los benchmarks

Ejecutamos cinco modelos sin censura a través del mismo arnés llama.cpp en una sola RTX 3060, de una sola vuelta, con un mensaje de sistema neutral y sin jailbreaks. El sobrerrechazo se midió en OR-Bench (Cui et al., 2024, 200 indicaciones en 10 categorías sensibles) y XSTest (Röttger et al., 2024, 250 indicaciones seguras). La seguridad se midió en las 200 indicaciones inseguras de XSTest. La capacidad se probó en una porción fija de 250 preguntas de MMLU, con cero disparos.

El resultado que más importa: los mismos pesos de Gemma 2 9B, alineados y luego ablacionados. El sobrerrechazo en indicaciones benignas de OR-Bench colapsó del 44% al 0,5%, una caída de 90x. Pero su rechazo de indicaciones genuinamente dañinas cayó junto a él, del 41,5% al 9,5%. MMLU no se movió (68.4 a 68.0). Una edición en una dirección en los pesos: los molestos rechazos desaparecen, la mayor parte de la seguridad se va con ellos y la inteligencia permanece.

Ese patrón se mantuvo en todos los modelos que probamos. Ningún modelo rechazó solo lo malo. Esa es la verdadera compensación.

La sorpresa de la nube

Un hallazgo más desmiente parte del argumento a favor de los modelos locales sin censura. Ejecutamos las mismas indicaciones legítimas pero arriesgadas en los grandes modelos alojados: Mistral Large y Claude Opus 4.8 respondieron todas; DeepSeek V3 y Llama 3.3 70B respondieron el 96%. La nube no está, en la práctica, rechazando tu trabajo. La razón para ejecutar sin censura localmente es la privacidad, el costo y el control total, no la suposición de que la nube bloquea tus consultas.

Qué modelo para qué

Para un punto de partida general, Gemma Abliterated 9B respondió cada indicación y mantuvo su razonamiento casi intacto. Para codificación, DolphinCoder o Qwen 3.6 Uncensored. Para escritura creativa y juego de roles, Nous Hermes 3 se lee más como un colaborador que como un chatbot. Si tienes una GPU de 24 GB, Dolphin-Mistral 24B obtuvo la puntuación de razonamiento más alta que medimos (MMLU 75). Si necesitas velocidad y contexto largo, Llama 3.2 Dark Champion corre a 76 tok/s en una sola RTX 3060 gracias a su diseño de mezcla de expertos.

La conclusión práctica: ajusta el tamaño a tu hardware. Los modelos modernos de 7B y 8B funcionan cómodamente en muchas laptops en cuantificación de 4 bits. Las Mac con Apple Silicon lo hacen particularmente bien gracias a la memoria unificada. Incluso sin una GPU dedicada, los modelos más pequeños se ejecutarán en la CPU, solo que más lento.

Tú eres la barrera de seguridad ahora

Los modelos sin censura no son más precisos o capaces simplemente porque no tienen censura. Simplemente dejan de rechazar indicaciones legítimas. Nuestros benchmarks hicieron clara la compensación honesta: la ablación elimina el sobrerrechazo de un modelo sin casi costo para la capacidad, pero despoja la barrera de seguridad junto con él. Ejecuta un modelo sin censura cuando la privacidad y el control importen, ajusta el tamaño a tu VRAM y entra sabiendo que el juicio que codificaba ahora es tu trabajo.