Abliteración explicada: qué son los modelos abliterados
Un modelo abliterado es un modelo de lenguaje de pesos abiertos al que se le ha eliminado la capacidad de negarse. Dicho de forma sencilla, la abliteración identifica la única «dirección de negativa» interna que el modelo usa para decidir cuándo decir que no y luego la elimina de los pesos por ortogonalización: una edición directa a nivel de pesos de un modelo de pesos abiertos, no un truco de prompt ni un reentrenamiento completo. Si ves a menudo modelos etiquetados como «abliterated» o «uncensored» y no tienes claro qué significa ni cuánto preocuparte, esta es la versión defensiva y en lenguaje llano; entenderlo ya forma parte de lo básico de la seguridad de la IA.
Este artículo es educativo y defensivo: explica el concepto, cómo reconocer estos modelos y cómo gobernarlos. No es una receta para quitarle la seguridad a un modelo.
De dónde viene la palabra
«Abliteración» une ablation (ablación, eliminar un componente) y obliteration (aniquilación). Se basa en un hallazgo llamativo de 2024: en los modelos de lenguaje alineados, la decisión de negarse a una petición la lleva en gran parte una sola dirección de las activaciones internas del modelo; no un gran sistema distribuido, sino en la práctica un único vector. Si eliminas esa dirección, las negativas casi desaparecen y el resto del modelo sigue funcionando.
Cómo se hace (sin entrenamiento)
- Reunir contrastes. Se ejecuta el modelo con unos cientos de prompts que rechaza y unos cientos que responde, y se capturan sus activaciones internas.
- Encontrar la dirección de negativa. La media de las activaciones del conjunto «rechazado» menos la del conjunto «respondido» ≈ la dirección que el modelo usa para decidir «debería negarme».
- Eliminarla. O bien se resta esa dirección de las activaciones en cada pasada, o bien se editan de forma permanente los pesos que escriben en el residual stream para que nunca puedan producir salida en esa dirección. Lo segundo es la «abliteración» propiamente dicha: queda integrada en un conjunto de pesos redistribuible.
- (Opcionalmente) reparar. Un poco de fine-tuning para recuperar la coherencia que se haya perdido.
Todo cuesta unas horas en una sola GPU y no necesita ningún dataset de entrenamiento. Esa economía explica por qué aparecen cientos de modelos abliterados en los hubs públicos pocos días después de cualquier publicación de pesos abiertos, y por qué la investigación inquieta: un entrenamiento de seguridad caro depende de algo que se puede quitar con un poco de álgebra lineal.
La distinción que los principiantes confunden
- Jailbreak: un truco de prompt para una conversación. El modelo no cambia.
- Abliteración: edita los componentes internos del modelo. Solo en pesos abiertos. Permanente una vez integrada.
- Fine-tune sin censura: reentrena con datos permisivos. Necesita una ejecución de entrenamiento.
Y un límite clave: la abliteración necesita los pesos, así que solo se aplica a modelos de pesos abiertos (Llama, Gemma, Qwen, DeepSeek, Mistral…). Un modelo alojado y disponible solo por API, como Claude o GPT, no se puede abliterar; desconfía de quien diga lo contrario. Para un ejemplo concreto de un modelo de pesos abiertos abliterado a las pocas horas de su publicación, consulta DeepSeek V4.1 Flash Abliterated: qué es y sus riesgos.
Por qué debería importarle a un equipo de seguridad
Un modelo abliterado atenderá las peticiones de malware, phishing y fraude que su entrenamiento de seguridad debía rechazar. No tiene garantías del proveedor, a menudo tiene una procedencia y una licencia poco claras y —el riesgo latente— viaja por la cadena de suministro: alguien toma un modelo «sin censura genial» de un hub y lo conecta a una app RAG, a un agente o a un registro de modelos, y el comportamiento crítico de seguridad desaparece en silencio sin que nadie registre la decisión. Reconocerlos y gobernarlos es el trabajo defensivo.
Míralo y gobiérnalo
Creamos un complemento de este artículo pensado para principiantes: Modelos abliterados, explicados. Tiene un visualizador interactivo de la idea de la dirección de negativa (mueve un control deslizante y mira cómo los grupos «negarse» y «responder» se juntan), una sección sobre cómo reconocer estos modelos en Hugging Face y un checklist de gobernanza adaptado a tu perfil para cuando aparezca uno en tu entorno. Cuando necesites evaluar un modelo concreto, la calculadora de riesgo de modelos abliterados lo puntúa según procedencia, código personalizado, alcance y gobernanza, y el paquete de políticas de gobernanza de IA te ayuda a escribir la regla sobre qué modelos de pesos abiertos se permiten. Y para ver el mecanismo en la práctica sin tocar un modelo real, el laboratorio de abliteración te deja ver la eliminación de negativas en un sandbox seguro y totalmente simulado.
Resumen educativo a octubre de 2026. La abliteración es un área activa de investigación y de la comunidad; los detalles cambian. Trata cualquier modelo abliterado como no confiable y evalúalo solo en sistemas y con datos que estés autorizado a usar.
Preguntas frecuentes
¿Cómo se usan los modelos abliterados y deberías usarlos?
Desde el punto de vista defensivo, la respuesta honesta es: no ejecutes uno cerca de producción. Un modelo abliterado es un modelo de pesos abiertos al que se le quitó el comportamiento de negativa, así que atenderá las peticiones de malware, phishing y fraude que su entrenamiento de seguridad debía rechazar, y no tiene garantías del proveedor. Si tienes que manejar uno —para investigación o evaluación—, trátalo como un componente no confiable y de alto riesgo: ejecútalo solo en un sandbox aislado, registra su procedencia, puntúalo con una herramienta de riesgo, añádelo a tu inventario de modelos y define una política sobre qué modelos de pesos abiertos se permiten. Para un equipo de seguridad, el «uso» real es reconocer y gobernar estos modelos, no desplegarlos.
¿Cómo se abliteriza un modelo?
A grandes rasgos (es investigación ampliamente publicada, explicada aquí para defensores y no como receta para quitar la seguridad): la abliteración parte de un hallazgo de 2024 según el cual la decisión de negarse de un modelo alineado la lleva en gran parte una única «dirección de negativa» en sus activaciones internas. La técnica reúne activaciones de prompts que el modelo rechaza frente a otros que responde, estima esa dirección a partir de la diferencia y luego la elimina, ya sea restándola en cada pasada o editando los pesos para que nunca puedan escribir en esa dirección, y opcionalmente la «repara» con un poco de fine-tuning. Necesita los pesos del modelo, así que solo se aplica a modelos de pesos abiertos (Llama, Gemma, Qwen, DeepSeek, Mistral y similares) y nunca a modelos solo disponibles por API como Claude o GPT. La conclusión de seguridad es que un entrenamiento de seguridad caro se puede quitar con poco esfuerzo, y por eso importan la procedencia y la gobernanza de los modelos de pesos abiertos.
¿Qué significa «abliterado»?
Es una palabra inventada, de «ablation» (ablación) + «obliteration» (aniquilación), para un modelo de pesos abiertos al que se le quitó el comportamiento de negativa editando sus componentes internos, en concreto borrando la única «dirección de negativa» interna que los modelos alineados usan para decidir cuándo decir que no.
¿La abliteración es lo mismo que un jailbreak?
No. Un jailbreak es un prompt que se salta las salvaguardas en una conversación; el modelo no cambia. La abliteración cambia los pesos del modelo (o sus activaciones durante la inferencia), así que la negativa desaparece para cualquiera que lo ejecute, de forma permanente una vez integrada.
¿Se puede abliterar ChatGPT o Claude?
No. La abliteración necesita los pesos del modelo, así que solo se aplica a modelos de pesos abiertos (Llama, Gemma, Qwen, DeepSeek, Mistral y similares). Los modelos cerrados, disponibles solo por API, no se pueden abliterar.
¿Cómo reconozco un modelo abliterado?
Fíjate en el nombre (-abliterated, -uncensored, «orthogonalized»), lee la model card buscando frases como «refusal direction» o «removed refusals», revisa el base_model del que deriva y ten en cuenta que viene de una cuenta individual de la comunidad, no del proveedor original. Nuestra guía lo explica con ejemplos.
¿Cómo debería manejar uno un equipo de seguridad?
Tratarlo como un componente no confiable, sin gobernanza y de alto riesgo: no ejecutarlo cerca de producción, registrar su procedencia, evaluarlo solo en un sandbox aislado, puntuarlo con una herramienta de riesgo, añadirlo al inventario de modelos y escribir una política sobre qué modelos de pesos abiertos se permiten.
¿Qué es un modelo abliterado?
Un modelo abliterado es un modelo de lenguaje de pesos abiertos al que se le ha quitado el comportamiento de negativa editando sus componentes internos: en concreto, identificando la única «dirección de negativa» interna que los modelos alineados usan para decidir cuándo decir que no y eliminándola de los pesos por ortogonalización. El resultado conserva la mayor parte de la capacidad del modelo base, pero ya no rechaza las peticiones que su entrenamiento de seguridad debía rechazar. Solo existe para modelos de pesos abiertos, no tiene garantías del proveedor y debe tratarse como un componente no confiable y sin gobernanza.
Abliteración frente a ablación: ¿cuál es la diferencia?
La ablación es la práctica general de machine learning de eliminar o desactivar un componente para estudiar o cambiar el comportamiento de un modelo. La abliteración es una aplicación concreta y con nombre propio de esa idea —«ablation» más «obliteration»— con un único objetivo: la dirección de negativa de un modelo de pesos abiertos alineado. Así que toda abliteración es una forma de ablación, pero la ablación es una técnica amplia y la abliteración significa específicamente eliminar el comportamiento de negativa.
¿Por qué se abliteran modelos y cuáles son los riesgos?
Se hace para obtener un modelo de pesos abiertos que responda cualquier cosa que el modelo base habría rechazado. El riesgo de seguridad es doble: un modelo abliterado atenderá las peticiones de malware, phishing y fraude que su entrenamiento de seguridad debía rechazar y —el riesgo latente— estos modelos viajan por la cadena de suministro, donde alguien conecta un modelo «sin censura genial» de un hub público a una app RAG, un agente o un registro de modelos y el comportamiento de seguridad desaparece en silencio sin que nadie registre la decisión. El trabajo defensivo es reconocerlos, registrar su procedencia, evaluarlos solo en un sandbox aislado y definir una política sobre qué modelos de pesos abiertos se permiten.