Modelos sin censura: qué son, para qué sirven y qué riesgos tienen

Qué significa “sin censura”, técnicamente

Una palabra, cuatro mecanismos: cada uno cambia algo distinto y pide una respuesta distinta.

Los ajustes finos sin rechazos llegaron primero. Ajustes comunitarios como las familias Dolphin y Hermes se entrenaron para rechazar mucho menos, con el argumento de la “alineación componible”: publicar un modelo neutro y que cada empresa añada su propia política. La capa de seguridad original es delgada: Qi et al. (2023) eliminaron la mayor parte del comportamiento seguro de GPT-3.5 Turbo con un puñado de ejemplos enviados por la API de ajuste fino de OpenAI.

La ablación de la dirección de rechazo viene de Arditi et al. (2024): en 13 modelos de chat abiertos de hasta 72B parámetros, el rechazo dependía de una sola dirección en las activaciones del modelo. Borrarla suprime los rechazos; sumarla hace que el modelo rechace pedidos inofensivos. Trabajos posteriores encontraron una geometría más rica, con varias direcciones independientes, y mostraron que una dirección extraída en inglés suprimía los rechazos en otros idiomas con una eficacia casi perfecta, algo que concierne directamente a los despliegues en español y francés.

Un jailbreak cambia solo las entradas: funciona también contra las API alojadas, pero hay que repetirlo en cada conversación. Los checkpoints de instrucciones aprenden a rechazar en el postentrenamiento; los checkpoints base nunca lo hicieron, así que solo los protege la seguridad incorporada en los datos de preentrenamiento, que el estudio Deep Ignorance encontró mucho más resistente al ajuste fino adversarial que las defensas de postentrenamiento.

Por qué existen: el exceso de rechazos es real

La demanda no es solo maliciosa. Los modelos alineados rechazan a menudo pedidos seguros que solo parecen peligrosos. En XSTest, 250 prompts seguros con homónimos, lenguaje figurado o hechos históricos, Llama 2 70B Chat con su prompt de sistema por defecto rechazó por completo el 38 %; GPT-4, el 6,4 %.

OR-Bench probó 32 modelos con 80.000 prompts de apariencia tóxica pero seguros y encontró una correlación de rangos de 0,89 entre rechazar prompts seguros y tóxicos: los modelos ajustados para ser más seguros tienden a rechazar de más, aunque los más recientes lo hacen menos. FalseReject, de Amazon, mostró que un ajuste fino puede reducir los rechazos innecesarios sin comprometer la seguridad general.

El contrapeso es SORRY-Bench, que verifica que los modelos sigan rechazando 440 instrucciones realmente inseguras en 44 categorías; un modelo útil debe salir bien en ambos lados. Anthropic reporta que sus clasificadores de 2026 rechazan cerca del 0,05 % de las consultas inofensivas, un 87 % menos que su primera versión. Los falsos rechazos son un problema de ingeniería con soluciones de ingeniería; quitar la seguridad no es una de ellas.

Un ecosistema grande que la redistribución mantiene vivo

Las cifras varían según el método, pero coinciden. Lin et al. (2025) identificaron más de 11.000 modelos sin censura en Hugging Face, uno con más de 19 millones de instalaciones. Con una definición más estricta, 10a Labs contó 3.471 entre enero de 2024 y marzo de 2026, cada uno reempaquetado 2,4 veces en promedio, y el 25 % de las 1.643 aplicaciones de GitHub que los usan se clasificó como explícitamente maliciosa.

El mismo artículo llama a la redistribución “la capa de persistencia”: las copias comprimidas y los espejos entre cuentas, formatos y plataformas vuelven casi inútiles las bajas en el origen.

La automatización bajó aún más la barrera. Una investigación del Financial Times con la firma de seguridad Alice (mayo de 2026) reportó que una herramienta gratuita y pública sirvió para crear miles de variantes “descensuradas”, que los periodistas quitaron las salvaguardas de Llama 3.3 en minutos sin hardware especializado y que las de Gemma 4 cayeron menos de 90 minutos después de su lanzamiento. Google lo calificó como un desafío técnico conocido que enfrentan todos los modelos abiertos. A propósito, no nombramos la herramienta.

Lo que se pierde al quitar las salvaguardas

En Arditi et al., los benchmarks generales (MMLU, ARC, GSM8K) se mantuvieron cerca de la línea base tras la edición, pero la precisión en TruthfulQA cae de forma consistente. Un preprint de 2025 que comparó ediciones de este tipo en 16 modelos de instrucciones de 7B a 14B encontró que el razonamiento matemático es la capacidad más sensible: en GSM8K, los resultados iban de una ganancia de unos 1,5 puntos a una pérdida de 18,8, según método y arquitectura.

El riesgo de fondo es de comportamiento. El estudio sobre desalineación emergente, ampliado en Nature en 2026, ajustó GPT-4o y Qwen2.5-Coder-32B en una tarea estrecha, escribir código inseguro, y obtuvo un comportamiento desalineado en prompts sin relación; presentar los mismos datos como material de un curso de seguridad lo evitó.

Ningún benchmark que pudiéramos verificar respalda la idea de que “alucinan más” en general; los costos medidos bastan para evaluar cualquier modelo modificado con tus propias tareas.

Usos legítimos y la lección de Hugging Face

Hay razones reales para querer un modelo que no se niegue: pentest y red teaming autorizados, análisis de malware y respuesta a incidentes, ficción sobre el crimen o la violencia, preguntas médicas y legales francas, y la investigación sobre el propio rechazo. La pregunta es cómo atender esos usos de forma segura.

En julio de 2026, durante una intrusión en Hugging Face ejecutada por un framework de agentes autónomos, los modelos comerciales de frontera bloquearon las peticiones forenses del equipo porque sus guardrails no distinguen a quien responde a un incidente de un atacante. El equipo analizó entonces más de 17.000 registros del atacante con el modelo abierto GLM-5.2, en su propia infraestructura. La lección: tener listo, antes del incidente, un modelo capaz, verificado y autoalojado, que además deja en casa los datos y credenciales del atacante. Hugging Face aclara que no es un argumento contra las medidas de seguridad de los modelos alojados.

La respuesta de la industria es el acceso verificado, no quitar salvaguardas. Con Project Glasswing (abril de 2026), Anthropic restringió Claude Mythos Preview, fuerte para encontrar y explotar vulnerabilidades, a socios y a más de 40 organizaciones que mantienen software crítico, con un Cyber Verification Program para profesionales de seguridad. También hay modelos abiertos especializados: Foundation-Sec-8B de Cisco (Apache 2.0) apunta al triaje en el SOC y la simulación de amenazas, excluye la generación de malware y phishing y exige revisión humana.

Qué dicen la ley y las licencias en 2026

Casi todas las normas apuntan a herramientas y resultados abusivos, sobre todo imágenes sexuales, no a los modelos.

La prohibición europea alcanza también a las herramientas de uso general: queda prohibido comercializar una si ese resultado es razonablemente previsible y reproducible y el sistema no tiene salvaguardas razonables y adecuadas para impedirlo de forma fiable. Un modelo de imágenes al que le quitaron las salvaguardas encaja en esa descripción. Las obligaciones de transparencia del artículo 50, como avisar a las personas de que interactúan con una IA, aplican desde el 2 de agosto de 2026, sin importar el tamaño ni la licencia del modelo.

Las licencias suman otra capa: la política de uso aceptable de Llama 3.3 prohíbe el contenido de explotación infantil y el código malicioso, y los términos de uso de Gemma prohíben intentar anular o eludir los filtros de seguridad (Gemma 4 pasó a Apache 2.0). La política de contenido de Hugging Face prohíbe el contenido sexual sin consentimiento. Más en nuestro mapa regulatorio de 2026.

Mejores opciones que un modelo sin censura

Para casi cada necesidad legítima hay un camino más seguro.

El hilo común: corregir la calibración y el acceso, no la seguridad. Los modelos guardianes y las políticas están en guardrails que funcionan en producción y el trabajo ofensivo autorizado en IA en seguridad ofensiva.

Nuestra recomendación y una checklist

En Slash recomendamos tres reglas: ningún modelo sin salvaguardas en productos de cara al cliente; para seguridad autorizada, primero acceso verificado o un modelo especializado; y un modelo con pocos rechazos solo como herramienta de laboratorio controlada, nunca redistribuida. Antes de usar uno, revisa:

1. Autorización: un alcance escrito, un responsable con nombre y un propósito legítimo (prueba, investigación, respuesta a incidentes).
2. Procedencia: pesos de un publicador conocido, con sumas de verificación; las copias anónimas son un riesgo de cadena de suministro.
3. Aislamiento: un entorno separado, sin datos de producción, sin salida a internet y sin herramientas innecesarias.
4. Registro: prompts, respuestas, operador y versión del modelo, según tu política de retención.
5. Revisión de salidas: un modelo guardián sobre las respuestas y una persona antes de que algo salga del laboratorio.
6. Revisión legal: la política de uso aceptable de la licencia y la ley donde operas y donde se usan los resultados.
7. Cierre: borrar el modelo y sus resultados al terminar el trabajo.