Heretic去审查技术解析：Jamba2与Qwen3.5开源模型实践

近日，活跃于 HuggingFace 的开发者 LLMFan46 在 Reddit 上发布了一批去审查（Uncensored）开源模型，涵盖 Jamba2-Mini、Qwen3.5-9B 与 Qwen3.5-27B 三个版本，均以 Safetensors 与 GGUF 双格式提供。这批模型的核心亮点不在于参数规模，而在于其背后使用的 Heretic 去审查技术及其对模型拒答率的显著改造效果。

本文将梳理这批模型的技术细节，并探讨开源社区中去审查实践的技术逻辑与潜在争议。

三款去审查模型的技术定位

此次发布的三款模型各有侧重，覆盖了从混合架构到主流 Transformer 的不同技术路线。

Jamba2-Mini：首个被去审查的混合 Mamba 架构模型

最值得关注的是 Jamba2-Mini Ultra Uncensored Heretic。这是一个基于 AI21 混合 Mamba 架构、拥有 52B 参数的模型。据发布者称，这是该模型此前从未被去审查过的首次尝试。

Jamba 系列采用 Mamba 状态空间模型与 Transformer 注意力机制的混合设计，在长上下文处理与推理效率上具备一定优势。Mamba 是由 Albert Gu 和 Tri Dao 于 2023 年底提出的选择性状态空间模型（Selective State Space Model），其核心创新在于引入了输入依赖的选择机制，使得传统状态空间模型能够根据输入内容动态决定保留或遗忘哪些信息。在 Mamba 之前，传统的状态空间模型（如 S4、H3）虽然拥有线性复杂度的理论优势，但其固定的状态转移矩阵意味着模型对所有输入 token 一视同仁，无法像注意力机制那样根据语义相关性选择性地关注特定信息。Mamba 通过将 B、C、Δ 三个关键参数设计为输入的函数，使状态转移过程变得动态可控；配合硬件感知的并行扫描算法，Mamba 在保持线性复杂度的同时，在语言建模基准上首次匹配甚至超越了同等规模的 Transformer 模型。

与标准 Transformer 的二次复杂度注意力机制不同，Mamba 在序列长度上实现了线性时间复杂度，这意味着处理超长上下文时内存和计算开销显著降低。AI21 Labs 的 Jamba 架构则进一步将 Mamba 层与传统 Transformer 注意力层交替堆叠，试图兼得两者优势：Mamba 层负责高效的长距离信息传递，Transformer 层负责精细的局部模式捕捉。这种混合设计还引入了混合专家（MoE）机制，使得 52B 的总参数中仅有约 12B 在每次推理时被激活，进一步提升了计算效率。MoE 的路由机制通过一个门控网络为每个 token 动态选择最相关的专家子网络，这意味着模型可以在保持大容量知识存储的同时，将每次推理的实际计算量控制在较低水平——这对于在消费级硬件上运行大参数模型尤为关键。

对这类非纯 Transformer 架构进行去审查改造，技术难度比处理常规模型更高——操作者需要同时理解两种不同计算范式下拒答行为的激活模式，而现有的大多数权重编辑工具最初都是针对纯 Transformer 架构设计的。具体而言，Mamba 层中的拒答信号可能编码在循环状态的演化轨迹中，而非像 Transformer 层那样集中在注意力权重或残差流的特定方向上。在 Transformer 中，信息通过残差流在各层之间传递，拒答行为通常表现为残差流中某个可识别的线性方向；而在 Mamba 层中，信息被压缩存储在固定维度的隐藏状态中，通过时间步的状态递推进行传播，拒答信号可能分布在状态演化的时序模式中而非空间方向上。这要求去审查工具具备跨架构的激活分析能力，能够同时处理注意力模式和循环状态两种根本不同的信息编码方式。这也是此次发布被特别强调的原因。

Qwen3.5-9B 与 27B：Nikusui 系列的延伸

另外两款模型均基于 Qwen3.5 架构，并保留了原生的 MTP（Multi-Token Prediction，多词元预测） 能力。

• Qwen3.5-9B-Nikusui-v1：对开发者 Extraaltodeus 发布的 Nikusui-v1-9B 进行的二次去审查处理。
• Qwen3.5-27B-Nikusui-v1：发布者利用 Extraaltodeus 的 J-Wash 工具，结合 Nikusui-v1 配置自行制作的 27B 版本。发布者坦言自己不常使用低参数模型，因此扩展出了这个更大规模的变体。

MTP 能力的原生保留（Native-MTP-Preserved）是这两款模型的命名重点。多词元预测是 Meta 在 2024 年系统阐述的训练与推理策略——传统自回归语言模型每次前向传播仅预测下一个 token，而 MTP 通过在模型末端添加多个独立的预测头，使模型在单次前向传播中同时预测未来多个 token。MTP 的核心洞察在于：如果模型能够准确预测未来第 2、3、4 个 token，那么它必须对当前上下文形成更抽象、更具规划性的内部表示。Meta 在其论文中证明，使用 4 个额外预测头的 MTP 训练可以在不增加推理成本的情况下，使模型在代码生成和数学推理等需要长程规划的任务上获得显著提升。

在训练阶段，MTP 作为辅助损失函数迫使模型学习更深层的语义规划能力——模型不仅要预测紧邻的下一个 token，还要预测更远的未来 token，这种多步预测压力迫使隐藏层表示包含更丰富的前瞻信息。在推理阶段，MTP 可与推测解码（speculative decoding）结合，利用多个预测头的输出作为草稿 token 进行并行验证，从而在不损失生成质量的前提下将推理吞吐量提升 2-3 倍。推测解码的核心原理是"先猜后验"：快速生成多个候选 token，然后由完整模型在单次前向传播中并行验证所有候选的正确性。这些预测头实质上充当了模型自身的"草稿模型"，每次前向传播产生多个候选 token，再由主模型验证层统一确认，实现了推测解码的"自我草稿"模式，无需外挂额外的小模型。这种方案相比传统的双模型推测解码（需要单独维护一个小型草稿模型），在部署复杂度和内存占用上具有明显优势。

Qwen3.5 系列原生支持 MTP，意味着其预测头结构已深度嵌入模型权重中。去审查改造若破坏了这些预测头与主干网络之间的协调关系，就会导致推测解码失效、推理加速能力丧失。因此，改造过程中保留 MTP 特性说明操作并未破坏模型的底层加速结构，这在技术上并非易事——预测头的准确性依赖于主干网络隐藏状态的分布特征，而权重编辑恰恰可能改变这些分布。具体来说，每个预测头本质上是一个将隐藏状态映射到词表概率分布的线性变换（加上可能的小型 Transformer 块），它们在训练过程中与主干网络联合优化，对隐藏状态的统计特性（均值、方差、方向分布）形成了精密的依赖关系。如果去审查操作显著改变了中间层的激活分布，预测头将产生低质量的草稿 token，导致验证通过率下降，推测解码加速效果大打折扣甚至完全失效。

Heretic 技术：去审查的核心工具与效果

这批模型命名中反复出现的"Heretic"，指向了本次实践的核心技术手段。从发布者提供的数据看，其效果十分直观。

拒答率的大幅下降

发布者以拒答率（refusals，即模型拒绝回答请求的比例）作为量化去审查效果的核心指标：

• Jamba2-Mini：原版拒答率高达 97/100，经 Heretic 处理后降至 4/100；
• Qwen3.5-9B-Nikusui：尽管原模型卡片标注为"uncensored"，实际拒答率仍达 96/100，处理后降至 11/100。

这组数据揭示了一个值得深思的现象：标注为"去审查"的模型未必真正去除了审查限制。发布者特别指出 Nikusui-v1-9B 虽在模型卡上标注 uncensored，但实测拒答率仍高达 96/100。这提醒使用者，开源模型的标签与实际行为之间可能存在明显差距，必须通过实测验证。这种"标签失真"现象在开源社区并不罕见——部分原因在于不同去审查方法的有效性差异巨大，某些方法可能仅削弱了特定类别的拒答行为而非全面移除；另一部分原因在于基座模型更新后，之前有效的去审查配置可能不再适用于新版本的对齐机制。

Heretic 技术路径解析

Heretic 所采用的技术路径属于更广泛的"表示工程"（Representation Engineering）范畴。2023 年，Center for AI Safety 的研究者发表了关于表示工程的开创性论文，证明语言模型的高级行为（如诚实性、有害性、情绪等）可以被定位到隐藏状态空间中的特定线性方向。这一发现建立在线性表示假说（Linear Representation Hypothesis）之上——该假说认为，神经网络将高级概念编码为激活空间中的线性方向，即在高维空间中，从"愿意回答"到"拒绝回答"的行为变化可以近似表示为沿某个固定向量的位移。2024 年的多项后续研究进一步证实，不仅行为特征如此，甚至事实性知识也呈现类似的几何结构，这为精准的行为编辑提供了坚实的理论基础。

具体操作流程通常包括：首先收集一组对比样本（如模型拒绝回答 vs. 正常回答时的内部激活），通过差异分析（如 PCA 主成分分析或差向量计算）识别出"拒答方向"；然后在模型权重中减去或抑制该方向的分量。差向量计算的基本思路是：对同一问题分别获取模型在"拒答模式"和"正常回答模式"下各层的隐藏状态，取两组激活的均值差即可得到近似的拒答方向向量。PCA 方法则更为精细，通过对大量对比样本的激活差异进行主成分分解，提取解释方差最大的方向作为目标编辑方向。这类方法的优势在于无需重新训练模型，计算成本极低（通常只需几分钟的 GPU 时间），且理论上只影响目标行为而不破坏通用语言能力。社区中类似的工具还包括 abliteration（消融术）、Orthogonalization（正交化）等，它们共享相同的数学直觉但在具体实现细节上有所差异——例如 abliteration 直接将拒答方向从残差流中减去（即对每一层的输出进行方向投影后减去该方向分量），而正交化则将相关权重矩阵投影到与拒答方向正交的子空间中（通过修改权重矩阵本身而非运行时激活，使模型在结构上无法产生该方向的输出）。后者的优势在于修改是永久性的且不增加推理时的额外计算，但对权重的改动更为激进。

相比传统的微调重训方案（如使用去审查数据集进行 LoRA 微调或全参数微调），这类方法成本更低、针对性更强，因此在开源社区中快速流行。

为何对齐如此容易被绕过？

当前主流大语言模型的安全对齐通常经历三个阶段：预训练（在大规模语料上学习语言能力）、监督微调 SFT（用人类标注的高质量问答对教导模型遵循指令）、以及基于人类反馈的强化学习 RLHF（通过奖励模型引导生成符合人类偏好的输出）。其中 RLHF 阶段是拒答行为的主要来源——奖励模型被训练为对有害内容给予负反馈，使得策略模型学会在遇到敏感请求时输出拒绝模板。近年来，部分模型还采用 DPO（Direct Preference Optimization）等更简化的偏好优化方法替代传统 RLHF 的复杂训练流程，但无论采用何种具体算法，对齐阶段相对预训练的计算占比都极为有限。

然而，研究表明这种对齐往往是"浅层"的：拒答行为通常集中在模型中间层的少数方向上，而非均匀分布在所有参数中。对齐的脆弱性从根本上源于 RLHF 的训练范式：强化学习阶段通常只占总训练计算量的不到 1%，其改变的参数分量相比预训练阶段微乎其微。以一个典型的 70B 参数模型为例，预训练可能消耗数百万 GPU 小时，而 RLHF 阶段通常只需数千 GPU 小时——两者之间存在约三个数量级的差距。这种"薄薄一层漆"式的安全机制，在面对精准的表示空间干预时自然不堪一击。这就解释了为何 Heretic 等工具能够通过定向的权重编辑快速消除拒答倾向——它们本质上是在移除一个相对局部化的行为模式，而非重构整个模型的知识体系。从 97/100 的拒答率骤降到 4/100，恰恰印证了对齐机制在参数空间中的"脆弱集中性"。

这一现象也引发了学术界对更鲁棒对齐方案的探索，包括对抗训练（在训练过程中模拟去审查攻击，使模型学会抵抗权重编辑）、分布式安全编码（将安全行为分散到更多层和参数中，使单一方向的移除无法完全消除拒答能力）、基于宪法 AI 的多轮自我对齐（让模型根据明确的原则对自身输出进行批判和修正）、以及 Circuit Breakers（断路器）等新型防御方法（通过在模型内部设置多层独立的安全检查点，即使某一层被绕过也能在后续层进行拦截）。然而，这些方法目前大多仍处于研究阶段，尚未在生产级模型中得到广泛部署。

部署方式与格式支持

这批模型在可用性方面较为完善，全部提供 Safetensors 与 GGUF 两种格式。

• Safetensors：这是 HuggingFace 于 2022 年推出的模型权重存储格式，旨在替代传统的 Python pickle 序列化方式。pickle 格式存在严重的安全隐患——反序列化过程中可以执行任意 Python 代码，攻击者可以在模型文件中嵌入恶意代码（这种攻击被称为"pickle 反序列化攻击"，已有多起实际案例被报告，包括在公开模型仓库中发现的恶意权重文件）。Safetensors 通过采用纯粹的张量数据存储（仅包含一个 JSON 格式的元数据头描述每个张量的名称、数据类型和形状，紧随其后是连续排列的原始数值数组），从设计上杜绝了代码执行的可能性。其文件结构的简洁性还带来了快速加载的优势：解析器只需读取文件开头的元数据头即可确定所有张量的内存布局。此外，它支持内存映射（mmap）加载——操作系统将文件直接映射到虚拟地址空间，只有实际被访问的页面才会被加载到物理内存中，这使得在内存有限的环境中可以按需加载模型的不同部分。Safetensors 适合在 GPU 上直接加载运行，兼容 Transformers、vLLM、TGI 等主流推理框架。

• GGUF：全称 GPT-Generated Unified Format，是 llama.cpp 项目在 2023 年推出的模型格式，专为 CPU 和混合 CPU/GPU 推理场景设计。GGUF 的前身是 GGML 格式（由 llama.cpp 作者 Georgi Gerganov 开发的机器学习张量库格式），后者因缺乏版本兼容性和元数据扩展能力而被淘汰——GGML 格式没有正式的版本管理机制，导致不同时期产出的模型文件之间互不兼容。GGUF 的设计哲学强调"单文件自包含"——将原本分散在 tokenizer.json、config.json、模型权重等多个文件中的信息统一封装为一个二进制文件，使得模型分发和加载变得极为简洁。GGUF 文件内嵌了模型架构信息、分词器配置（包括完整的词表和合并规则）和量化参数，使得单一文件即可完整描述一个可运行的模型。其二进制格式采用键值对元数据系统，支持灵活的字段扩展而不破坏向后兼容性。GGUF 面向 llama.cpp、Ollama、LM Studio 等本地量化推理场景，方便在消费级硬件上运行。

对 Ollama 用户，发布者给出了直接的运行命令示例。以下载 Q4_K_M 量化版本为例：

ollama run hf.co/llmfan46/AI21-Jamba2-Mini-ultra-uncensored-heretic-GGUF:Q4_K_M

其中 Q4_K_M 是一种流行的量化方案："Q4"表示主体权重被量化为 4 比特，"K"表示使用 k-quant 分组量化策略（对不同层采用不同精度），"M"表示中等精度档位（相比 S/L 在速度和质量间取平衡）。k-quant 的核心思想是根据每一层对量化误差的敏感度分配不同精度：注意力层的 Q/K 投影通常保持较高精度（如 6 比特），因为这些投影直接影响注意力分数的计算准确性；而 FFN 层的权重则可以更激进地压缩到 4 甚至 3 比特，因为前馈网络对量化噪声的容忍度相对更高。这种差异化量化策略的效果经验上优于对所有层统一使用相同比特数的简单方案——在相同的平均比特率下，k-quant 通常能将困惑度（perplexity）损失降低 30-50%。一个 52B 参数的模型在 Q4_K_M 量化下大约需要 28-30 GB 存储空间，可以在配备 32GB 内存的消费级设备上运行。一行命令即可拉取并运行的方式，大幅降低了本地部署门槛，也体现了 GGUF 量化生态的成熟度。

理性看待去审查模型的风险与价值

去审查模型在开源社区始终是一个高关注、也高争议的话题。

从技术研究角度看，这类实践揭示了模型对齐机制的脆弱性——一个经过 RLHF 对齐、拒答率高达 97% 的模型，可以通过相对轻量的权重调整将拒答率压至个位数。这对研究模型安全、理解对齐边界具有重要参考价值。它迫使安全研究者思考更鲁棒的对齐方案，例如将安全行为更深层地编码到模型参数中，而非仅依赖表层的方向性约束。从更宏观的视角看，去审查实践实际上充当了对齐研究的"红队工具"——它不断暴露现有安全机制的薄弱环节，推动防御技术的迭代升级。

从合法应用场景的角度看，去审查模型也有其正当需求。例如，创意写作助手需要不受限制地讨论虚构场景中的暴力或冲突；医学教育工具需要坦诚讨论敏感的人体解剖和病理信息；红队安全测试需要一个不设防的基线模型来评估攻击向量的有效性；学术研究中需要观察模型在无约束状态下的原始行为分布。这些场景中，过度审查反而会削弱模型的实用价值。

但另一方面，去审查也意味着安全护栏的移除。使用者需要清醒认识到：这类模型可能生成不受约束的内容，其使用责任完全由部署者承担。同时，第三方发布的去审查权重在来源可信度、后门风险等方面也存在不确定性——理论上，恶意行为者可以在去审查处理过程中注入隐蔽的后门触发器，使模型在特定输入下产生预设的恶意输出，而这种修改可能难以通过常规测试发现。建议在隔离环境中谨慎评估，并对模型权重的哈希值与发布者声明进行交叉验证。

结语

LLMFan46 此次发布的三款模型，从技术层面提供了几个值得关注的样本：混合 Mamba 架构的首次去审查尝试、MTP 能力在改造中的完整保留，以及量化数据对"标签与实测不符"现象的直接暴露。

对开发者而言，这批模型是理解 Heretic 去审查技术与模型对齐机制的实用参考；对普通使用者而言，则应始终保持对内容安全与合规边界的清醒认知。开源的价值在于透明与可复现，而如何在开放与安全之间取得平衡，仍是整个社区需要持续面对的命题。

核心要点

核心要点

核心要点