Non è un jailbreak e non è un normale fine-tuning: l’abliteration interviene sulle rappresentazioni interne legate al rifiuto. Cosa succede quando questa tecnica incontra un modello open-weight da 27 miliardi di parametri?
Negli ultimi giorni è emersa una serie di release indipendenti di modelli AI che hanno avviato diverse discussioni nella community open-weight: versioni abliterate di Qwen3.8-27B, il modello “denso” da 27 miliardi di parametri di Alibaba (in questo post su X puoi vedere un video dimostrativo). Team come OrcaRouter e AEON-7 hanno applicato appunto la tecnica di abliteration per eliminare gran parte del comportamento di rifiuto (refusal) del modello originale, senza distruggere le sue capacità core.
Cosa significa “abliteration”
Non si tratta di un fine-tuning classico né di un semplice jailbreak via prompt. L’abliteration individua la direzione interna nel residual stream del modello responsabile dei rifiuti (“non posso aiutarti con questa richiesta”) e la “proietta” fuori dai pesi. Il risultato è un modello che risponde a richieste che la versione ufficiale di Alibaba rifiuterebbe sistematicamente, mantenendo però coding, reasoning, modalità agentiche, visione e il contesto da 262K token.
Le release principali includono varianti FP8, GGUF, MLX e full-precision BF16, pensate per girare su hardware consumer: Apple Silicon, GPU di fascia media e setup locali. Il modello conserva anche la “thinking mode”, permettendo all’utente di controllare quanto ragionamento intermedio generare prima della risposta finale.
Perché è rilevante
Qwen3.8-27B non è un “modello piccolo per test”, ma un open-weight che riesce a essere competitivo su molti task con sistemi molto più grandi. Renderlo eseguibile localmente senza i guardrail di sicurezza cloud apre scenari concreti:
- Ricerca e red-teaming: ricercatori di sicurezza e team di valutazione possono testare robustezza, meccanismi di refusal e vulnerabilità senza filtri cloud che interrompono i test.
- Uso locale e privacy: chi preferisce tenere i dati sul proprio hardware ostruisce meno ostacoli tecnici.
- Accessibilità: quantizzazioni efficienti permettono di far girare un modello di questa classe su Mac e workstation consumer.
Il lato controverso
A questo punto sorge un aspetto che alimenta già molti dibattiti: le stesse capacità che rendono il modello utile per test di sicurezza e ricerca possono essere sfruttate per richieste dannose o illegali. I team che hanno rilasciato le versioni (in particolare OrcaRouter) lo dichiarano esplicitamente: il modello non ha più guardrail significativi, è destinato a uso di ricerca controllata e non è pensato per produzione. I disclaimer avvertono che risponderà a richieste che l’originale rifiuterebbe.
È un esempio classico della tensione permanente nel mondo open-weight: massima trasparenza e controllabilità da un lato, rischi di misuse dall’altro. Alibaba non ha rilasciato queste varianti; sono modifiche community basate sul modello originale Apache 2.0.
In sintesi
L’abliteration di Qwen3.8-27B mostra quanto sia diventato maturo e accessibile intervenire sui meccanismi di safety dei modelli open a livello di pesi, preservando gran parte delle capacità originali. Per chi fa ricerca su alignment, refusal e red-teaming è uno strumento potente. Per chi ragiona su governance e rischi, è un altro segnale che le barriere tecniche alla rimozione dei filtri di sicurezza si stanno abbassando rapidamente.
Come sempre con i modelli “uncensored” il potere c’è, ma la responsabilità di come viene usato resta tutta sull’utente. Nel mio nuovo libro “AI in locale for Dummies” parlo anche di questo, lo trovi in tutte le librerie (fisiche e online) da settembre.
