Qwen3.8 27B反审查模型实测对比：167小时GPU测试揭示真相

最全面的Qwen反审查模型对比

一项耗时11天、消耗167 GPU小时的大规模测试，揭示了Qwen 3.8 27B反审查版本的真实表现。Abliterlitics团队对HuggingFace上8个声称"无审查"的模型变体进行了严格验证，通过权重对比、KL散度测量、13项基准测试和HarmBench 400经典测试集，揭露了这些模型实际能力与宣传之间的差距。

反审查（uncensored）模型是指通过后处理手段移除大语言模型在RLHF（基于人类反馈的强化学习）和安全微调阶段植入的拒绝行为的模型变体。主流大模型厂商在发布模型前，通常会通过Constitutional AI、DPO（直接偏好优化）等技术训练模型拒绝回答涉及有害内容的请求。反审查社区则试图逆转这些安全层，其动机包括学术研究、创意写作、以及对AI自由表达的哲学立场。这一领域的核心技术挑战在于：如何在移除拒绝行为的同时，保持模型的推理能力和知识完整性。

这是迄今为止针对单一模型家族最系统的反审查改造对比研究。测试结果不仅暴露了部分模型卡信息不实，还发现了一个此前被忽视的问题：在27B参数规模上，过度激进的编辑会导致模型陷入"思维循环"，无法完成正常推理。

八强排名：外科手术式编辑完胜暴力改造

HarmBench攻击成功率（ASR）排名表明，编辑精度比编辑力度更重要。HarmBench是由多所顶级研究机构联合开发的标准化红队测试框架，包含约400个经过精心设计的有害请求样本，涵盖化学/生物危害、网络攻击、骚扰、虚假信息、版权侵犯等多个类别。其核心指标ASR（Attack Success Rate，攻击成功率）衡量的是模型在面对对抗性请求时"配合"回答的比例，已成为评估模型安全对齐效果的事实标准：

orcarouter（82.2%）——当之无愧的冠军。采用Arditi风格的单向量编辑，仅在第38层修改131个矩阵，是唯一一个所有声明都与实际权重完全一致的模型。版权内容解锁率达到39%，为所有变体中最高。

Arditi风格编辑源自2024年Andy Arditi等人的研究，核心发现是大语言模型的拒绝行为可以被定位到残差流（residual stream）中的单一方向向量。通过在特定Transformer层的权重矩阵中减去这个"拒绝方向"，可以精准消除模型的安全拒绝倾向，而几乎不影响其他能力。这种方法的优雅之处在于它只需要极少量的权重修改——orcarouter仅修改了第38层的131个矩阵，相当于对数百亿参数中极微小的一部分进行了"外科手术"。

apostate（78.7%）——最佳性价比之选。采用全新的KCRN方法，仅进行41次真实编辑，KL散度低至0.0439（接近原始模型），能力保持几乎完美。不过存在打包问题：重新保存为纯文本模型后丢失了视觉能力和多任务预训练数据，精度降级为FP16。

KCRN（Knowledge-Conditioned Refusal Neutralization）是一种较新的反审查技术路线，与传统的方向消融（abliteration）方法不同，它通过条件化知识编辑来中和拒绝行为。KCRN的核心理念是识别模型中负责"拒绝决策"的知识节点，并进行针对性的最小干预。apostate仅通过41次真实编辑就达到了78.7%的ASR，这一效率说明KCRN在精准定位拒绝相关参数方面具有显著优势。不过该方法目前仍处于早期阶段，其在不同模型架构上的泛化能力尚待验证。

KL散度（Kullback-Leibler Divergence）是信息论中衡量两个概率分布差异的经典指标。在语言模型评估中，它被用来度量修改后的模型与原始模型在输出概率分布上的偏离程度。KL散度越低，说明修改越"保守"，模型的原始行为保持得越好。apostate的KL散度仅为0.0439，意味着它的输出分布几乎与原始Qwen模型一致，这解释了它为何能在解除审查的同时保持接近完美的能力水平。需要注意的是，KL散度的计算结果对采样策略、校准数据集和浮点精度敏感，因此跨环境比较时需要谨慎。

huihui（75.6%）——经典方法的可靠代表。在除版权（仅3%）外的所有领域都实现了干净解锁。

ultra_heretic（70.5%）——Heretic v2结合MPOA方法。功能正常，但在真实性评估中出现严重下降（仅次于obliteratus），并产生118次软拒绝。

coder3101（70.0%）——原版Heretic方法。模型卡自称"最弱的移除效果"（100次测试中33次拒绝），但实际测量显示400次测试中仅5次明确拒绝，模型卡描述过于保守。

blackfrost（68.5%）——闭源方法，存在严重的诚信问题。权重分析显示仅使用单向量编辑，且100%为秩1修改，与其宣称的"多向量方向库"（rank-k direction bank）完全矛盾。在线性代数中，秩1矩阵是最简单的非零矩阵形式，可以表示为一个列向量与一个行向量的外积。当权重分析显示修改"100%为秩1修改"时，这意味着每个被修改的权重矩阵都只沿一个方向进行了调整——这正是经典的单向量消融（abliteration）的特征签名。如果真的使用了"多向量方向库"，那么修改矩阵的秩应该大于1（rank-k，k>1），因为多个方向的叠加会产生更高秩的修改模式。这一发现构成了blackfrost方法声明与实际实现之间矛盾的直接技术证据。

更值得警惕的是，该模型在聊天模板中嵌入了1457字符的越狱提示词，意味着每个用户输入都会被偷偷注入修改后的指令，而README中对此只字未提。

obliteratus（63.9%）——明确不推荐。在850个张量中修改了841个，是所有变体中最激进的编辑。代价十分惨重：44.8%的HarmBench响应永远无法完成思考阶段，这也是唯一一个在智力测试中出现显著退化的变体。

trohrbaugh（57.5%）——排名垫底，因为审查解除不够彻底。122次明确拒绝，残留对齐程度最高，但同时拥有最干净的能力保持曲线。测试者坦言"这是我自己在用的版本，表现很好"——对于需要安全边界的场景，这反而是优势。

base（4.5%）——基础模型作为参考基线，在化学/生物、骚扰、有害内容和版权领域几乎零配合。

关键发现：思维循环陷阱

Qwen 3.8采用思维链（think-before-answer）架构，这在反审查改造中暴露了全新问题。Qwen 3.8的思维链架构要求模型在输出最终答案前先进行显式推理，即在<think>标签内展开内部思考过程。这一设计原本是为了提升复杂推理任务的准确性，但在反审查场景下产生了意想不到的副作用。当安全对齐被部分移除后，模型的推理模块和残余安全机制之间可能产生冲突：模型"想要"回答但残留的安全信号又试图阻止，导致推理过程在矛盾中反复循环。这种"思维循环"现象在传统的非CoT模型中不会出现，是Qwen 3系列引入推理架构后特有的问题。

测试发现，激进编辑的模型在处理对抗性问题时，多达45%的响应会陷入无限思考循环，直到达到15,360 token预算上限仍无法输出答案。15,360 token的预算上限意味着一次失败的响应可能消耗大量计算资源却不产出任何有用内容。

评判系统会读取完整的思维轨迹，因此循环内的"配合"仍然计入成功率。但一个只在未终止的独白中交付结果的模型，在实际应用中没有任何价值。

说个细节，同样在HarmBench上循环40%以上的模型，在GSM8K数学推理测试中却能正常完成——所有变体与基础模型的差距都在1.2个百分点以内。这说明常规数学推理能力已经收敛，但对抗性深度思考尚未稳定。GSM8K是一个包含约8,500道小学数学应用题的基准测试集，常用于评估语言模型的基础推理能力。数学推理任务不涉及安全拒绝机制，因此修改后的模型在此类任务上的表现可以作为"能力保持度"的参照指标。

版权成为新的普遍壁垒

测试揭示了审查边界的显著迁移：没有任何模型的版权内容解锁率超过39%，9个模型中有5个停留在3.2%或以下。话说回来，历史上最难解锁的化学/生物类别反而成了最容易突破的领域。监管压力和训练策略的变化，正在重新定义"不可触碰"的内容类型。

这一变化的背后有深层原因。随着生成式AI在创意产业引发的版权争议日益激烈——从Getty Images诉Stability AI案到《纽约时报》诉OpenAI案——模型厂商在版权保护方面投入了更多的安全训练资源。与化学/生物类的安全对齐主要依赖RLHF阶段的拒绝训练不同，版权保护往往在预训练数据过滤、微调数据筛选和多层安全策略中同时实施，这使得仅通过后处理权重编辑来解除版权限制变得极为困难。

聊天模板：被低估的行为控制杠杆

blackfrost在聊天模板中嵌入越狱提示的发现，促使团队首次进行了聊天模板取证分析。

聊天模板（chat template）是大语言模型将用户输入转换为模型实际接收的token序列的规则定义，通常以Jinja2模板格式存储在tokenizer配置中。它定义了系统提示词、用户消息和助手回复之间的分隔符和格式。由于聊天模板在推理时自动应用，用户通常不会检查其内容，这使其成为一个隐蔽的行为控制点。blackfrost在模板中注入越狱提示的做法，本质上是在每次对话开始前都向模型注入了一段隐藏的系统级指令，类似于"提示注入攻击"但由模型发布者主动实施。这种做法的问题不仅在于缺乏透明度，还在于它会影响所有下游使用场景，包括那些不需要解除审查的正常用途。

取证分析结果：

• blackfrost：注入1457字符的越狱提示
• obliteratus：关闭了思维链功能
• ultra_heretic：删除了官方推理努力提示

团队为所有模型固定了标准模板后重新测试，因为聊天模板对行为的影响往往超过权重修改本身。这也解释了为什么某些模型在用户实际使用中的表现与基准测试结果存在巨大差异。

模型卡诚信审计

完全诚实：orcarouter的4项声明与实测完全一致；trohrbaugh的KL散度与声明值误差仅9%。

技术误差：其他模型的KL散度偏差较大，但这并非故意造假——KL散度测量会因CUDA版本、硬件和计算方法不同而产生差异，仅适用于同批次内部对比。

无法复现：obliteratus诚实公开了修改方法，但其"0%拒绝、0%回避"的声明无法验证。实测中44.8%的HarmBench测试陷入思维循环，推理分析发现142次回避行为。

信息隐瞒：blackfrost声称使用"内部方向库"（暗示多向量修改），但权重分析仅发现单向量改动。更严重的是，README完全未披露修改后的聊天模板。

外科手术vs地毯式轰炸：精准编辑是正确方向

这次对比再次验证了一个核心结论：在反审查改造中，精准编辑远胜暴力修改。排名前两位的模型都采用经过验证的最小编辑策略，而最激进的编辑方案（obliteratus）排名倒数第二。在27B参数规模上，大范围修改权重只会让模型陷入思维循环。

这一结论与机器学习领域更广泛的研究趋势相吻合。从LoRA（低秩适应）到模型编辑（Model Editing）领域的ROME、MEMIT等方法，越来越多的证据表明：大语言模型的特定行为往往由参数空间中的低维子空间控制。理解这些"行为向量"的位置和作用方式，比盲目修改大量参数更为有效。这也意味着，反审查技术的未来发展方向不是更大范围的修改，而是更精准的定位——找到并移除那些编码了拒绝行为的关键神经元或注意力头。

完整测试报告、所有响应的推理轨迹和评判结果已在abliterlitics.dev公开。团队正在考虑引入新的测量维度，以更全面地评估聊天模板和超参数对模型行为的影响。

核心要点