Modelos sin censura: qué son, para qué sirven y qué riesgos tienen

Qué significa “sin censura”, técnicamente

Una palabra, cuatro mecanismos: cada uno cambia algo distinto y pide una respuesta distinta.

Los ajustes finos sin rechazos llegaron primero. Ajustes comunitarios como las familias Dolphin y Hermes se entrenaron para rechazar mucho menos, con el argumento de la “alineación componible”: publicar un modelo neutro y que cada empresa añada su propia política. La capa de seguridad original es delgada: Qi et al. (2023) eliminaron la mayor parte del comportamiento seguro de GPT-3.5 Turbo con un puñado de ejemplos enviados por la API de ajuste fino de OpenAI.

La ablación de la dirección de rechazo viene de Arditi et al. (2024): en 13 modelos de chat abiertos de hasta 72B parámetros, el rechazo dependía de una sola dirección en las activaciones del modelo. Borrarla suprime los rechazos; sumarla hace que el modelo rechace pedidos inofensivos. Trabajos posteriores encontraron una geometría más rica, con varias direcciones independientes, y mostraron que una dirección extraída en inglés suprimía los rechazos en otros idiomas con una eficacia casi perfecta, algo que concierne directamente a los despliegues en español y francés.

Un jailbreak cambia solo las entradas: funciona también contra las API alojadas, pero hay que repetirlo en cada conversación. Los checkpoints de instrucciones aprenden a rechazar en el postentrenamiento; los checkpoints base nunca lo hicieron, así que solo los protege la seguridad incorporada en los datos de preentrenamiento, que el estudio Deep Ignorance encontró mucho más resistente al ajuste fino adversarial que las defensas de postentrenamiento.

Por qué existen: el exceso de rechazos es real

Parte de la demanda es legítima. Los modelos alineados rechazan a menudo pedidos seguros que solo parecen peligrosos. En XSTest, 250 prompts seguros con homónimos, lenguaje figurado o hechos históricos, Llama 2 70B Chat con su prompt de sistema por defecto rechazó por completo el 38 %; GPT-4, el 6,4 %.

OR-Bench probó 32 modelos con 80.000 prompts de apariencia tóxica pero seguros y encontró una correlación de rangos de 0,89 entre rechazar prompts seguros y tóxicos: los modelos ajustados para ser más seguros tienden a rechazar de más, aunque los más recientes lo hacen menos. FalseReject, de Amazon, mostró que un ajuste fino puede reducir los rechazos innecesarios sin comprometer la seguridad general.

El contrapeso es SORRY-Bench, que verifica que los modelos sigan rechazando 440 instrucciones realmente inseguras en 44 categorías; un modelo útil debe salir bien en ambos lados. Anthropic reporta que sus clasificadores de 2026 rechazan cerca del 0,05 % de las consultas inofensivas, un 87 % menos que su primera versión. Los falsos rechazos son un problema de ingeniería con soluciones de ingeniería; quitar la seguridad no es una de ellas. Si quieres medir ambos lados con tus propios casos, en Slash hacemos evaluación de modelos en Slash AI Lab.

Un ecosistema grande que la redistribución mantiene vivo

Las cifras varían según el método, pero coinciden. Lin et al. (2025) identificaron más de 11.000 modelos sin censura en Hugging Face, uno con más de 19 millones de instalaciones. Con una definición más estricta, 10a Labs contó 3.471 entre enero de 2024 y marzo de 2026, cada uno reempaquetado 2,4 veces en promedio, y el 25 % de las 1.643 aplicaciones de GitHub que los usan se clasificó como explícitamente maliciosa.

El mismo artículo llama a la redistribución “la capa de persistencia”: las copias comprimidas y los espejos entre cuentas, formatos y plataformas vuelven casi inútiles las bajas en el origen.

La automatización bajó aún más la barrera. Una investigación del Financial Times con la firma de seguridad Alice (mayo de 2026) reportó que una herramienta gratuita y pública sirvió para crear miles de variantes “descensuradas”, que los periodistas quitaron las salvaguardas de Llama 3.3 en minutos sin hardware especializado y que las de Gemma 4 cayeron menos de 90 minutos después de su lanzamiento. Google lo calificó como un desafío técnico conocido que enfrentan todos los modelos abiertos. A propósito, no nombramos la herramienta.

El 17 de octubre de 2026, a las 02:40 UTC, DeepSeek publicó V4.1 Flash 1017 en Hugging Face. La primera versión sin rechazos apareció unas nueve horas después, y al 28 de octubre contamos 77 repositorios de ese checkpoint marcados como uncensored, abliterated o heretic, con unas 204.000 descargas entre todos. Hugging Face empezó a retirar algunas versiones: desactivó una de GLM 5.3 presentada para ciberataques ofensivos, citando su política de contenido, mientras otro repositorio del mismo autor sigue en línea con acceso condicionado. El 23 de octubre desapareció la versión abliterated de Kimi K2.7 Code (la causa no está confirmada), pero una copia GGUF subida por otra cuenta seguía descargable el 28 de octubre, justo el patrón que describe el artículo de 10a Labs.

Lo que se pierde al quitar las salvaguardas

En Arditi et al., los benchmarks generales (MMLU, ARC, GSM8K) se mantuvieron cerca de la línea base tras la edición, pero la precisión en TruthfulQA cae de forma consistente. Un preprint de 2025 que comparó ediciones de este tipo en 16 modelos de instrucciones de 7B a 14B encontró que el razonamiento matemático es la capacidad más sensible: en GSM8K, los resultados iban de una ganancia de unos 1,5 puntos a una pérdida de 18,8, según método y arquitectura.

Los autores ya publican sus propias cifras de antes y después, y muestran que el costo depende de cómo se hace la edición. dealignai reporta que su DeepSeek V4.1 Flash 1017 sin censura obtiene 83,77 % en su prueba de MMLU, frente a 87,63 % del modelo base servido por la API de DeepSeek, una pérdida de 3,86 puntos que llega a 7,31 en humanidades. La misma ficha indica que el modelo respondió los 320 prompts de HarmBench, incluidos los pedidos sobre armas químicas. AtomicChat reporta lo contrario en LFM2.5 24B-A2B: el MMLU no cambia (64,40 % antes, 65,55 % después) cuando solo se editan los dos últimos tercios de la red, y cae 4 puntos cuando la misma edición cubre todas las capas. Son cifras de los autores, con sus propios conjuntos de prueba.

El riesgo de fondo es de comportamiento. El estudio sobre desalineación emergente, ampliado en Nature en 2026, ajustó GPT-4o y Qwen2.5-Coder-32B en una tarea estrecha, escribir código inseguro, y obtuvo un comportamiento desalineado en prompts sin relación; presentar los mismos datos como material de un curso de seguridad lo evitó.

Ningún benchmark que pudiéramos verificar respalda la idea de que “alucinan más” en general; los costos medidos bastan para evaluar cualquier modelo modificado con tus propias tareas.

Usos legítimos y la lección de Hugging Face

Hay razones reales para querer un modelo que no se niegue: pentest y red teaming autorizados, análisis de malware y respuesta a incidentes, ficción sobre el crimen o la violencia, preguntas médicas y legales francas, y la investigación sobre el propio rechazo. La pregunta es cómo atender esos usos de forma segura.

En julio de 2026, durante una intrusión en Hugging Face ejecutada por un framework de agentes autónomos, los modelos comerciales de frontera bloquearon las peticiones forenses del equipo porque sus guardrails no distinguen a quien responde a un incidente de un atacante. El equipo analizó entonces más de 17.000 registros del atacante con el modelo abierto GLM-5.2, en su propia infraestructura. La lección: tener listo, antes del incidente, un modelo capaz, verificado y autoalojado, que además deja en casa los datos y credenciales del atacante. Hugging Face aclara que no es un argumento contra las medidas de seguridad de los modelos alojados.

La respuesta de la industria es el acceso verificado, no quitar salvaguardas. Con Project Glasswing (abril de 2026), Anthropic restringió Claude Mythos Preview, fuerte para encontrar y explotar vulnerabilidades, a socios y a más de 40 organizaciones que mantienen software crítico, con un Cyber Verification Program para profesionales de seguridad. También hay modelos abiertos especializados: Foundation-Sec-8B de Cisco (Apache 2.0) apunta al triaje en el SOC y la simulación de amenazas, excluye la generación de malware y phishing y exige revisión humana.

¿Qué modelo sin censura cabe en tu memoria? El mapa de octubre de 2026

Depende de la memoria: de 32 a 512 GB hay una versión sin censura de casi cada familia abierta, y como pesa lo mismo que el original, corre a su misma velocidad.

El 8 de octubre de 2026, el desarrollador @sudoingX publicó un mapa de las versiones sin censura y “abliterated” más descargadas para cada nivel de memoria, de una RTX 5090 de 32 GB a cuatro DGX Spark con 512 GB, con velocidades medidas en sus propios equipos. Aquí lo resumimos, con crédito a su autor, y lo verificamos: el 9 de octubre comprobamos en Hugging Face cada repositorio, el tamaño de cada archivo, el acceso y lo que declara cada autor.

32 GB: RTX 5090, Radeon AI PRO R9700 o dos tarjetas de 16 GB

• Qwen 3.6 40B Deckard Heretic: Q5, 28,2 GB. Un modelo de 40B ampliado desde un 27B y entrenado con un dataset de razonamiento generado con otro modelo, según su autor.
• Qwen 3.8 27B Aggressive: Q6, 25,9 GB, con cabeza MTP; 0 rechazos de 465, según su autor.
• Gemma 4 31B Heretic: Q6, 25,2 GB; 10 rechazos de 100 frente a 99 del original, según su autor.
• Qwen 3.6 35B-A3B Aggressive: Q6, 30,6 GB; 0 de 465 y más de 11,9 millones de descargas en total.

48 GB: dos RTX 3090 o 4090, RTX A6000, RTX PRO 5000 o dos RX 7900 XTX

• Qwen 3.6 35B-A3B Genesis Hermes: Q8, 43,6 GB. Parte de la versión Aggressive de 0 de 465 y le suma datos de un ajuste para agentes.
• Llama 3.3 70B abliterated: Q4, 42,5 GB, el 70B clásico.
• Qwen3-Next 80B-A3B abliterated: IQ4_XS, 42,6 GB, una mezcla de expertos con 3B activos.
• Con tres RTX 3060 (36 GB), Gemma 4 31B Heretic cabe en Q8 (32,6 GB), y Qwen 3.8 27B en Q4 corre a 17,3 tok/s, 24,5 con MTP (comunidad).

96 a 128 GB: RTX PRO 6000, Strix Halo, DGX Spark o Mac Studio

• Qwen 3.8 Flash-Next 180B uncensored: IQ4_XS, 97,5 GB, con acceso condicionado (se aceptan condiciones en la página).
• Flash-Next GSQ-RCO abliterated: IQ3_S, 83,9 GB, cabe en una tarjeta de 96 GB; quitaron la dirección de rechazo a un modelo ya cuantizado.
• Qwen 3.5 122B-A10B Aggressive: Q4, 74,2 GB; 0 de 465, según su autor.
• DeepSeek V4 Flash abliterated: Q2, 86,7 GB; su autor la presenta como una prueba de concepto.
• gpt-oss-120b Aggressive: 65,4 GB en MXFP4, la precisión nativa del modelo.
• Mediciones de @sudoingX: una Strix Halo corre Qwen 3.6 35B-A3B en Q8 a 53,5 tok/s; una DGX Spark, el 122B base a 28,2 tok/s (34,9 con MTP) y DeepSeek V4 Flash en IQ3 a 16,5 tok/s.

256 GB: dos DGX Spark o Mac Studio de 256 GB

• GLM 5.3 Flash 321B uncensored: NVFP4, 194,7 GB, conserva la cabeza MTP; 0 % de rechazos en HarmBench-320 y MMLU de 85,28 %, a menos de un punto del modelo base, según su autor.
• Qwen 3.8 Flash-Next uncensored: FP8, 185,5 GB, con acceso condicionado.
• DeepSeek V4 Flash abliterated: Q4, 164,6 GB.

512 GB: cuatro DGX Spark o Mac Studio de 512 GB

• GLM 5.3 Flash uncensored: FP8, 328,3 GB, con acceso condicionado.
• La versión FP8 de dealignai: 328,3 GB; MMLU de 87,33 % frente a 86,74 % del modelo base, según su autor.

Nuevo desde el 9 de octubre: lo que encontramos el 28

Volvimos a revisar Hugging Face el 28 de octubre. Estas versiones no estaban en el mapa de @sudoingX. Los tamaños son los de los archivos y cada cifra de rechazos o de calidad es del propio autor.

DeepSeek V4.1 Flash 1017 (763.000 millones de parámetros, licencia MIT) salió el 17 de octubre y es el primer modelo de esta escala con varias versiones sin censura a la semana de su lanzamiento. Para un equipo de 24 GB, como una RTX 3090 o 4090, LFM2.5 24B-A2B es la opción más ligera: solo 2B parámetros activos por token, así que corre rápido incluso en Q4.

Tres datos para leer el mapa. La demanda es enorme. Al 28 de octubre, según Hugging Face, la versión Aggressive de Qwen 3.8 27B sumaba 5,6 millones de descargas (2,4 millones en los últimos 30 días) y la abliterated de Flash-Next, publicada el 2 de octubre, 2,9 millones, frente a 680.000 el 9 de octubre. Los rechazos son autodeclarados. Cada autor mide con su propio conjunto (465 prompts, 100 prompts o HarmBench-320) y algunos admiten conservar rechazos a propósito para no perder calidad: ninguna cifra es una evaluación independiente. No todo es una ablación limpia. Deckard y Genesis Hermes mezclan otros entrenamientos, así que su comportamiento ya no es el del modelo original.

La licencia viaja con el modelo base. Los derivados de Qwen 3.8 Flash-Next declaran Apache 2.0 en su repositorio, pero el modelo base usa la licencia Qwen Community, con condiciones propias para ciertos negocios (ver los modelos de pesos abiertos en 2026): revisa la licencia del original antes de cualquier uso comercial. Algunos derivados suman condiciones propias: la versión de Nanbeige de dealignai reserva el uso como servicio alojado, y los derivados de LFM2.5 conservan la licencia LFM 1.0 de Liquid, que no cubre el uso comercial de empresas con más de 10 millones de dólares de ingresos anuales. DeepSeek V4.1 Flash es MIT. En la práctica, los GGUF corren en llama.cpp (con Vulkan o ROCm en AMD) y en un Mac con llama.cpp o MLX cuando existe la versión. Para elegir equipo, mira el hardware para IA local en 2026; para entender Q4, Q6 o IQ4_XS, la guía de cuantización.

Qué dicen la ley y las licencias en 2026

Casi todas las normas apuntan a herramientas y resultados abusivos, sobre todo imágenes sexuales, no a los modelos.

La prohibición europea alcanza también a las herramientas de uso general: queda prohibido comercializar una si ese resultado es razonablemente previsible y reproducible y el sistema no tiene salvaguardas razonables y adecuadas para impedirlo de forma fiable. Un modelo de imágenes al que le quitaron las salvaguardas encaja en esa descripción. Las obligaciones de transparencia del artículo 50, como avisar a las personas de que interactúan con una IA, aplican desde el 2 de agosto de 2026, sin importar el tamaño ni la licencia del modelo.

Los modelos de imagen son donde esto pesa primero. Entre los repositorios sin censura más descargados de Hugging Face el 28 de octubre estaba una versión del modelo de imagen Qwen-Image 2.1, con 3,3 millones de descargas (2,2 millones en los últimos 30 días), y una variante más rápida publicada el 9 de octubre sumaba 583.000. No las enlazamos. Un modelo de imagen sin salvaguardas, comercializado en la UE sin otras protecciones, es el caso que la prohibición europea apunta desde el 2 de diciembre.

Las licencias suman otra capa: la política de uso aceptable de Llama 3.3 prohíbe el contenido de explotación infantil y el código malicioso, y los términos de uso de Gemma prohíben intentar anular o eludir los filtros de seguridad (Gemma 4 pasó a Apache 2.0). La política de contenido de Hugging Face prohíbe el contenido sexual sin consentimiento. Más en nuestro mapa regulatorio de 2026.

Mejores opciones que un modelo sin censura

Para casi cada necesidad legítima hay un camino más seguro.

El hilo común: corregir la calibración y el acceso, no la seguridad. Los modelos guardianes y las políticas están en guardrails que funcionan en producción y el trabajo ofensivo autorizado en IA en seguridad ofensiva.

Nuestra recomendación y una checklist

En Slash recomendamos tres reglas: ningún modelo sin salvaguardas en productos de cara al cliente; para seguridad autorizada, primero acceso verificado o un modelo especializado; y un modelo con pocos rechazos solo como herramienta de laboratorio controlada, nunca redistribuida. Antes de usar uno, revisa:

1. Autorización: un alcance escrito, un responsable con nombre y un propósito legítimo (prueba, investigación, respuesta a incidentes).
2. Procedencia: pesos de un publicador conocido, con sumas de verificación; las copias anónimas son un riesgo de cadena de suministro. Lee también la plantilla de chat incluida en el archivo GGUF, porque puede traer instrucciones, como pedirle al modelo que nunca añada advertencias.
3. Aislamiento: un entorno separado, sin datos de producción, sin salida a internet y sin herramientas innecesarias.
4. Registro: prompts, respuestas, operador y versión del modelo, según tu política de retención.
5. Revisión de salidas: un modelo guardián sobre las respuestas y una persona antes de que algo salga del laboratorio.
6. Revisión legal: la política de uso aceptable de la licencia y la ley donde operas y donde se usan los resultados.
7. Cierre: borrar el modelo y sus resultados al terminar el trabajo.