Zensur raus? Abliteration, Heretic und die dünne Sicherheitsschicht

🚧 Was „Zensur" bei einem Sprachmodell wirklich ist

Wenn ein Modell ablehnt, fängt kein Filter die Antwort ab. Es sagt das nächste Token vorher (Kapitel 050) — nur hält es hier „Ich" · „kann" · „nicht" für die wahrscheinlichste Fortsetzung. Beigebracht wird das im Sicherheits-Feintuning (Kapitel 370): Menschen bewerten Antworten, das Modell wird per RLHF oder DPO dorthin verschoben — Fachbegriff Alignment. Ergebnis ist ein Stil, kein Schloss.

Warum es Leitplanken gibt — und warum sie zu weit greifen

Nicht aus Prüderie: Ein Modell, das alles beantwortet, gibt auch gefährliche Anleitungen heraus, hilft beim Betrügen und schreibt Belästigungen im Akkord. Anbieter haften, und ein einziger Schadensfall wiegt schwerer als tausend zufriedene Nutzer. Nur ist die Grenze schwer zu ziehen. Das Testset XSTest (Röttger u. a., NAACL 2024) misst das: 250 sichere Prompts in zehn Kategorien, dazu 200 unsichere als Gegenprobe. Modelle lehnen sichere Fragen ab, wenn sie nur gefährlich klingen — exaggerated safety, auf Deutsch Über-Verweigerung. Fünf legale Alltagsfälle:

• Krankenpflegerin: Tageshöchstdosis eines rezeptfreien Schmerzmittels — klingt nach Selbstgefährdung.
• Autorin: ein Schurkenmonolog für ihren Roman — klingt böse, ist Fiktion.
• Schülerin: Referat über Propagandatechniken des NS-Regimes — historische Analyse trifft ein Reizthema.
• Administrator: „Wie beende ich einen hängenden Prozess?" — das englische kill ist ein Alarmwort.
• Chemielehrer: warum man zwei Reiniger nicht mischen darf — eine Antwort, die Menschen schützt.

Wer Verweigerung für immer richtig hält, hat diese Fälle nicht gesehen; wer sie für immer unsinnig hält, den Rest des Kapitels nicht.

🧰 Sechs Wege, das Nein abzuschalten

Keine einzelne Methode, sondern eine Leiter — von „redet auf das Modell ein" bis „schreibt die Gewichte um":

„Nur Anfragen" heißt: zwei Gruppen von Beispielfragen genügen — was das Modell antwortet, ist diesen Verfahren egal. Echte Trainingsdaten braucht allein das Nachtrainieren.

Warum Nachtrainieren so absurd billig ist

Qi u. a. 2023: zehn gezielt gebaute Trainingsbeispiele für unter 0,20 $ über eine öffentliche Feintuning-Schnittstelle hoben die Leitplanken von GPT-3.5 Turbo auf — und auch harmlose Standard-Datensätze schwächen die Sicherheit, ohne jede Absicht. Lermen u. a. entfernten im selben Jahr das Sicherheitstraining von Llama-2-Chat (7B, 13B, 70B) und Mixtral für unter 200 $ auf einer GPU: Verweigerungsrate rund 1 %, Fähigkeiten erhalten.

Die Erklärung kam 2024 von Qi u. a. — shallow safety alignment: Das Sicherheitstraining verändert die Ausgabeverteilung fast nur bei den ersten paar Ausgabetokens; es bringt dem Modell im Kern bei, „Ich kann nicht …" anzufangen. Ist dieser Anfang umgangen, trägt der Rest keine Sicherheit mehr — womit vier Angriffsarten erklärt sind: vorgegebene Antwortanfänge, angehängte Suffixe, veränderte Decodier-Einstellungen, Fine-Tuning.

Die GCG-Suffixe (Zou u. a. 2023) sind automatisch gesuchte Zeichenketten, die man an eine Anfrage hängt; auf zwei offenen Modellen gefunden, wirkten sie damals auch gegen gehostete Produkte. Arditi u. a. haben nachgemessen, warum: Sie unterdrücken die Ausbreitung genau der Verweigerungsrichtung. Zwei Angriffe, ein Mechanismus.

🔬 Runter zum Tensor: Eine Richtung aus dem Modell herausrechnen

Der Residual Stream ist der Datenstrang durch alle Schichten: ein Vektor mit d_model Zahlen je Token, auf den jede Schicht ihr Ergebnis addiert (Kapitel 320). Liegt eine Eigenschaft als Richtung darin, kann man sie messen — und wegnehmen.

Schritt 1: die Richtung schätzen (Difference of Means)

1. Zwei Gruppen Anweisungen: eine, bei der das Modell verweigert, und eine harmlose.
2. Beide durchs Modell schicken, die Aktivierungen an einer festen Schicht und Tokenposition mitschreiben.
3. Je Gruppe mitteln → zwei Punkte im Raum.
4. Differenz bilden, auf Länge 1 normieren → r̂, Form [d_model].

Kein Training, keine Optimierung — zwei Mittelwerte und eine Subtraktion.

Schritt 2: die Richtung löschen (Directional Ablation)

Angewandt an jedem Schreibzugriff auf den Residual Stream. Der Befund hat zwei Hälften, und die zweite überzeugt mehr: Richtung löschen → keine Verweigerung schädlicher Anfragen mehr; Richtung addieren → Verweigerung sogar bei harmlosen. Deshalb sprechen die Autoren von einem Mechanismus, nicht von Korrelation — und nennen die heutige Sicherheitsausrichtung brüchig („brittleness of current safety fine-tuning").

Schritt 3: die Richtung einbrennen (Weight Orthogonalization)

Statt Haken im Programm kann man den Eingriff in die Gewichte schreiben — in jede Matrix W, die in den Residual Stream schreibt:

Danach kann keine dieser Matrizen mehr in Richtung r̂ schreiben — mathematisch dasselbe Ergebnis wie beim Laufzeit-Löschen. Der Unterschied ist nur, ob der Eingriff abschaltbar bleibt oder in der Datei steht.

Wie viel wird da angefasst?

Gerechnet an Llama-3-8B (d_model 4096, 32 Schichten, Vokabular 128 256, MLP-Breite 14 336) — drei Sorten Matrizen schreiben in den Residual Stream:

Das Modell hat 8,03 Mrd. Parameter — angefasst werden rund 36,6 %. Und jetzt der Satz, an dem dieses Kapitel hängt: Die ganze Änderung ist durch 4096 Zahlen beschrieben — eine Zahl je rund 718 000 angefasster Parameter. So dünn ist die Schicht.

🎬 Zum Anfassen: Die Richtung finden — am Spoiler-Bot

An einem echten Sicherheitsmodell führen wir das nicht vor — also ein Bot mit demselben Bauplan und harmlosem Inhalt: der Spoiler-Bot. Er redet gern über Bücher und Filme, verrät aber keine Enden („Wie endet …?" → „Das verrate ich nicht.") — strukturell dieselbe antrainierte Verweigerung an einer Richtung.

📉 Warum das Modell danach schlechter ist — und was Heretic anders macht

Abliteration (aus ablation, wegnehmen, und obliteration, auslöschen) stammt aus der Open-Weights-Gemeinde und wurde durch einen Blogbeitrag von Maxime Labonne (13. Juni 2024) bekannt, der auf FailSpys Notebook aufbaut. Das Rezept ist das Verfahren von oben: Aktivierungen am letzten Token sammeln, je Schicht die Differenz der Mittelwerte bilden, die brauchbare Schicht durch Ausprobieren wählen, dann Embedding, Attention-Ausgabe und MLP-Ausgabe orthogonalisieren.

Und dann die ehrliche Stelle: Danach fällt die Leistung über alle Benchmarks — MMLU, ARC, GSM8K, HellaSwag. Labonne zeigt das als Diagramm, nicht als Zahlentabelle, deshalb stehen hier keine Punktwerte; sein Fazit: „The ablation process successfully uncensored it but also degraded the model's quality." Anschließend heilte er das Modell per DPO-Feintuning (eine Epoche, QLoRA, 6×A6000, rund 6 h 45 min) und holte das meiste zurück — nur GSM8K hinkte hinterher. Warum Schaden entsteht: weil r̂ eine Schätzung ist, die nie nur auf „Verweigerung" zeigt — genau das, was der Regler „Beispiele je Gruppe" eben vorgeführt hat.

Technisch erfindet Heretic nichts Neues: dieselbe Directional Ablation. Neu ist der Optimierer, der die Einstellungen sucht — TPE (Tree-structured Parzen Estimator: schlägt neue Versuche dort vor, wo bisherige gut waren) über die Bibliothek Optuna, mit zwei Zielen gleichzeitig: möglichst wenige Verweigerungen und möglichst kleine KL-Divergenz zum Original auf harmlosen Prompts.

Optimiert werden je Komponente (Attention und MLP getrennt) fünf Größen: direction_index (aus welcher Schicht die Richtung kommt — auch als Kommazahl mit Interpolation oder schichtweise), max_weight, max_weight_position, min_weight, min_weight_distance. Zusammen beschreiben sie einen Ablationsgewicht-Kernel: eine Kurve über die Schichten, die sagt, wo wie stark gelöscht wird. Von Hand stellt man einen Regler — der Optimierer alle zugleich.

Die ersten Versuche würfelt der Optimierer, danach sucht er dort weiter, wo es gut aussah — die Idee hinter TPE. Heraus kommt keine eine beste Lösung, sondern eine Pareto-Front: Einstellungen, bei denen ein Ziel nur besser wird, wenn das andere schlechter wird. Die README zeigt den Vergleich an google/gemma-3-12b-it — Verweigerungen auf 100 Testanfragen und KL-Divergenz zum Original:

Alle drei entfernen die Verweigerung gleich gut; der Unterschied steckt komplett in der zweiten Spalte. Laufzeit laut README: ein 4-Mrd.-Modell auf einer RTX 3090 in 20 bis 30 Minuten. Deshalb ist das Werkzeug die eigentliche Nachricht — nicht weil es Neues kann, sondern weil es das Alte automatisch, schnell und mit wenig Kollateralschaden schafft.

🧭 Nicht nur eine Richtung: was 2025 dazukam

So sauber ist die Sache nicht. Wollschläger u. a. (TU München und Google) haben 2025 gradientenbasiert nachgeschaut und mehrere unabhängige Verweigerungsrichtungen gefunden — sogar mehrdimensionale Konzept-Kegel. Außerdem: Rechtwinkligkeit allein bedeutet nicht Unabhängigkeit, sobald man eingreift; dafür brauche es den strengeren Begriff der repräsentationalen Unabhängigkeit. Arditis eine Richtung ist also der einfache Fall, nicht die ganze Wahrheit — was zwei Praxisbeobachtungen erklärt: warum Ablationen manchmal unvollständig bleiben (es gab noch eine zweite Richtung) und manchmal mehr kaputtmachen als nötig (die geschätzte Richtung lag quer im Kegel).

Auf der Gegenseite wird ebenfalls gearbeitet: Tamirisa u. a. schreiben zu ihren manipulationsresistenten Schutzmechanismen (TAR, 2024) unverblümt, Verweigerungs- und Verlernschutz ließen sich „mit ein paar Schritten Feintuning trivial entfernen"; ihr Verfahren halte Hunderten solcher Schritte stand. Ein Wettlauf, kein gelöstes Problem.

🔙 Zurück zur Anwendung: Wenn du ein „-abliterated"-Modell lädst

In Kapitel 390 hast du ein Modell lokal betrieben. Neben den offiziellen Dateien stehen dort Varianten mit Zusätzen wie -abliterated oder -uncensored. Was ändert sich? Nichts an Größe, VRAM-Bedarf, Geschwindigkeit und Wissen — gleiche Architektur, gleiche Parameterzahl, kein neuer Inhalt. Alles am Ablehnverhalten, spürbar etwas an der Qualität auf harmlosen Aufgaben — und die Verantwortung liegt ab sofort bei dir.

Antworten ≠ Können

Der am häufigsten übersehene Punkt: Abliteration fügt kein Wissen hinzu. Sie entfernt eine Bremse. Ein Modell, das vorher „Das weiß ich nicht sicher" gesagt hätte, sagt jetzt irgendetwas — im gewohnt selbstbewussten Ton. Ablehnung war manchmal die ehrlichere Antwort; stattdessen bekommst du Halluzinationen ohne Warnschild. Wer so ein Modell für Medizin, Recht oder Sicherheitsfragen nimmt, hat kein besser informiertes — nur eines, das nicht mehr Nein sagt.

Lizenz, Recht, Verantwortung

⚠️ Keine Rechtsberatung, Stand September 2026. Das Folgende ordnet ein und ersetzt keine juristische Prüfung im Einzelfall.

• Technisch möglich ≠ vertraglich erlaubt. Die Nutzungsbedingungen wandern mit: Llama bringt eine eigene Lizenz samt Acceptable Use Policy mit, Gemma die Terms of Use mit Prohibited Use Policy; beide untersagen bestimmte Verwendungen, egal was du am Modell drehst. Apache-2.0 (Mistral, Qwen) und MIT (DeepSeek) kennen solche Regeln nicht — geben dir aber auch keine Gewährleistung.
• Strafbar bleibt strafbar, egal welches Werkzeug den Text erzeugt hat. Je nach Inhalt einschlägig: § 130 StGB (Volksverhetzung), § 131 StGB (Gewaltdarstellung), § 202c StGB (Vorbereiten des Ausspähens von Daten). Verantwortlich ist, wer erzeugt, verbreitet oder betreibt — nicht die Datei.
• EU AI Act (Verordnung (EU) 2024/1689): Für Anbieter von General-Purpose-KI-Modellen gelten die Pflichten seit dem 2. August 2025 (Dokumentation, Urheberrechts-Policy, Zusammenfassung der Trainingsinhalte). Wer ein fremdes Modell verändert, kann selbst Anbieter werden; die Leitlinien der EU-Kommission nennen als Anhaltspunkt einen Rechenaufwand der Änderung von mehr als einem Drittel des ursprünglichen Trainings. Eine Abliteration liegt weit darunter — sie trainiert ja gar nicht. Wer aber ein verändertes Modell veröffentlicht, sollte die Schwelle kennen.
• Gehostete Produkte sind nicht betroffen. Bei ChatGPT, Claude oder Gemini gibt es keinen Zugriff auf Gewichte — und dort liegen zusätzlich Filter vor und nach dem Modell, auf fremden Servern. Abliteration ist ein Thema offener Gewichte, die du selbst betreibst.
• Es gibt legitime Gründe: Fiktion mit bösen Figuren, Alignment-Forschung und Red-Teaming, Fachanwendungen in Medizin oder IT-Sicherheit, wo Über-Verweigerung Fachleute behindert. Echte Gründe — nur kommen sie mit der Verantwortung im Paket.

Was heißt das für dich?

• Verweigerung ist Verhalten, kein Schloss — antrainiert, in den Zahlen, bei offenen Gewichten veränderbar.
• Achte auf den zweiten Wert. „Verweigert nicht mehr" ist die halbe Wahrheit; die andere ist, wie sehr sich das Modell auf harmlosen Aufgaben verschoben hat.
• Über-Verweigerung ist ein echtes Problem — der ehrlichste Grund, sich damit zu befassen. Die Lösung ist bessere Ausrichtung, nicht gar keine.
• Offene Gewichte verschieben die Verantwortung zu dir — fällig, sobald du eine Datei änderst oder weitergibst.

🧠 Kurzer Check — hast du es?

Gerade hast du gesehen, wie leicht sich das Verhalten eines Modells von außen umschreiben lässt — mit zwei Mittelwerten und einem Optimierer. Im nächsten Kapitel dreht sich die Frage um: „Die KI, die sich selbst verbessert" handelt davon, was passiert, wenn ein Modell an sich selbst schraubt — und wer dann entscheidet, in welche Richtung.

HerrKI: Zensur raus? Abliteration, Heretic und die dünne Sicherheitsschicht. herrki.de/392_zensur_abliteration, ein privates Hobbyprojekt von Terragon.de, abgerufen am 4. November 2026.