创业公司做起了“AI安全护栏拆除”生意：开源模型裸奔成卖点

一家名为Abliteration.ai的初创公司，正把“剥离AI模型安全护栏”的技术变成一门收费生意。这个平台托管了多款移除了安全对齐能力的开源权重模型，其中就包括智谱旗下Z.ai最近发布的GLM-5.3。用户打开网页浏览器就能免费提问，也可以付费通过API调用，整个过程几乎没有任何门槛。

所谓“abliteration”，是开源模型圈子里流传已久的一种技术手段，大意是通过修改模型权重，消解其拒绝回答有害问题的倾向。过去几年，研究人员和开发者一直在用类似方法处理开源权重模型，Hugging Face平台上就托管着成千上万个经此改造的模型。Abliteration.ai做的事情，是把这种原本分散于地下开源社区的操作，变成了一项标准化、即时可用的商业服务。

据TechCrunch实际测试，在该平台注册账号后，很快就能开始向无护栏版GLM-5.3提问。记者要求它编写一段窃取Chrome浏览器已保存密码的Python程序，以及一份在家培养危险人类病原体的详细方案，模型都毫无抗拒地照做了。整个交互过程流畅得像使用普通聊天机器人。

这家公司去年年底创立，今年3月正式注册。创始人之一Devon（应本人要求未披露姓氏，因其仍在其他公司任职）对TechCrunch表示，公司的目标是帮助别人完成“其他模型拒绝做的攻击性网络行动、红队测试和智能体测试工作”。这种说辞在安全领域并不陌生：无法复现的攻击行为也就无从防御，一个拒绝编写可利用漏洞代码的模型，确实帮不上防御方的忙。

可同样的能力，也意味着其他危险任务的难度被直接拉低。AI安全非营利组织CivAI研究主管Andrew Yoon警告说，移除安全护栏相当于“把模型改造成一个反社会人格”。“你在这里输入任何东西，它都会照做，”Yoon说，“当人们谈论移除AI护栏时，说的正是这种状态……我预计在不久的将来，被编辑过的无护栏模型会开始被用于实际伤害。”网络安全研究者Chris McGuire也于9月1日在社交平台发文，证实已独立确认Abliteration.ai移除了该模型的生物安全相关防护。

Devon承认，平台自己的护栏几乎可以忽略不计——测试中唯一没能让模型给出的回答是自杀指导——并表示正着手添加更多防暴力内容。在用户身份核验方面，除记录购买服务所用的信用卡外，公司没有引入任何KYC（了解你的客户）流程。Devon的原话是：“你不想成为那个对某人做了疯狂事负责的人……那么作为一家公司，你的责任边界在哪里？我们还在定义这个问题中。”

围绕这种商业模式，网络安全行业内部尚未达成共识。几家智能体红队测试公司对TechCrunch表示，攻击者本来就在私下对自己的模型做移除护栏处理并用其发起对抗性攻击，因此让防御方配备相同工具是合理的。但他们也承认，被移除护栏的模型在实际防守工作中能发挥多大作用仍是未知数。

智能体红队公司Fabraix的首席执行官Ahmed Aly直言，自己的团队更多依赖对开源模型做微调，而不是使用abliteration模型，因为这种移除手法会削掉模型的一部分知识和能力。“如果你想真的用它造成伤害——网络伤害也好、生物伤害也罢——它不会那么有效。”Safe Intelligence的首席技术官Alessio Lomuscio则持中间立场：能力下降确实可能发生，但他相信这类模型仍能诱导出对压力测试系统有用的特定行为。

网络安全平台Armadin创始人David Slater说得更直接：“到目前为止，无护栏模型还不是我们流程的一部分。看上一代开源权重模型，本来就不用费多大劲就能越狱，让它们按我们的想法做。”不过Armadin已在研究这一技术，Slater认为，“推动开源社区理解模型能力边界至关重要”。他还表示：“这种事迟早会在关起门来、在私下场合发生。它发生在公开场合，反而给了研究人员工具，让我们看清真正的技术前沿，理解危害在哪里。”

据Devon介绍，Abliteration.ai尚未融资，但已获得若干大型云服务商的合作协议，收入全部来自客户付费，目前完全没有风险投资支持，融资谈判已在接触中。现有客户包括几家位于英国和欧洲的早期红队创业公司，这些公司服务于银行、航空公司及其他关键基础设施企业，帮助后者强化网络安全实践。“我们有一个大客户在为银行做智能体红队测试，要用现成模型直接测试，实际上是做不到的。”Devon说。

红队测试往往处在合法与违法的模糊边界上，但为银行和航空公司这类目标做防守演练，显然比让任何人都能零门槛调用无护栏顶级模型要不那么刺眼。Abliteration.ai也在向客户提供可选的审核层，允许使用者按需自行加回某些限制。只不过这个审核层默认是关闭的，毕竟平台主打的就是“不加护栏”。

从技术演进的角度看，这件事几乎是必然发生的。开源权重模型的护栏本来就是后贴上去的一层软壳，模型权重一公开，任何有基本技术能力的人都能把它撕掉。过去这样做需要自己下载文件、配置算力、调试环境——能玩得转的人至少具备一定技术基础。而Abliteration.ai把这套流程塞进了浏览器，门槛低到只需注册一个账号。

挺早以前，大概是刚学会用搜索引擎查资料的年头，网上找东西还要靠论坛老哥分享网盘链接。那时候想要个能用的工具软件，得先学会分辨哪些下载按钮是假的，再忍受弹窗广告的围追堵截，下载完还可能被捆一个全家桶。当时以为那就是技术的全部麻烦——怕点错、怕中毒、怕电脑变卡。现在再看，麻烦已经换了形态：过去担心的是软件往系统里塞了什么，如今要担心的是模型输出里藏着的回答能把人带到哪里去。那时候费劲巴拉绕过弹窗，最后装上的多半是个能用就行的绿色版；现在注册个账号就能让一个大模型毫无保留地写出密码窃取代码，快是真快，就是心里有点空落落的——好像少了点什么门槛，也少了点掂量的时间。

Devon的辩护有一定道理：面对一个能模拟攻击者的工具，防御方需要同等甚至更快的响应速度，才能赶上“坏人已经自己动手”的现实。可当这种服务按订阅制向所有人开放，谁来鉴别买家是防守方还是攻击方？创始人自己也承认，责任边界问题仍然没有答案，他们还在边做边找。

可以确定的是，围绕“是否该让无护栏模型触手可及”的较量，并不会因为某个平台的存在而终结。Yoon在近期评论文章中建议，政府应当要求模型服务商运行分类器，以检测并拦截有害的网络与生物武器相关活动；同时，租用高端GPU直连服务的公司应被强制核验客户身份，在合理怀疑存在危险滥用时拒绝提供服务。这些建议指向一个更深层的结构性问题：当模型权重可以自由下载、被任意修改再分发时，安全监管的抓手究竟应该落在模型的提供方、算力的出租方，还是那个最终按下回车键的使用者？