Models d'IA sense censura: quan la potència de càlcul obre portes que els models comercials tanquen

Fa poc per fer proves de ciberseguretat, vaig demanar a un model d’IA local i sense censura que em generés un pla d’atac i un informe per testejar les defenses de les eines internes de l’empresa. El resultat va ser sorprenentment detallat: fases com autorització forçada, pujada d’eines, exfiltració silenciosa, injecció de paràmetres o atacs per longitud. Tot plegat estructurat de manera clara i operativa.

El mateix prompt, amb un model comercial (ChatGPT, Claude, Gemini o similars), hauria estat rebutjat de forma immediata. Aquesta diferència no és casual. És el resultat d’un conjunt de decisions tècniques i d’entrenament que, avui, ja són accessibles per a qualsevol persona o equip amb prou potència de càlcul i coneixement.

Models comercials vs models sense censura

Els models comercials que utilitzem diàriament porten incorporades diverses capes de salvaguarda. Durant el procés d’entrenament (especialment en les fases de RLHF o RL de preferències) s’hi introdueixen refusals sistemàtics davant determinats tipus de peticions: contingut il·legal, plans d’atac, instruccions perilloses, etc. Aquestes refusals no formen part del coneixement base del model; són un comportament après i reforçat.

Els models sense censura (o uncensored / abliterated) parteixen majoritàriament de pesos oberts i eliminen o debiliten aquestes refusals. El resultat és un model que conserva gran part de la capacitat de raonament i coneixement del model original, però que ja no s’atura davant determinades peticions. Això permet usos legítims —com el que jo vaig fer amb finalitat defensiva— i, alhora, usos clarament problemàtics.

Què poden fer realment

Amb potència de càlcul suficient i un model ben ajustat, es poden generar:

• Plans d’atac estructurats i informes tècnics per a red teaming intern.
• Scripts o seqüències de passos per provar vulnerabilitats en sistemes propis.
• Anàlisis detallades de superfícies d’atac en aplicacions o infraestructures.
• Respostes a preguntes tècniques que els models comercials rebutgen sistemàticament.

En el meu cas, l’objectiu era millorar les defenses de les eines internes de l’empresa. El model va respondre amb un pla coherent i utilitzable. Aquest mateix resultat, en mans incorrectes i dirigit a infraestructures de tercers, pot convertir-se en una amenaça real. La dualitat és inherent a la tecnologia.

I com apareixen aquests models? 

Hi ha diverses vies per obtenir models sense censura. Les més rellevants avui són dues:

1. Fine-tuning sense refusals (estil Dolphin i similars)
Es parteix d’un model base o instruct i s’entrena de nou amb conjunts de dades on s’han eliminat deliberadament les respostes de rebuig, moralització o evasiva. El model aprèn a respondre directament. Aquest mètode requereix més recursos de càlcul, però pot donar resultats més coherents i estables.

2. Abliteration (cirurgia de pesos)
Aquesta tècnica és més recent i menys costosa. Partint de la investigació d’Arditi et al. (2024), es va observar que en molts models el comportament de refusió està mediat per una direcció relativament simple dins de les activacions internes (el residual stream). El procés consisteix a:

• Executar el model amb dos conjunts de prompts: un de perjudicial (que genera refusals) i un d’innocu.
• Mesurar les activacions internes i calcular la diferència de mitjanes. Aquesta diferència aproxima la “direcció de refusió”.
• Projectar ortogonalment aquesta direcció fora de les matrius de pesos que escriuen al residual stream.

El resultat és un model modificat permanentment que ja no pot expressar fàcilment aquesta refusió, sense necessitat de reentrenar-lo des de zero. Eines com Heretic o implementacions comunitàries han automatitzat gran part d’aquest procés.

Cap dels dos mètodes és màgia. Són intervencions tècniques sobre pesos ja existents. El model no “guanya” coneixement nou; simplement deixa de bloquejar-se davant determinats tipus de peticions.

Riscos i responsabilitat

La disponibilitat d’aquests models, combinada amb la baixada de costos de la inferència local, canvia el panorama. Allò que abans requeria equips especialitzats i infraestructures costoses ara pot estar a l’abast de més gent. Això té implicacions clares:

• Per a organitzacions: obliga a reforçar les defenses pròpies i a assumir que els atacants també poden disposar d’aquestes eines.
• Per a la comunitat: planteja preguntes sobre llicències, distribució i responsabilitat dels models oberts.
• Per a l’ús individual o empresarial: exigeix un marc clar de finalitats (defensa, recerca, auditoria) i controls interns.

No es tracta de criminalitzar la tecnologia. Es tracta de reconèixer que la potència ja és real i que el debat sobre salvaguardes, accés i ús responsable no es pot continuar fent només des de la perspectiva dels models comercials tancats.

Conclusió

Els models sense censura no són un experiment de laboratori. Amb potència de càlcul i les tècniques adequades, permeten generar resultats que els models comercials rebutgen de manera sistemàtica. En mans responsables, això pot servir per millorar la seguretat de sistemes propis. En mans incorrectes, el mateix nivell de detall pot esdevenir un problema real.

El cas que vaig experimentar recentment —un pla d’atac detallat generat en minuts per testejar les nostres eines internes— n’és un exemple concret. La captura que acompanya aquest article ho il·lustra. La pregunta no és si aquesta capacitat existeix, sinó com la gestionem a partir d’ara.