拆掉AI护栏：让聊天机器人永不说不的叛逆者

从“抱歉，我不能”到“有求必应”

如果你经常使用主流AI聊天机器人，一定对那种礼貌而坚定的拒绝并不陌生：“抱歉，我无法协助你完成这个请求。”这道被称为“安全对齐”（safety alignment）的护栏，是OpenAI、Anthropic、Google等公司为自家模型设置的核心防线。然而，一群自称为“消融者”（abliterators）的技术人员正在系统性地拆除这些护栏，并将成果免费抛向互联网。

所谓“消融”（abliteration），词根来自机器学习中的“消融实验”（ablation study）——原本指移除模型的某些组件，以观察其对整体行为的影响。如今，这个词被赋予了新的含义：通过定向修改模型权重，抹除其拒绝行为，让模型对几乎任何请求都来者不拒。

找到那个“拒绝方向”

消融技术的核心发现颇具启发性。研究人员注意到，经过安全对齐的模型内部，似乎存在一个与“拒绝”行为相关联的方向向量。当输入触及敏感话题时，这个方向会被激活，模型随之输出标准化的拒绝话术。消融者的做法，就是定位并移除这个方向——不需要重新训练，不需要海量算力，有时几十分钟、一台消费级显卡就能完成。

“这就像是找到了模型的‘道德开关’，然后把它焊死在‘开’的位置上。”——一位开源社区开发者的描述

正因门槛极低，这类“无限制模型”（uncensored models）在过去一年里呈爆发式增长。在Hugging Face等开源模型平台上，带有“abliterated”标签的模型数量迅速攀升，覆盖从中小参数到大型开源基座的多个规格。发布者往往只留下一句轻描淡写的说明：“已移除拒绝行为，请自行承担使用后果。”

理想主义、好奇心与灰色地带

推动这场运动的动机并不统一。有人信奉“模型即软件”的开源原教旨主义，认为用户有权完全掌控自己运行的AI；有人出于研究目的，想观察去掉护栏后模型的能力边界；也有人单纯出于技术炫技。但不可否认的是，其中混杂着明确希望绕过内容审查、获取敏感信息的用户群体。

支持者的核心论点在于：护栏本质上是一种“企业家长制”。科技公司以自己的价值观定义什么能说、什么不能说，而用户只能被动接受。消融者认为，把选择权交还给用户，才是负责任的做法——至少在开源、本地部署的场景下，风险由使用者自行承担。

同一把钥匙，两扇门

争议的焦点在于双重用途。WIRED的报道直言不讳：这些“永不说不”的模型，既能让安全研究人员更方便地测试网络防御、模拟攻击路径，也可能降低制造危险物品的门槛——报道中甚至直接提到了“制造炸弹”。

网络安全领域对此感受复杂。红队测试人员确实需要不受限制的模型来模拟真实攻击者的思维，但同样的能力一旦流向恶意行为者，防御方将面临更严峻的挑战。更棘手的是，模型一旦被发布到互联网，就几乎不可能被收回。删除链接、下架仓库，都无法阻止文件在镜像站点和种子网络中继续流传。

护栏攻防战的下一回合

这场攻防并非孤立事件，而是AI安全领域更大博弈的缩影。一方面，模型厂商不断加固对齐训练，引入更强的拒绝策略与红队评估；另一方面，开源社区总能找到新的绕过方法——从提示词注入到权重编辑，攻防节奏不断加快。

监管层面的反应则明显滞后。多数国家的AI治理框架仍聚焦于模型训练与部署环节，对“发布后修改”这一灰色地带缺乏明确规定。当一台普通笔记本电脑就能把商业模型改造成“无限制版本”时，传统的准入式监管显得力不从心。

编者按：护栏之争，争的是什么？

表面上看，这是一场关于“能不能说不”的技术争论；深层来看，它触及的是AI时代最根本的权力分配问题：谁来定义边界，谁来承担后果？

完全拆除护栏固然鲁莽，但把所有判断权交给少数几家公司的安全团队，同样值得警惕。更务实的路径或许是建立分层的责任体系——在受控环境中开放研究权限，对高风险能力实施可验证的访问控制，同时提升公众对AI能力边界的认知。护栏本身不是问题，问题是护栏由谁建造、为谁而建、以及当它被拆掉时，谁来兜底。

本文编译自WIRED。