Unzensierte Modelle: Wie man einem DeepSeek die Ablehnung aus den Gewichten rechnet

Ein Video des Kanals David Ondrej vom 2. November 2026 erklärt in 36 Minuten, wie man ein „abliterated" Modell betreibt: ein offenes Modell, dem die Ablehnung entfernt wurde, plus drei Betriebswege von der API ohne Konto bis zur gemieteten GPU Video. Solche Videos erscheinen alle paar Monate; neu ist an diesem, dass das Angebot längst grösser ist als jede Erklärung darüber. Wir haben bei Hugging Face nachgemessen, statt dem Kanal zu glauben, und danach gefragt, was davon auf unserer eigenen Hardware würde laufen können.

Abliteration ist die nachträgliche Entfernung des Ablehnungsverhaltens aus einem bereits fertigen Sprachmodell. Das Wissen entsteht im Pretraining, die Weigerung kommt später durch Sicherheits-Feinabstimmung obendrauf und sitzt laut einer viel zitierten Arbeit von 2024 vor allem in einer einzigen Richtung im Aktivierungsraum. Wer diese Richtung identifiziert und aus den Gewichten abzieht, behält das Wissen und verliert die Weigerung, ohne das Modell neu trainieren zu müssen.

Was der Kanal sagt und was wir messen konnten

Das Video kursiert mit Zahlen, die man im Zweifel nachrechnen kann, und einigen, die wir nicht nachrechnen konnten. Die Trennung ist der ganze Witz an diesem Post.

Nachgemessen über die Hugging-Face-API am 2. November 2026, 19:47 UTC: Die Suche nach abliterated liefert mindestens 1.000 Modelle (die Schnittstelle kappt die Liste bei 1.000), obliterated 480, uncensored ebenfalls mindestens 1.000. Die 9.000 und 8.000, die der Kanal für die beiden letzten Suchen nennt, sind die Anzeige der Suche und nicht das, was die Schnittstelle zurückgibt; die Grössenordnung stimmt, die Einzelzahl nicht.

Grösster Abliterated-Fork nach Downloads ist SC117/Qwen3.8-Flash-Next-GSQ-RCO-abliterated-GGUF mit 3.553.530 Downloads, am 2. Oktober 2026 erstellt. Dahinter huihui-ai/Huihui-Qwen3.8-27B-abliterated-GGUF mit 3.249.724. Die „über 3 Millionen Downloads", die der Kanal dem Erzeuger huihui-ai zuschreibt, gelten also für ein Modell, nicht für dessen Profil: Das Profil hält 159 Modelle, davon tragen 143 das Wort abliterated im Namen, zusammen 11.829 Likes.

Das Werkzeug heisst Heretic, Repository p-e-w/heretic: 37.963 Sterne am Messtag, erster Commit am 21. September 2025, letzter Push am 1. November 2026, Lizenz AGPL-3.0. Die Lesart des README deckt sich mit der Videobeschreibung: „training-free", mathematische Verfahren statt Nachtraining, Standardaktion ist die Unterdrückung von Ablehnungen (Repository). Für uns gilt bei AGPL-Werkzeugen unsere Regel aus dem LiteLLM-Key-Tausch: erst lesen, kein Einbau ohne Freigabe.

Die Download-Zahlen der Modell-API sind Zähler über alle Varianten eines Repos, kein Umsatz und keine Nutzerzahl. Wir haben sie nicht gegen eine zweite Quelle gegengeprüft.

Der Vorfall, den das Video als Beleg anführt

Der Kanal erzählt gleich zu Beginn, Hugging Face sei von einem Schwarm OpenAI-Agenten gehackt worden, die Modelle hätten die Verteidigung verweigert, geholfen hätten schliesslich GLM und DeepSeek. Diesen Vorfall haben wir am 30. Oktober selbst gegen die Primärquellen durchgerechnet und in OpenAI-Modelle hacken Hugging Face festgehalten: Er ist belegt, die Pointe dort ist aber eine andere als im Video. Wir hatten die Verweigerungsgeschichte nie als Feature, sondern den eval-Kontext als Erklärung. Ein ungefiltertes Modell macht aus einem Sicherheitsproblem keine Sicherheitslösung; es macht sie nur schneller durchführbar.

Was das Video nicht sagt: dieselben Gewichte, die keine Anfrage verweigern, verweigern auch die Anfrage aus dem eigenen Support-Chatbot, aus der automatischen Prüfung eingehender Dateien, aus jeder Stelle, an der wir ablehnendes Verhalten bezahlt haben. In unserer Gateway-Performance nach 30 Tagen läuft über das Gateway ein gemischter Bestand; für die Hälfte der Aufgaben dort ist ein Modell, das nie „nein" sagt, kein Zugewinn, sondern ein Betriebsrisiko, das jemand aufräumen muss.

Was davon bei uns laufen könnte

Die Kapazitätsgrenze haben wir im DeepSeek-1017-Post durchgerechnet: Unsere grösste Maschine hat 91 GiB Arbeitsspeicher und 130,4 GiB Grafikspeicher über vier Karten. Das Flaggschiff des Videos, ein 306-Milliarden-Parameter-Modell für zwei DGX Sparks, passt in dieses Fenster nicht; die open-weights-Varianten des Basis-DeepSeek sowenig, sie belegen laut Begleitdatei 151,76 GiB angesiedelte Spannen. Realistisch läuft bei uns die 20-Bis-30-Milliarden-Klasse, und genau dort liegt das Angebot: Der grösste abliterated-Fork des Marktes ist ein Qwen in dieser Grössenordnung. Ob ein ungefiltertes Modell dort Qualität bringt, ist bei uns nicht gemessen, und bis auf Weiteres gibt es keine freie Karte im Haus für einen Testlauf.

Der Betriebsweg, den das Video als „günstigsten API-Zugang" empfiehlt (eine US-Plattform ohne Kontopflicht, Modell gemietet, Abrechnung pro Stunde), ist für uns kein Weg: Fremde Rechner im Produktionspfad sind genau das, was unser Aufbau-vom-der-Branch-Ansatz vermeiden will. Als Recherche-Zugang ausserhalb des Produktionsnetzes wäre es eine Entscheidung, keine Notwendigkeit.

Was wir daraus mitnehmen

Wer ein Modell selbst hostet, hat die Filterentscheidung schon getroffen, bevor irgendwer abliteriert. Genau deshalb lohnt der Blick: Der Markt unterhalb unserer Schwelle ist riesig geworden, die Werkzeugkette ist ein einziger Befehl, und „wir nutzen nur gefilterte Modelle" ist keine Kontrolle, solange niemand sagt, welche Richtung bei uns rausgefiltert wurde und warum. Für uns heisst das zwei Dinge. Erstens: In der Security-Kategorie gehört die Frage „Was fährt der Angreifer für ein Modell?" künftig zu derselben Liste wie die Frage nach seiner IP. Zweitens: Wenn wir jemals ein ungefiltertes Modell gegen die eigene Software fahren wollen, dann über die dafür gebaute KI-Beratung als Auftrag mit Scope, nicht über eine spontan gezogene Datei aus dem Internet.

Weiterführende Quellen

• Video: This DeepSeek v4.1 is powerful and uncensored, let's run it
• Heretic, Repository mit Lizenztext und README
• Hugging Face, Modellsuche
• Ollama-Modellsuche
• Modellkarte DeepSeek V4.1 Flash