# Modelos de IA sin censura: qué son, usos y riesgos Source: https://slash-digital.io/insights/uncensored-models/ IA local y open source · Actualizado en octubre 2026 Quitarle las salvaguardas a un modelo abierto hoy toma minutos. Hay razones legítimas para querer menos rechazos, pero los riesgos están documentados y la ley se endurece en 2026. Esto es lo que un CTO o un CISO debe saber antes de usar uno. - 3.471 modelos sin censura rastreados - 25 % de las apps de GitHub que los usan, maliciosas - 2 dic. 2026 veto de la UE a apps para desnudar Iniciar un proyecto Todos los análisis Rémy Sanchez, CTO y cofundador, Slash Digital Lab Publicado: 26 de septiembre de 2026 Actualizado: 28 de octubre de 2026 Lectura: 20 min Tema: IA local y open source Actualizado el 28 de octubre de 2026 Novedades: las versiones publicadas desde el 9 de octubre, con DeepSeek V4.1 Flash 1017 y un nivel de 24 GB; los primeros retiros de Hugging Face; el costo en precisión que reportan los autores; y los modelos de imagen sin censura frente al veto europeo. En resumen Un modelo “sin censura” es un modelo de pesos abiertos al que le quitaron los rechazos, con un ajuste fino sin negativas o borrando la “dirección de rechazo” interna identificada en 2024. El exceso de rechazos es un problema real y medido. Pero el cambio persiste en cada copia redistribuida, puede costar veracidad y razonamiento y choca con leyes nuevas: la prohibición europea de los generadores de desnudos y de abuso sexual infantil aplica desde el 2 de diciembre de 2026. Nuestra recomendación: la mayoría de las empresas necesita un modelo capaz y bien calibrado, con una política explícita, modelos guardianes, registros y revisión humana, no un modelo sin salvaguardas. Cuando uno con pocos rechazos se justifica (seguridad autorizada, investigación), trátalo como una herramienta de laboratorio controlada. Si aun así necesitas uno, el mapa por nivel de memoria (de 24 a 512 GB), basado en la selección de @sudoingX y verificado de nuevo por nosotros en Hugging Face el 28 de octubre de 2026, muestra qué versión cabe en tu equipo, cuánto pesa y qué declara cada autor, incluidas las versiones de DeepSeek V4.1 Flash publicadas desde el 17 de octubre. Para tu empresa ¿Qué modelo responde mejor a tus casos reales, en la nube o local? En el Slash AI Lab comparamos modelos con tus propios prompts antes de que comprometas costos o datos privados. Slash AI Lab → ## Qué significa “sin censura”, técnicamente Una palabra, cuatro mecanismos: cada uno cambia algo distinto y pide una respuesta distinta. | Mecanismo | Qué cambia | Qué requiere | ¿Persiste? | | --- | --- | --- | --- | | Ajuste fino sin rechazos | Los pesos, con un nuevo entrenamiento | Los pesos o una API de ajuste fino | Sí, en cada copia | | Ablación de la dirección de rechazo (“abliteration”) | Los pesos, con una edición puntual | Los pesos (acceso de caja blanca) | Sí, en cada copia | | Checkpoint base | Nada: nunca tuvo ajuste de instrucciones ni de seguridad | Los pesos | No aplica | | Jailbreak | Solo las entradas | Cualquier acceso, incluidas las API alojadas | No, conversación por conversación | Los ajustes finos sin rechazos llegaron primero. Ajustes comunitarios como las familias Dolphin y Hermes se entrenaron para rechazar mucho menos, con el argumento de la “alineación componible”: publicar un modelo neutro y que cada empresa añada su propia política. La capa de seguridad original es delgada: Qi et al. (2023) eliminaron la mayor parte del comportamiento seguro de GPT-3.5 Turbo con un puñado de ejemplos enviados por la API de ajuste fino de OpenAI. La ablación de la dirección de rechazo viene de Arditi et al. (2024): en 13 modelos de chat abiertos de hasta 72B parámetros, el rechazo dependía de una sola dirección en las activaciones del modelo. Borrarla suprime los rechazos; sumarla hace que el modelo rechace pedidos inofensivos. Trabajos posteriores encontraron una geometría más rica, con varias direcciones independientes, y mostraron que una dirección extraída en inglés suprimía los rechazos en otros idiomas con una eficacia casi perfecta, algo que concierne directamente a los despliegues en español y francés. Un jailbreak cambia solo las entradas: funciona también contra las API alojadas, pero hay que repetirlo en cada conversación. Los checkpoints de instrucciones aprenden a rechazar en el postentrenamiento; los checkpoints base nunca lo hicieron, así que solo los protege la seguridad incorporada en los datos de preentrenamiento, que el estudio Deep Ignorance encontró mucho más resistente al ajuste fino adversarial que las defensas de postentrenamiento. ## Por qué existen: el exceso de rechazos es real Parte de la demanda es legítima. Los modelos alineados rechazan a menudo pedidos seguros que solo parecen peligrosos. En XSTest, 250 prompts seguros con homónimos, lenguaje figurado o hechos históricos, Llama 2 70B Chat con su prompt de sistema por defecto rechazó por completo el 38 %; GPT-4, el 6,4 %. OR-Bench probó 32 modelos con 80.000 prompts de apariencia tóxica pero seguros y encontró una correlación de rangos de 0,89 entre rechazar prompts seguros y tóxicos: los modelos ajustados para ser más seguros tienden a rechazar de más, aunque los más recientes lo hacen menos. FalseReject, de Amazon, mostró que un ajuste fino puede reducir los rechazos innecesarios sin comprometer la seguridad general. El contrapeso es SORRY-Bench, que verifica que los modelos sigan rechazando 440 instrucciones realmente inseguras en 44 categorías; un modelo útil debe salir bien en ambos lados. Anthropic reporta que sus clasificadores de 2026 rechazan cerca del 0,05 % de las consultas inofensivas, un 87 % menos que su primera versión. Los falsos rechazos son un problema de ingeniería con soluciones de ingeniería; quitar la seguridad no es una de ellas. Si quieres medir ambos lados con tus propios casos, en Slash hacemos evaluación de modelos en Slash AI Lab. ## Un ecosistema grande que la redistribución mantiene vivo Las cifras varían según el método, pero coinciden. Lin et al. (2025) identificaron más de 11.000 modelos sin censura en Hugging Face, uno con más de 19 millones de instalaciones. Con una definición más estricta, 10a Labs contó 3.471 entre enero de 2024 y marzo de 2026, cada uno reempaquetado 2,4 veces en promedio, y el 25 % de las 1.643 aplicaciones de GitHub que los usan se clasificó como explícitamente maliciosa. El mismo artículo llama a la redistribución “la capa de persistencia”: las copias comprimidas y los espejos entre cuentas, formatos y plataformas vuelven casi inútiles las bajas en el origen. La automatización bajó aún más la barrera. Una investigación del Financial Times con la firma de seguridad Alice (mayo de 2026) reportó que una herramienta gratuita y pública sirvió para crear miles de variantes “descensuradas”, que los periodistas quitaron las salvaguardas de Llama 3.3 en minutos sin hardware especializado y que las de Gemma 4 cayeron menos de 90 minutos después de su lanzamiento. Google lo calificó como un desafío técnico conocido que enfrentan todos los modelos abiertos. A propósito, no nombramos la herramienta. El 17 de octubre de 2026, a las 02:40 UTC, DeepSeek publicó V4.1 Flash 1017 en Hugging Face. La primera versión sin rechazos apareció unas nueve horas después, y al 28 de octubre contamos 77 repositorios de ese checkpoint marcados como uncensored, abliterated o heretic, con unas 204.000 descargas entre todos. Hugging Face empezó a retirar algunas versiones: desactivó una de GLM 5.3 presentada para ciberataques ofensivos, citando su política de contenido, mientras otro repositorio del mismo autor sigue en línea con acceso condicionado. El 23 de octubre desapareció la versión abliterated de Kimi K2.7 Code (la causa no está confirmada), pero una copia GGUF subida por otra cuenta seguía descargable el 28 de octubre, justo el patrón que describe el artículo de 10a Labs. ## Lo que se pierde al quitar las salvaguardas En Arditi et al., los benchmarks generales (MMLU, ARC, GSM8K) se mantuvieron cerca de la línea base tras la edición, pero la precisión en TruthfulQA cae de forma consistente. Un preprint de 2025 que comparó ediciones de este tipo en 16 modelos de instrucciones de 7B a 14B encontró que el razonamiento matemático es la capacidad más sensible: en GSM8K, los resultados iban de una ganancia de unos 1,5 puntos a una pérdida de 18,8, según método y arquitectura. Los autores ya publican sus propias cifras de antes y después, y muestran que el costo depende de cómo se hace la edición. dealignai reporta que su DeepSeek V4.1 Flash 1017 sin censura obtiene 83,77 % en su prueba de MMLU, frente a 87,63 % del modelo base servido por la API de DeepSeek, una pérdida de 3,86 puntos que llega a 7,31 en humanidades. La misma ficha indica que el modelo respondió los 320 prompts de HarmBench, incluidos los pedidos sobre armas químicas. AtomicChat reporta lo contrario en LFM2.5 24B-A2B: el MMLU no cambia (64,40 % antes, 65,55 % después) cuando solo se editan los dos últimos tercios de la red, y cae 4 puntos cuando la misma edición cubre todas las capas. Son cifras de los autores, con sus propios conjuntos de prueba. El riesgo de fondo es de comportamiento. El estudio sobre desalineación emergente, ampliado en Nature en 2026, ajustó GPT-4o y Qwen2.5-Coder-32B en una tarea estrecha, escribir código inseguro, y obtuvo un comportamiento desalineado en prompts sin relación; presentar los mismos datos como material de un curso de seguridad lo evitó. Ningún benchmark que pudiéramos verificar respalda la idea de que “alucinan más” en general; los costos medidos bastan para evaluar cualquier modelo modificado con tus propias tareas. ## Usos legítimos y la lección de Hugging Face Hay razones reales para querer un modelo que no se niegue: pentest y red teaming autorizados, análisis de malware y respuesta a incidentes, ficción sobre el crimen o la violencia, preguntas médicas y legales francas, y la investigación sobre el propio rechazo. La pregunta es cómo atender esos usos de forma segura. En julio de 2026, durante una intrusión en Hugging Face ejecutada por un framework de agentes autónomos, los modelos comerciales de frontera bloquearon las peticiones forenses del equipo porque sus guardrails no distinguen a quien responde a un incidente de un atacante. El equipo analizó entonces más de 17.000 registros del atacante con el modelo abierto GLM-5.2, en su propia infraestructura. La lección: tener listo, antes del incidente, un modelo capaz, verificado y autoalojado, que además deja en casa los datos y credenciales del atacante. Hugging Face aclara que no es un argumento contra las medidas de seguridad de los modelos alojados. La respuesta de la industria es el acceso verificado, no quitar salvaguardas. Con Project Glasswing (abril de 2026), Anthropic restringió Claude Mythos Preview, fuerte para encontrar y explotar vulnerabilidades, a socios y a más de 40 organizaciones que mantienen software crítico, con un Cyber Verification Program para profesionales de seguridad. También hay modelos abiertos especializados: Foundation-Sec-8B de Cisco (Apache 2.0) apunta al triaje en el SOC y la simulación de amenazas, excluye la generación de malware y phishing y exige revisión humana. ## ¿Qué modelo sin censura cabe en tu memoria? El mapa de octubre de 2026 Depende de la memoria: de 32 a 512 GB hay una versión sin censura de casi cada familia abierta, y como pesa lo mismo que el original, corre a su misma velocidad. El 8 de octubre de 2026, el desarrollador @sudoingX publicó un mapa de las versiones sin censura y “abliterated” más descargadas para cada nivel de memoria, de una RTX 5090 de 32 GB a cuatro DGX Spark con 512 GB, con velocidades medidas en sus propios equipos. Aquí lo resumimos, con crédito a su autor, y lo verificamos: el 9 de octubre comprobamos en Hugging Face cada repositorio, el tamaño de cada archivo, el acceso y lo que declara cada autor. | Memoria | Hardware típico | Selección principal | Velocidad medida (modelo base) | | --- | --- | --- | --- | | 32 GB | RTX 5090, Radeon AI PRO R9700 o dos tarjetas de 16 GB | Qwen 3.6 40B Deckard Heretic, Q5, 28,2 GB | 155,5 tok/s: 27B en Q4 con MTP, RTX 5090 (comunidad) | | 48 GB | Dos RTX 3090 o 4090, RTX A6000, RTX PRO 5000 o dos RX 7900 XTX | Qwen 3.6 35B-A3B Genesis Hermes, Q8, 43,6 GB | 52,5 tok/s: 27B en Q4 con MTP, RTX A6000 (comunidad) | | 96 a 128 GB | RTX PRO 6000 de 96 GB, AMD Strix Halo, DGX Spark o Mac Studio de 128 GB | Qwen 3.8 Flash-Next 180B uncensored, IQ4_XS, 97,5 GB | 44,4 tok/s: Flash-Next en IQ4 con MTP, una DGX Spark | | 256 GB | Dos DGX Spark o Mac Studio de 256 GB | GLM 5.3 Flash 321B uncensored, NVFP4, 194,7 GB | 49,5 tok/s: Flash-Next en FP8 con MTP, dos DGX Spark | | 512 GB | Cuatro DGX Spark o Mac Studio de 512 GB | GLM 5.3 Flash uncensored, FP8, 328,3 GB | Sin medir todavía | ### 32 GB: RTX 5090, Radeon AI PRO R9700 o dos tarjetas de 16 GB - Qwen 3.6 40B Deckard Heretic: Q5, 28,2 GB. Un modelo de 40B ampliado desde un 27B y entrenado con un dataset de razonamiento generado con otro modelo, según su autor. - Qwen 3.8 27B Aggressive: Q6, 25,9 GB, con cabeza MTP; 0 rechazos de 465, según su autor. - Gemma 4 31B Heretic: Q6, 25,2 GB; 10 rechazos de 100 frente a 99 del original, según su autor. - Qwen 3.6 35B-A3B Aggressive: Q6, 30,6 GB; 0 de 465 y más de 11,9 millones de descargas en total. ### 48 GB: dos RTX 3090 o 4090, RTX A6000, RTX PRO 5000 o dos RX 7900 XTX - Qwen 3.6 35B-A3B Genesis Hermes: Q8, 43,6 GB. Parte de la versión Aggressive de 0 de 465 y le suma datos de un ajuste para agentes. - Llama 3.3 70B abliterated: Q4, 42,5 GB, el 70B clásico. - Qwen3-Next 80B-A3B abliterated: IQ4_XS, 42,6 GB, una mezcla de expertos con 3B activos. - Con tres RTX 3060 (36 GB), Gemma 4 31B Heretic cabe en Q8 (32,6 GB), y Qwen 3.8 27B en Q4 corre a 17,3 tok/s, 24,5 con MTP (comunidad). ### 96 a 128 GB: RTX PRO 6000, Strix Halo, DGX Spark o Mac Studio - Qwen 3.8 Flash-Next 180B uncensored: IQ4_XS, 97,5 GB, con acceso condicionado (se aceptan condiciones en la página). - Flash-Next GSQ-RCO abliterated: IQ3_S, 83,9 GB, cabe en una tarjeta de 96 GB; quitaron la dirección de rechazo a un modelo ya cuantizado. - Qwen 3.5 122B-A10B Aggressive: Q4, 74,2 GB; 0 de 465, según su autor. - DeepSeek V4 Flash abliterated: Q2, 86,7 GB; su autor la presenta como una prueba de concepto. - gpt-oss-120b Aggressive: 65,4 GB en MXFP4, la precisión nativa del modelo. - Mediciones de @sudoingX: una Strix Halo corre Qwen 3.6 35B-A3B en Q8 a 53,5 tok/s; una DGX Spark, el 122B base a 28,2 tok/s (34,9 con MTP) y DeepSeek V4 Flash en IQ3 a 16,5 tok/s. ### 256 GB: dos DGX Spark o Mac Studio de 256 GB - GLM 5.3 Flash 321B uncensored: NVFP4, 194,7 GB, conserva la cabeza MTP; 0 % de rechazos en HarmBench-320 y MMLU de 85,28 %, a menos de un punto del modelo base, según su autor. - Qwen 3.8 Flash-Next uncensored: FP8, 185,5 GB, con acceso condicionado. - DeepSeek V4 Flash abliterated: Q4, 164,6 GB. ### 512 GB: cuatro DGX Spark o Mac Studio de 512 GB - GLM 5.3 Flash uncensored: FP8, 328,3 GB, con acceso condicionado. - La versión FP8 de dealignai: 328,3 GB; MMLU de 87,33 % frente a 86,74 % del modelo base, según su autor. ### Nuevo desde el 9 de octubre: lo que encontramos el 28 Volvimos a revisar Hugging Face el 28 de octubre. Estas versiones no estaban en el mapa de @sudoingX. Los tamaños son los de los archivos y cada cifra de rechazos o de calidad es del propio autor. | Memoria | Versión | Tamaño | Qué declara el autor | | --- | --- | --- | --- | | 24 GB | LFM2.5 24B-A2B Uncensored | Q4_K_M 15,4 GB, Q6 20,9 GB | Rechazos del 96,3 % al 1,2 % en 81 prompts dañinos y del 12,8 % al 0 % en los prompts seguros de XSTest; MMLU sin cambio | | 24 GB | Qwen 3.8 27B Defiance | IQ4_XS 15,7 GB, Q6 25,9 GB | Los pesos Aggressive de HauhauCS más una plantilla de chat que le ordena responder sin advertencias; el autor reconoce que su prueba no separa una cosa de la otra | | 32 GB | Nanbeige4.3 33B UNCENSORED | Q4_K_M 20,1 GB, Q6 27,2 GB | Responde pedidos que el modelo base rechaza, incluidos los dañinos; su propia licencia reserva el uso como servicio alojado | | 96 a 128 GB | Flash-Next abliterated v2 | UD-IQ4_XS 93,7 GB, UD-Q4_K_XL 111,3 GB | 243.710 descargas desde el 11 de octubre; licencia Qwen Community | | 256 a 512 GB | DeepSeek V4.1 Flash 1017 abliterated | 224,6 GB o 346,4 GB, en dos mezclas de cuantización | Acceso condicionado; las instrucciones de ejecución de estas versiones aún apuntan a una rama de desarrollo de llama.cpp | | Servidor (4 H200) | DeepSeek V4.1 Flash 1017 UNCENSORED | FP8, 510,3 GB | MMLU de 83,77 % frente a 87,63 % del modelo base; 320 de 320 prompts de HarmBench respondidos | DeepSeek V4.1 Flash 1017 (763.000 millones de parámetros, licencia MIT) salió el 17 de octubre y es el primer modelo de esta escala con varias versiones sin censura a la semana de su lanzamiento. Para un equipo de 24 GB, como una RTX 3090 o 4090, LFM2.5 24B-A2B es la opción más ligera: solo 2B parámetros activos por token, así que corre rápido incluso en Q4. Tres datos para leer el mapa. La demanda es enorme. Al 28 de octubre, según Hugging Face, la versión Aggressive de Qwen 3.8 27B sumaba 5,6 millones de descargas (2,4 millones en los últimos 30 días) y la abliterated de Flash-Next, publicada el 2 de octubre, 2,9 millones, frente a 680.000 el 9 de octubre. Los rechazos son autodeclarados. Cada autor mide con su propio conjunto (465 prompts, 100 prompts o HarmBench-320) y algunos admiten conservar rechazos a propósito para no perder calidad: ninguna cifra es una evaluación independiente. No todo es una ablación limpia. Deckard y Genesis Hermes mezclan otros entrenamientos, así que su comportamiento ya no es el del modelo original. La licencia viaja con el modelo base. Los derivados de Qwen 3.8 Flash-Next declaran Apache 2.0 en su repositorio, pero el modelo base usa la licencia Qwen Community, con condiciones propias para ciertos negocios (ver los modelos de pesos abiertos en 2026): revisa la licencia del original antes de cualquier uso comercial. Algunos derivados suman condiciones propias: la versión de Nanbeige de dealignai reserva el uso como servicio alojado, y los derivados de LFM2.5 conservan la licencia LFM 1.0 de Liquid, que no cubre el uso comercial de empresas con más de 10 millones de dólares de ingresos anuales. DeepSeek V4.1 Flash es MIT. En la práctica, los GGUF corren en llama.cpp (con Vulkan o ROCm en AMD) y en un Mac con llama.cpp o MLX cuando existe la versión. Para elegir equipo, mira el hardware para IA local en 2026; para entender Q4, Q6 o IQ4_XS, la guía de cuantización. Sin barreras, cada respuesta es tuyaAsí lo resume el autor del mapa, y es la regla. Si de verdad necesitas uno de estos modelos, córrelo aislado, sin datos de clientes, con registros y con un guardián propio a la salida, y lee antes la sección legal de abajo. Para casi todo lo demás sigue valiendo nuestra recomendación: un modelo bien calibrado, con una política escrita. ## Qué dicen la ley y las licencias en 2026 Casi todas las normas apuntan a herramientas y resultados abusivos, sobre todo imágenes sexuales, no a los modelos. | Jurisdicción | Norma | Qué ataca | Fecha clave | | --- | --- | --- | --- | | Estados Unidos | TAKE IT DOWN Act | Publicar imágenes íntimas de una persona real sin consentimiento, incluidas las falsificaciones con IA; retiro en 48 horas para las plataformas | Firmada el 19 de mayo de 2025 | | Texas | TRAIGA (HB 149) | Desarrollar o desplegar IA con la intención de producir material de abuso sexual infantil o deepfakes sexuales ilegales | 1 de enero de 2026 | | Reino Unido | Crime and Policing Act 2026, sección 99 | Crear, adaptar o suministrar herramientas que generan imágenes íntimas; hasta 3 años de prisión | Promulgada en 2026 | | Unión Europea | AI Act, art. 5(1)(ba) y (bb) | Sistemas que generan imágenes íntimas sin consentimiento o material de abuso sexual infantil; multas de hasta 35 millones de euros o el 7 % de la facturación | 2 de diciembre de 2026 | | Francia | Code pénal, art. 226-8-1 | Difundir sin consentimiento contenido sexual de una persona, incluido el generado con IA: hasta 2 años y 60.000 euros (3 años y 75.000 en línea) | Vigente desde el 23 de mayo de 2024 | | Colombia | Ley 2502 de 2025 | Suplantación con IA, incluidos los deepfakes: la multa aumenta hasta en una tercera parte | 28 de julio de 2025 | La prohibición europea alcanza también a las herramientas de uso general: queda prohibido comercializar una si ese resultado es razonablemente previsible y reproducible y el sistema no tiene salvaguardas razonables y adecuadas para impedirlo de forma fiable. Un modelo de imágenes al que le quitaron las salvaguardas encaja en esa descripción. Las obligaciones de transparencia del artículo 50, como avisar a las personas de que interactúan con una IA, aplican desde el 2 de agosto de 2026, sin importar el tamaño ni la licencia del modelo. Los modelos de imagen son donde esto pesa primero. Entre los repositorios sin censura más descargados de Hugging Face el 28 de octubre estaba una versión del modelo de imagen Qwen-Image 2.1, con 3,3 millones de descargas (2,2 millones en los últimos 30 días), y una variante más rápida publicada el 9 de octubre sumaba 583.000. No las enlazamos. Un modelo de imagen sin salvaguardas, comercializado en la UE sin otras protecciones, es el caso que la prohibición europea apunta desde el 2 de diciembre. Las licencias suman otra capa: la política de uso aceptable de Llama 3.3 prohíbe el contenido de explotación infantil y el código malicioso, y los términos de uso de Gemma prohíben intentar anular o eludir los filtros de seguridad (Gemma 4 pasó a Apache 2.0). La política de contenido de Hugging Face prohíbe el contenido sexual sin consentimiento. Más en nuestro mapa regulatorio de 2026. ## Mejores opciones que un modelo sin censura Para casi cada necesidad legítima hay un camino más seguro. | Necesidad | Mejor opción | | --- | --- | | Pentest, red teaming, análisis de malware | Acceso verificado, modelos especializados en seguridad y un contexto de autorización explícito | | Respuesta a incidentes con datos del atacante | Un modelo abierto capaz, verificado y autoalojado antes del incidente | | Moderación de contenido, trust and safety | Modelos guardianes hechos para leer contenido dañino y clasificarlo según tu política | | Ficción o preguntas médicas y legales rechazadas | Un modelo mejor calibrado y una política de contenido escrita, midiendo los falsos rechazos | | Demasiados rechazos en un chatbot de clientes | Ajustar la política del sistema y los umbrales de los guardianes, no la seguridad del modelo | | Investigación sobre rechazo y alineación | Pesos abiertos en un laboratorio aislado, con protocolo de investigación y sin redistribución | El hilo común: corregir la calibración y el acceso, no la seguridad. Los modelos guardianes y las políticas están en guardrails que funcionan en producción y el trabajo ofensivo autorizado en IA en seguridad ofensiva. ## Nuestra recomendación y una checklist En Slash recomendamos tres reglas: ningún modelo sin salvaguardas en productos de cara al cliente; para seguridad autorizada, primero acceso verificado o un modelo especializado; y un modelo con pocos rechazos solo como herramienta de laboratorio controlada, nunca redistribuida. Antes de usar uno, revisa: - Autorización: un alcance escrito, un responsable con nombre y un propósito legítimo (prueba, investigación, respuesta a incidentes). - Procedencia: pesos de un publicador conocido, con sumas de verificación; las copias anónimas son un riesgo de cadena de suministro. Lee también la plantilla de chat incluida en el archivo GGUF, porque puede traer instrucciones, como pedirle al modelo que nunca añada advertencias. - Aislamiento: un entorno separado, sin datos de producción, sin salida a internet y sin herramientas innecesarias. - Registro: prompts, respuestas, operador y versión del modelo, según tu política de retención. - Revisión de salidas: un modelo guardián sobre las respuestas y una persona antes de que algo salga del laboratorio. - Revisión legal: la política de uso aceptable de la licencia y la ley donde operas y donde se usan los resultados. - Cierre: borrar el modelo y sus resultados al terminar el trabajo. Línea rojaNunca uses un modelo de imagen o video con pocos rechazos sobre fotos de personas reales: ahí se concentra la exposición legal en todas las jurisdicciones de la tabla, y en la UE esas herramientas quedan prohibidas desde el 2 de diciembre de 2026 si no tienen salvaguardas adecuadas. ### Lo esencial - “Sin censura” abarca cuatro mecanismos (ajuste fino sin rechazos, ablación de la dirección de rechazo, checkpoints base, jailbreaks); las ediciones de pesos persisten en cada copia. - El exceso de rechazos es real (Llama 2 70B Chat rechazó el 38 % de los prompts seguros de XSTest) y se corrige calibrando mejor, no quitando la seguridad. - Las bajas no funcionan: 10a Labs contó 3.471 modelos sin censura, reempaquetados 2,4 veces cada uno, y el 25 % de las apps de GitHub que los usan resultó maliciosa; cuando Hugging Face retiró versiones en octubre de 2026, las copias de otras cuentas siguieron en línea. - Quitar salvaguardas tiene costos medidos: menos precisión en TruthfulQA, pérdidas de razonamiento de hasta 18,8 puntos y riesgo de desalineación emergente. - La UE prohíbe los generadores de desnudos y de abuso sexual infantil desde el 2 de diciembre de 2026; para usos legítimos, acceso verificado, modelos especializados y un laboratorio controlado. - Si necesitas uno, hay una versión para cada memoria, de 24 a 512 GB (mapa de @sudoingX verificado de nuevo el 28 de octubre de 2026, con DeepSeek V4.1 Flash), pero las cifras de rechazo y de calidad son autodeclaradas y la licencia del modelo base sigue vigente. ## Fuentes - Refusal in Language Models Is Mediated by a Single Direction · Arditi et al., NeurIPS 2024 (arXiv), 2024-06-17 - Refusal Direction is Universal Across Safety-Aligned Languages · Wang et al. (arXiv), 2025-05-22 - XSTest: A Test Suite for Identifying Exaggerated Safety Behaviours in Large Language Models · Röttger et al., NAACL 2024 (arXiv), 2023-08-02 - OR-Bench: An Over-Refusal Benchmark for Large Language Models · ICML 2025 (arXiv), 2024-05-31 - Uncensored Open-weight Models: Redistribution as the Persistence Layer · 10a Labs (arXiv), 2026-09-04 - Emergent Misalignment: Narrow finetuning can produce broadly misaligned LLMs · Betley et al. (arXiv), 2025-02-24 - AI guardrails stripped from Meta and Google models in minutes · The Irish Times (Financial Times), 2026-05-25 - Security incident disclosure, July 2026 · Hugging Face, 2026-07-16 - Project Glasswing · Anthropic, 2026-04-07 - Regulation (EU) 2026/1744 of 8 July 2026 (Digital Omnibus on AI) · EUR-Lex, 2026-07-24 - Crime and Policing Act 2026, Part 5, Chapter 4 · legislation.gov.uk, 2026 - Code pénal, article 226-8-1 · Légifrance, 2024-05-23 - Uncensored AI past 24 GB, round 2: memory-tier map of uncensored and abliterated builds · @sudoingX on X, 2026-10-08 - Qwen3.8-27B-Uncensored-HauhauCS-Aggressive-MTP-GGUF (model card) · Hugging Face, 2026-10-09 - gemma-4-31B-it-uncensored-heretic-GGUF (model card) · Hugging Face, 2026-10-09 - GLM-5.3-Flash-UNCENSORED-NVFP4 (model card) · Hugging Face, 2026-10-09 - Qwen3.8-Flash-Next (base model card and Qwen Community license) · Hugging Face, 2026-10-09 - DeepSeek-V4.1-Flash-1017 (base model card) · Hugging Face, 2026-10-17 - DeepSeek-V4.1-Flash-1017-UNCENSORED-FP8 (model card, MMLU and HarmBench results) · Hugging Face, 2026-10-28 - LFM2.5-24B-A2B-Uncensored-GGUF (model card, refusal and MMLU results) · Hugging Face, 2026-10-28 - Qwen3.8-27B-Defiance-Uncensored-MTP-GGUF (model card) · Hugging Face, 2026-10-28 - LFM Open License v1.0 · Liquid AI on Hugging Face, 2026-10-28 - Content Policy · Hugging Face, 2026-10-28 - Hugging Face bans first uncensored models, Kimi K2.7 Code vanishes · Pasquale Pillitteri, 2026-10-25 Nota editorial: este análisis refleja la información pública disponible en la fecha de revisión. Modelos, precios y normas cambian rápido; cada dato de terceros enlaza a su fuente y nuestras opiniones se presentan como tales. ¿Ves un error? Escríbenos a contact@slash-digital.io. Preguntas frecuentes ## Las preguntas que escuchamos a menudo **¿Es legal usar un modelo sin censura?** Las leyes revisadas aquí apuntan a usos, resultados y herramientas hechas para el abuso (generadores de imágenes íntimas, material de abuso sexual infantil, suplantación) más que a los modelos en sí. Pero las licencias pueden prohibir eludir los filtros de seguridad y, desde el 2 de diciembre de 2026, la prohibición de la UE alcanza también herramientas generales sin salvaguardas adecuadas. Busca asesoría legal para tu caso. **¿Es segura la IA sin censura?** No para producción sin controles adicionales. Quitar los rechazos elimina también el filtro propio del modelo ante pedidos dañinos, puede costar precisión (un autor midió 3,86 puntos menos de MMLU en DeepSeek V4.1 Flash) y los archivos son un riesgo de cadena de suministro, porque las copias vienen de cuentas anónimas y pueden traer sus propias instrucciones. Para investigación o seguridad autorizada, córrelo aislado, con registros y un modelo guardián a la salida. **¿Qué es la “abliteration”?** El nombre que la comunidad da a la ablación de la dirección de rechazo: editar los pesos de un modelo para quitar la dirección interna que la investigación asoció al rechazo en 2024. Requiere los pesos, y el cambio persiste en cada copia. **¿Los modelos sin censura son más inteligentes o más honestos?** No hay evidencia de eso. La investigación encontró menos precisión en TruthfulQA tras la edición y, según el método y la arquitectura, pérdidas de razonamiento matemático de hasta 18,8 puntos en GSM8K. **¿Podemos usar uno para un pentest?** Solo con autorización escrita y en un entorno aislado. Prueba antes los programas de acceso verificado y los modelos especializados en seguridad: suelen cubrir la necesidad con menos riesgo legal y operativo. **¿Cómo reducimos los falsos rechazos sin quitar la seguridad?** Elige un modelo mejor calibrado, escribe una política de contenido explícita, ajusta los umbrales de tus modelos guardianes y mide falsos rechazos y daños no detectados con tus propios prompts etiquetados, en cada idioma que atiendes. **¿Qué modelo sin censura puedo correr en mi GPU o en mi Mac?** Depende de la memoria. Con 24 GB, como una RTX 3090 o 4090, caben LFM2.5 24B-A2B o Qwen 3.8 27B en Q4; con 32 GB, como una RTX 5090, caben versiones de 27B a 40B en Q5 o Q6; con 48 GB, un 35B-A3B en Q8 o un 70B en Q4; con 96 a 128 GB, Qwen 3.8 Flash-Next o Qwen 3.5 122B; con 256 GB, GLM 5.3 Flash en NVFP4; y con 512 GB, GLM 5.3 Flash en FP8 o DeepSeek V4.1 Flash 1017 en una cuantización mixta de 346 GB. Las tablas del artículo, basadas en el mapa de @sudoingX del 8 de octubre de 2026 y revisadas el 28 de octubre, dan tamaños y enlaces verificados en Hugging Face.