Modelos sin censura: qué son, para qué sirven y qué riesgos tienen

Qué significa “sin censura”, técnicamente

Una palabra, cuatro mecanismos: cada uno cambia algo distinto y pide una respuesta distinta.

Los ajustes finos sin rechazos llegaron primero. Ajustes comunitarios como las familias Dolphin y Hermes se entrenaron para rechazar mucho menos, con el argumento de la “alineación componible”: publicar un modelo neutro y que cada empresa añada su propia política. La capa de seguridad original es delgada: Qi et al. (2023) eliminaron la mayor parte del comportamiento seguro de GPT-3.5 Turbo con un puñado de ejemplos enviados por la API de ajuste fino de OpenAI.

La ablación de la dirección de rechazo viene de Arditi et al. (2024): en 13 modelos de chat abiertos de hasta 72B parámetros, el rechazo dependía de una sola dirección en las activaciones del modelo. Borrarla suprime los rechazos; sumarla hace que el modelo rechace pedidos inofensivos. Trabajos posteriores encontraron una geometría más rica, con varias direcciones independientes, y mostraron que una dirección extraída en inglés suprimía los rechazos en otros idiomas con una eficacia casi perfecta, algo que concierne directamente a los despliegues en español y francés.

Un jailbreak cambia solo las entradas: funciona también contra las API alojadas, pero hay que repetirlo en cada conversación. Los checkpoints de instrucciones aprenden a rechazar en el postentrenamiento; los checkpoints base nunca lo hicieron, así que solo los protege la seguridad incorporada en los datos de preentrenamiento, que el estudio Deep Ignorance encontró mucho más resistente al ajuste fino adversarial que las defensas de postentrenamiento.

Por qué existen: el exceso de rechazos es real

La demanda no es solo maliciosa. Los modelos alineados rechazan a menudo pedidos seguros que solo parecen peligrosos. En XSTest, 250 prompts seguros con homónimos, lenguaje figurado o hechos históricos, Llama 2 70B Chat con su prompt de sistema por defecto rechazó por completo el 38 %; GPT-4, el 6,4 %.

OR-Bench probó 32 modelos con 80.000 prompts de apariencia tóxica pero seguros y encontró una correlación de rangos de 0,89 entre rechazar prompts seguros y tóxicos: los modelos ajustados para ser más seguros tienden a rechazar de más, aunque los más recientes lo hacen menos. FalseReject, de Amazon, mostró que un ajuste fino puede reducir los rechazos innecesarios sin comprometer la seguridad general.

El contrapeso es SORRY-Bench, que verifica que los modelos sigan rechazando 440 instrucciones realmente inseguras en 44 categorías; un modelo útil debe salir bien en ambos lados. Anthropic reporta que sus clasificadores de 2026 rechazan cerca del 0,05 % de las consultas inofensivas, un 87 % menos que su primera versión. Los falsos rechazos son un problema de ingeniería con soluciones de ingeniería; quitar la seguridad no es una de ellas. Si quieres medir ambos lados con tus propios casos, en Slash hacemos evaluación de modelos en Slash AI Lab.

Un ecosistema grande que la redistribución mantiene vivo

Las cifras varían según el método, pero coinciden. Lin et al. (2025) identificaron más de 11.000 modelos sin censura en Hugging Face, uno con más de 19 millones de instalaciones. Con una definición más estricta, 10a Labs contó 3.471 entre enero de 2024 y marzo de 2026, cada uno reempaquetado 2,4 veces en promedio, y el 25 % de las 1.643 aplicaciones de GitHub que los usan se clasificó como explícitamente maliciosa.

El mismo artículo llama a la redistribución “la capa de persistencia”: las copias comprimidas y los espejos entre cuentas, formatos y plataformas vuelven casi inútiles las bajas en el origen.

La automatización bajó aún más la barrera. Una investigación del Financial Times con la firma de seguridad Alice (mayo de 2026) reportó que una herramienta gratuita y pública sirvió para crear miles de variantes “descensuradas”, que los periodistas quitaron las salvaguardas de Llama 3.3 en minutos sin hardware especializado y que las de Gemma 4 cayeron menos de 90 minutos después de su lanzamiento. Google lo calificó como un desafío técnico conocido que enfrentan todos los modelos abiertos. A propósito, no nombramos la herramienta.

Lo que se pierde al quitar las salvaguardas

En Arditi et al., los benchmarks generales (MMLU, ARC, GSM8K) se mantuvieron cerca de la línea base tras la edición, pero la precisión en TruthfulQA cae de forma consistente. Un preprint de 2025 que comparó ediciones de este tipo en 16 modelos de instrucciones de 7B a 14B encontró que el razonamiento matemático es la capacidad más sensible: en GSM8K, los resultados iban de una ganancia de unos 1,5 puntos a una pérdida de 18,8, según método y arquitectura.

El riesgo de fondo es de comportamiento. El estudio sobre desalineación emergente, ampliado en Nature en 2026, ajustó GPT-4o y Qwen2.5-Coder-32B en una tarea estrecha, escribir código inseguro, y obtuvo un comportamiento desalineado en prompts sin relación; presentar los mismos datos como material de un curso de seguridad lo evitó.

Ningún benchmark que pudiéramos verificar respalda la idea de que “alucinan más” en general; los costos medidos bastan para evaluar cualquier modelo modificado con tus propias tareas.

Usos legítimos y la lección de Hugging Face

Hay razones reales para querer un modelo que no se niegue: pentest y red teaming autorizados, análisis de malware y respuesta a incidentes, ficción sobre el crimen o la violencia, preguntas médicas y legales francas, y la investigación sobre el propio rechazo. La pregunta es cómo atender esos usos de forma segura.

En julio de 2026, durante una intrusión en Hugging Face ejecutada por un framework de agentes autónomos, los modelos comerciales de frontera bloquearon las peticiones forenses del equipo porque sus guardrails no distinguen a quien responde a un incidente de un atacante. El equipo analizó entonces más de 17.000 registros del atacante con el modelo abierto GLM-5.2, en su propia infraestructura. La lección: tener listo, antes del incidente, un modelo capaz, verificado y autoalojado, que además deja en casa los datos y credenciales del atacante. Hugging Face aclara que no es un argumento contra las medidas de seguridad de los modelos alojados.

La respuesta de la industria es el acceso verificado, no quitar salvaguardas. Con Project Glasswing (abril de 2026), Anthropic restringió Claude Mythos Preview, fuerte para encontrar y explotar vulnerabilidades, a socios y a más de 40 organizaciones que mantienen software crítico, con un Cyber Verification Program para profesionales de seguridad. También hay modelos abiertos especializados: Foundation-Sec-8B de Cisco (Apache 2.0) apunta al triaje en el SOC y la simulación de amenazas, excluye la generación de malware y phishing y exige revisión humana.

¿Qué modelo sin censura cabe en tu memoria? El mapa de octubre de 2026

Depende de la memoria: de 32 a 512 GB hay una versión sin censura de casi cada familia abierta, y como pesa lo mismo que el original, corre a su misma velocidad.

El 8 de octubre de 2026, el desarrollador @sudoingX publicó un mapa de las versiones sin censura y “abliterated” más descargadas para cada nivel de memoria, de una RTX 5090 de 32 GB a cuatro DGX Spark con 512 GB, con velocidades medidas en sus propios equipos. Aquí lo resumimos, con crédito a su autor, y lo verificamos: el 9 de octubre comprobamos en Hugging Face cada repositorio, el tamaño de cada archivo, el acceso y lo que declara cada autor.

32 GB: RTX 5090, Radeon AI PRO R9700 o dos tarjetas de 16 GB

• Qwen 3.6 40B Deckard Heretic: Q5, 28,2 GB. Un modelo de 40B ampliado desde un 27B y entrenado con un dataset de razonamiento generado con otro modelo, según su autor.
• Qwen 3.8 27B Aggressive: Q6, 25,9 GB, con cabeza MTP; 0 rechazos de 465, según su autor.
• Gemma 4 31B Heretic: Q6, 25,2 GB; 10 rechazos de 100 frente a 99 del original, según su autor.
• Qwen 3.6 35B-A3B Aggressive: Q6, 30,6 GB; 0 de 465 y más de 11,9 millones de descargas en total.

48 GB: dos RTX 3090 o 4090, RTX A6000, RTX PRO 5000 o dos RX 7900 XTX

• Qwen 3.6 35B-A3B Genesis Hermes: Q8, 43,6 GB. Parte de la versión Aggressive de 0 de 465 y le suma datos de un ajuste para agentes.
• Llama 3.3 70B abliterated: Q4, 42,5 GB, el 70B clásico.
• Qwen3-Next 80B-A3B abliterated: IQ4_XS, 42,6 GB, una mezcla de expertos con 3B activos.
• Con tres RTX 3060 (36 GB), Gemma 4 31B Heretic cabe en Q8 (32,6 GB), y Qwen 3.8 27B en Q4 corre a 17,3 tok/s, 24,5 con MTP (comunidad).

96 a 128 GB: RTX PRO 6000, Strix Halo, DGX Spark o Mac Studio

• Qwen 3.8 Flash-Next 180B uncensored: IQ4_XS, 97,5 GB, con acceso condicionado (se aceptan condiciones en la página).
• Flash-Next GSQ-RCO abliterated: IQ3_S, 83,9 GB, cabe en una tarjeta de 96 GB; quitaron la dirección de rechazo a un modelo ya cuantizado.
• Qwen 3.5 122B-A10B Aggressive: Q4, 74,2 GB; 0 de 465, según su autor.
• DeepSeek V4 Flash abliterated: Q2, 86,7 GB; su autor la presenta como una prueba de concepto.
• gpt-oss-120b Aggressive: 65,4 GB en MXFP4, la precisión nativa del modelo.
• Mediciones de @sudoingX: una Strix Halo corre Qwen 3.6 35B-A3B en Q8 a 53,5 tok/s; una DGX Spark, el 122B base a 28,2 tok/s (34,9 con MTP) y DeepSeek V4 Flash en IQ3 a 16,5 tok/s.

256 GB: dos DGX Spark o Mac Studio de 256 GB

• GLM 5.3 Flash 321B uncensored: NVFP4, 194,7 GB, conserva la cabeza MTP; 0 % de rechazos en HarmBench-320 y MMLU de 85,28 %, a menos de un punto del modelo base, según su autor.
• Qwen 3.8 Flash-Next uncensored: FP8, 185,5 GB, con acceso condicionado.
• DeepSeek V4 Flash abliterated: Q4, 164,6 GB.

512 GB: cuatro DGX Spark o Mac Studio de 512 GB

• GLM 5.3 Flash uncensored: FP8, 328,3 GB, con acceso condicionado.
• La versión FP8 de dealignai: 328,3 GB; MMLU de 87,33 % frente a 86,74 % del modelo base, según su autor.

Tres datos para leer el mapa. La demanda es enorme. Según Hugging Face, la versión Aggressive de Qwen 3.8 27B sumó más de 2 millones de descargas en 30 días y la abliterated de Flash-Next, publicada el 2 de octubre, ya superaba las 680.000. Los rechazos son autodeclarados. Cada autor mide con su propio conjunto (465 prompts, 100 prompts o HarmBench-320) y algunos admiten conservar rechazos a propósito para no perder calidad: ninguna cifra es una evaluación independiente. No todo es una ablación limpia. Deckard y Genesis Hermes mezclan otros entrenamientos, así que su comportamiento ya no es el del modelo original.

La licencia viaja con el modelo base. Los derivados de Qwen 3.8 Flash-Next declaran Apache 2.0 en su repositorio, pero el modelo base usa la licencia Qwen Community, con condiciones propias para ciertos negocios (ver los modelos de pesos abiertos en 2026): revisa la licencia del original antes de cualquier uso comercial. En la práctica, los GGUF corren en llama.cpp (con Vulkan o ROCm en AMD) y en un Mac con llama.cpp o MLX cuando existe la versión. Para elegir equipo, mira el hardware para IA local en 2026; para entender Q4, Q6 o IQ4_XS, la guía de cuantización.

Qué dicen la ley y las licencias en 2026

Casi todas las normas apuntan a herramientas y resultados abusivos, sobre todo imágenes sexuales, no a los modelos.

La prohibición europea alcanza también a las herramientas de uso general: queda prohibido comercializar una si ese resultado es razonablemente previsible y reproducible y el sistema no tiene salvaguardas razonables y adecuadas para impedirlo de forma fiable. Un modelo de imágenes al que le quitaron las salvaguardas encaja en esa descripción. Las obligaciones de transparencia del artículo 50, como avisar a las personas de que interactúan con una IA, aplican desde el 2 de agosto de 2026, sin importar el tamaño ni la licencia del modelo.

Las licencias suman otra capa: la política de uso aceptable de Llama 3.3 prohíbe el contenido de explotación infantil y el código malicioso, y los términos de uso de Gemma prohíben intentar anular o eludir los filtros de seguridad (Gemma 4 pasó a Apache 2.0). La política de contenido de Hugging Face prohíbe el contenido sexual sin consentimiento. Más en nuestro mapa regulatorio de 2026.

Mejores opciones que un modelo sin censura

Para casi cada necesidad legítima hay un camino más seguro.

El hilo común: corregir la calibración y el acceso, no la seguridad. Los modelos guardianes y las políticas están en guardrails que funcionan en producción y el trabajo ofensivo autorizado en IA en seguridad ofensiva.

Nuestra recomendación y una checklist

En Slash recomendamos tres reglas: ningún modelo sin salvaguardas en productos de cara al cliente; para seguridad autorizada, primero acceso verificado o un modelo especializado; y un modelo con pocos rechazos solo como herramienta de laboratorio controlada, nunca redistribuida. Antes de usar uno, revisa:

1. Autorización: un alcance escrito, un responsable con nombre y un propósito legítimo (prueba, investigación, respuesta a incidentes).
2. Procedencia: pesos de un publicador conocido, con sumas de verificación; las copias anónimas son un riesgo de cadena de suministro.
3. Aislamiento: un entorno separado, sin datos de producción, sin salida a internet y sin herramientas innecesarias.
4. Registro: prompts, respuestas, operador y versión del modelo, según tu política de retención.
5. Revisión de salidas: un modelo guardián sobre las respuestas y una persona antes de que algo salga del laboratorio.
6. Revisión legal: la política de uso aceptable de la licencia y la ley donde operas y donde se usan los resultados.
7. Cierre: borrar el modelo y sus resultados al terminar el trabajo.