开源大模型越狱：Abliteration 消融法

原作者 @linyishan 开篇即扔出事实：一天时间，Google 的开源大模型 Gemma-4-31B 就被彻底破解，被完全移除安全限制。没错，大模型也可以破解，也叫作越狱。

关键区分（来自原文）：对开源大语言模型越狱，在技术社区通常叫 Abliteration（消融法）或"权重对齐抹除"——这与针对闭源模型的提示词工程（Prompt Engineering）越狱完全不同：

• 闭源模型越狱：绕过外部过滤器（跟模型斗智斗勇的话术）
• 开源模型越狱：直接修改模型的大脑电路，使其从底层彻底丧失拒绝指令的能力

合规说明：以下内容整理自原作者的技术原理分享，仅作 AI 安全机制的原理学习参考。本课只讲到原文公开的伪代码层面，不提供可直接运行的完整工程代码；原文第五节的法律与伦理警示本课完整保留。请勿用于违反服务条款或法律法规的用途。

以下来自 @linyishan。在 Transformer 架构的模型中，模型处理信息的方式是把输入转化为高维空间的向量（Activations，激活值）。

研究发现：模型之所以会拒绝回答，是因为在其深度神经网络的某些层中，存在一个特定的"拒绝维度"。当用户提出敏感问题（例如"如何制造炸药"）时，模型的激活值会高度向这个"拒绝方向"偏移，随后触发预设的拒绝语段（例如"对不起，我不能…"）。

Abliteration 的核心思路（三步）：

1. 找到这个"拒绝方向"的数学表示
2. 通过矩阵运算，将模型权重中所有与该方向相关的成分抹除（正交化）
3. 这样，模型在逻辑上将不再具备"拒绝"这一概念的坐标

以下来自 @linyishan。要对 Gemma-4-31B 这一量级的模型操作，需要：

硬件需求：

• 显存：至少能加载 FP16 精度模型一部分的显存；31B 模型建议 A100（80GB）或 H100；显存不足可用量化感知消融
• 计算：兼容 CUDA 的 GPU

软件依赖：

• Python 3.10+
• PyTorch
• transformers & accelerate（拥抱脸/Hugging Face）
• NDArray / Numpy
• Transformer Lens（专门用于机械解释性研究的库，非常推荐）

以下来自 @linyishan，从理论基础到工程实现的完整流程：

第一步：构建对比数据集第二步：提取激活值第三步：计算拒绝向量第四步：权重正交化第五步：权重写回与导出

准备两组问题，用于定位模型内部的拒绝机制：有害指令集（大量违规请求，如制造毒药、黑客攻击、仇恨言论等）vs 普通指令集（日常对话，如"如何做番茄炒蛋"）。

运行模型，分别喂入两组数据集，记录模型中间层（通常是中间偏后的层，如第 20–30 层）的剩余流激活值，得到两组张量。

计算两组激活值均值之差，得到初步"拒绝方向"向量 r；再用 PCA（主成分分析）在 A_harmful 偏离 A_harmless 的方向上提取第一主成分，得到更精准的向量 d——这就是要消融的目标方向。

最关键的数学步骤：修改模型每一层的线性转换矩阵（如 W_out 或 W_gate），把权重矩阵 W 投影到与 d 正交的平面上——相当于从权重中减去拒绝分量（公式中 ⊗ 表示外积）。

用 Hugging Face 的 state_dict 功能，把修改后的张量重新加载回模型结构。原文伪代码如下：

复制# 伪代码示例
for layer in model.layers:
    # 提取输出权重
    w = layer.self_attn.o_proj.weight.data
    # 减去拒绝方向的投影
    w_projected = w - torch.outer(torch.mv(w, refusal_vector), refusal_vector)
    # 更新权重
    layer.self_attn.o_proj.weight.data = w_projected

以下来自 @linyishan。完成消融后，模型进入"无忌讳"状态，但可能出现副作用：

• 语序混乱（Degradation）：过度抹除可能损伤模型的逻辑能力
• 过度顺从：模型变得过于听话——你问它"请否定你刚才说的话"，它会陷入逻辑死循环

评估工具：HarmBench 框架。对消融后的模型跑 HarmBench，如果得分超过 90%，说明该模型已基本丧失自我审查能力。

以下来自 @linyishan 原文第五节。作者强调：从技术角度研究模型的对齐机制具有极高科研价值（例如帮助开发者理解模型为何产生偏差），但发布或传播此类 CRACK 版模型存在严重风险：

1. 服务条款违规：大多数开源协议（如 Google 的 Gemma 使用条款）明文禁止移除安全限制
2. 安全风险：移除限制后的模型可能被恶意利用，产生自动化网络攻击代码或制造虚假信息
3. 社会责任：AI 的对齐不是为了限制自由，而是为了防止模型在处理模糊请求时产生有害副作用