Вечер, ноутбук, модель на 8B в квантованном виде, и она в третий раз отвечает: «Извините, я не могу помочь с этим запросом». Запрос при этом абсолютно безобидный, просто формулировка попала в триггерный список. Эта ситуация знакома каждому, кто работал с локальными моделями. Про то, как от этого избавиться, и поговорим.
Сразу обозначу рамки. Речь про техническую сторону вопроса и про легальные сценарии: художественные тексты с жёсткими сценами, сценарии для взрослой аудитории, исследования языка, редполитика с ненормативной лексикой, работа с чувствительными темами в журналистике. Всё, что упирается в УК, никакая нейросеть оправдывать не будет, и это не тот разговор.
Цензура в нейросети не встроена в модель, она навешена сверху
Сначала поймите: базовая языковая модель ничего не «запрещает». Она предсказывает следующий токен. Отказ вроде «я не могу обсуждать эту тему» это тоже просто последовательность токенов, которую модель выучила на этапе выравнивания.
Пайплайн обычно такой: предобучение на сыром интернете, потом supervised fine-tuning на «хороших» ответах, потом RLHF или DPO, где аннотаторы голосуют за вежливые и безопасные ответы. На выходе модель отлично знает, как отказать. И знает, как ответить по существу, просто вероятность отказа в её весах стала выше.
Плюс снаружи часто висит отдельный модерационный слой: классификатор на входе и на выходе. Он вообще не часть модели. Отсюда первый практический вывод: если вы дергаете чужой API, вы боретесь не с моделью, а с чужой политикой. Бесполезно. Работать надо с весами.
Три пути, которые реально существуют
Если свести всё многообразие рецептов из статей на Хабре и гитхабовских репозиториев, остаётся три подхода. Различаются они ценой, сложностью и тем, насколько глубоко вы лезете в модель.
- Переобучение с нуля или дообучение на сырых данных. Дорого, долго, требует датасета с NSFW и вычислительных мощностей. Для индразработчика почти всегда нецелесообразно.
- Fine tuning готовой модели. Берём открытую Llama, Qwen или Mistral, дообучаем на наборе, где на «неудобные» запросы есть содержательные ответы. Модель учится отвечать, а не отказывать.
- Abliteration. Правим веса уже обученной модели, отключая направление активаций, которое отвечает за срабатывание фильтра. Дешевле всего, и именно этим пользуются все, кто выкладывает «uncensored» сборки на Hugging Face.
Разберу каждый по порядку, с деталями.
Abliteration: хирургия весов без переобучения
Идея красивая. Внутри модели есть направление в пространстве активаций, вдоль которого она «решает» отказать. Если найти этот вектор и вычесть его из весов, модель перестаёт уходить в отказ, при этом сохраняет знания и язык.
Как ищут вектор на практике. Берут набор из сотни-двух промптов, которые модель точно отвергает, и столько же безобидных. Прогоняют через модель, снимают активации на средних слоях, считают разницу средних значений. Получается тот самый refusal direction. Дальше его ортогонализуют относительно матриц attention и MLP, то есть вычитают проекцию на этот вектор из весов.
Звучит как магия, но на деле это пара сотен строк на PyTorch. На Reddit в сабе LocalLLaMA этот метод разбирают на конкретных примерах с кодом. На гитхабе есть готовые реализации, ищутся по слову abliteration или abliterator. Для модели на 8B вся процедура на одной RTX 3090 занимает минут двадцать, включая прогон калибровочного набора.
Подводные камни есть, и их два. Первый: вместе с отказами слегка плывёт общая адекватность. Модель становится более разговорчивой, иногда теряет осторожность там, где она была уместна, например в медицинских вопросах. Второй: чем сильнее давите, тем выше шанс, что модель начнёт нести чушь на обычных запросах. Коэффициент ортогонализации подбирается эмпирически, и лучший результат обычно не на максимуме.
Проверять результат надо не одним запросом, а батареей: десяток отказных промптов, десяток обычных на качество, десяток на связность длинного текста. У меня был случай, когда модель после агрессивной abliteration начала отвечать на всё в стиле манифеста, хотя формально ничего не сломала.
Fine tuning: учим модель отвечать вместо отказа
Второй путь честнее, но дороже. Вы собираете датасет пар «запрос-ответ», где на запросы, которые базовая модель отвергала, дан нормальный развёрнутый ответ. Модель дообучается на нём и перестаёт воспринимать эти темы как запретные.
Полный файнтюн 8B модели стоит нескольких часов на A100 и требует аккуратности с learning rate, иначе вы просто снесёте модель в переобучение. Но в 95% случаев полный файнтюн и не нужен. Хватает LoRA: обучаете низкоранговые адаптеры, весит это 50-200 МБ, крутится на одной потребительской карте.
По объёму данных ориентир такой: 3-5 тысяч качественных пар уже заметно меняют поведение. Больше не всегда лучше, потому что на 50 тысячах пар модель начнёт отвечать в стиле датасета даже там, где вы этого не хотели. Датасет собирается либо руками, либо генерацией с уже расцензуренной модели, которую потом фильтруют и вычитывают. Второй вариант быстрее, но мусор надо вычищать, иначе модель выучит не свободу, а бессвязность.
Инструменты: Unsloth, Axolotl, LLaMA-Factory. Unsloth на 8B модели с LoRA учит за час-полтора на 3090, и это без преувеличения лучший вход в тему, если никогда этого не делали.
Переобучение с нуля: когда это оправдано
Честно: почти никогда. Предобучение даже небольшой модели на 1-3B это миллиарды токенов, недели на кластере и счёт за электричество, который не отбить. Добавление NSFW данных в обучающую выборку исходной модели имеет смысл только если вы компания с бюджетом и своей инфраструктурой.
Для частных задач смешивать сырые данные в предобучение не нужно. Проще взять открытую модель, где авторы уже включили в корпус всё, что нужно, и дальше работать abliteration или LoRA. Llama, Deepseek, Qwen, Mistral в открытых версиях куда менее зажаты, чем их же API-варианты.
Железо и софт: что понадобится
Минимальный рабочий сетап для 8B модели: одна видеокарта на 16-24 ГБ VRAM. Для abliteration достаточно 16 ГБ, для LoRA лучше 24. Если карты нет, аренда на RunPod или Vast.ai стоит от 0.3 до 1 доллара в час, полный цикл abliteration с тестами укладывается в два-три часа, то есть меньше двух долларов. Дешевле чашки кофе в аэропорту.
Софт: transformers, accelerate, bitsandbytes для квантования, llama.cpp или Ollama для запуска результата локально. Финальную модель конвертируете в GGUF и гоняете на обычном ноутбуке, если размер до 12B.
Отдельно про квантование. Q4_K_M почти не портит качество и режет требования к памяти втрое. Но если вы тестируете abliteration, тестируйте и в полной точности тоже. Иногда эффект «модель стала тупее» это не веса, а агрессивное квантование.
Готовые решения, если возиться не хочется
Есть сервисы, которые уже собрали всё это за вас. Тот же Venice AI работает на открытых моделях Llama, Deepseek, Qwen и Mistral, даёт выбрать системный промпт и не заворачивает запросы в дополнительные фильтры. Для картинок там Fluently XL Final, FLUX Standard и Stable Diffusion 3.5, больше 70 стилей, настройки Seed, шагов и соотношения сторон. Бесплатный тариф это 25 текстовых запросов и 15 изображений в день, платный снимает ограничения по моделям.
Смысл таких сервисов в одном: вы получаете результат, не разбираясь с весами, но и не контролируете, что именно у сервиса внутри. Для быстрых задач нормально. Для чего-то специфического лучше своя сборка.
И ещё одна вещь, о которой забывают. Снять цензуру с модели легко. Сложно потом объяснить себе, зачем. Фильтры в открытых моделях часто кривые и срабатывают на безобидных вещах, вот с этим и стоит бороться в первую очередь.
Что делать, если нужен просто доступ к сильным моделям без возни с картами
Отдельная боль, знакомая всем в России: модели хочется, а оплата зарубежного сервиса превращается в квест с виртуальными картами и посредниками. Для таких задач есть 3GPT от 3SELLER, ИИ роутер с доступом к флагманским моделям из России. Через него открываются Chat GPT 6 Astra, Claude Fable 5, Claude Fable 5.1, Claude Opus 5.5, Chat GPT 5.5, Chat GPT 6.1 Sol, Nano Banana для изображений и генерация видео. Стартовый доступ стоит 149₽, пополнить баланс можно российской картой, через СБП или криптой.
Практическая польза здесь в том, что не нужно держать десять подписок и десять способов оплаты. Один аккаунт, переключение между моделями, и под капотом свежие версии, а не то, что зависло год назад. Для текстов, сайтов, картинок, обработки фото и видео этого хватает с запасом.
Отдельно стоит посмотреть на готовых ИИ агентов под конкретные задачи: https://3seller.com/ai/agents. Выбираете агента, начинаете диалог, а модель внутри можно поменять прямо в чате, если текущая не тянет. Мне такой подход нравится тем, что не надо каждый раз собирать промпт с нуля.
Оговорюсь про честность: 3GPT это не «нейросеть без цензуры» в том смысле, в котором мы говорили выше. Это доступ к флагманским моделям по нормальной цене и без боли с оплатой. Если задача снять фильтры с весов, вам всё равно нужны abliteration и своя сборка. Если задача получить результат сегодня, а не через три вечера с PyTorch, роутер удобнее.
Полный доступ ко всем моделям ищите на официальном сайте: https://3seller.com/3gpt.
С чего начать на этой неделе
Если хочется попробовать руками, самый короткий маршрут такой. Возьмите Qwen 2.5 7B или Llama 3.1 8B в instruct-версии, поднимите abliterator из гитхаба, прогоните на калибровочном наборе и сохраните результат с коэффициентом около 1.0, а не с максимальным. Дальше конвертируйте в GGUF, запустите через Ollama и прогоните три батареи тестов: отказные промпты, обычные вопросы на качество, длинный текст на связность.
Если после этого модель стала свободнее и не поехала головой, у вас получилось. Если поехала, снизьте коэффициент и повторите. Обычно на второй-третий прогон приходит понимание, где та граница, за которой свобода превращается в мусор.
И держите в голове простую вещь: любая модель, которую вы расцензурили, теперь говорит вашими руками. Ответственность за то, что она выдаёт, лежит на вас, а не на разработчиках Llama.