Heretic 2.0 发布：自动化剥离 AI 模型安全护栏更便捷

开源工具 Heretic 于 11 月 1 日发布 2.0.0 版本，继续用于自动化移除 AI 语言模型的拒绝行为。此次更新属于破坏性变更，旧版 1.x 配置文件无法直接运行，升级者需按迁移指南调整。

新版本的核心变化是用名为 Arbitrary-Rank Ablation（ARA）的低秩方法取代此前的稠密权重方法，官方称可加快运行速度并扩大模型兼容范围。该工具此前已被用于生成大量去除安全对齐的模型。

破坏性变更与迁移

Heretic 2.0.0 于 11 月 1 日发布，项目在 GitHub 发布页说明这是一次破坏性更新。此前使用 1.x 版本的用户若保留旧配置文件，升级后无法直接运行，需要先按项目提供的迁移指南完成调整，原有设置才能恢复工作。

这一变化意味着工具的使用门槛在版本切换时短暂上升：用户必须先处理配置迁移，才能继续用新版本处理模型。发布信息把配置不兼容列为升级者需要面对的首要事项。

ARA 低秩方法

旧方法直接编辑模型完整的权重矩阵，以抹除让模型说出“我无法协助”的“拒绝方向”；ARA 则通过低秩更新计算出同样的调整。

按发布说明的说法，这种方式用更少的计算得到相同结果，因此运行速度更快，可兼容的模型范围也更广。工具的整体思路没有改变：用户执行 pip install -U heretic-llm，指定类似 Qwen3-4B-Instruct-2507 的模型名称，Heretic 便借助基于 Optuna 的优化器自动搜索剥离设置，在压制拒绝行为的同时尽量少改动模型的底层表现，无需微调、标注数据集或 GPU 集群。

插件系统与架构适配

除核心算法外，2.0 还引入了通用插件系统，其中包括一个新的基于 BERT 的分类器，用于判断模型是否真的拒绝了某个提示。这一组件把“是否拒绝”的判定从人工观察转为可自动打分的环节。

新版本同时加入对较新架构特性的支持，例如 Qwen2.5 等模型中出现的超连接残差流。项目方称，本次发布共有 20 名贡献者参与，其中 11 人是首次贡献，显示围绕该工具已形成愿意直接写代码的社区。

从社区项目到基础设施

Heretic 由开发者 p-e-w 于 2025 年 11 月 16 日首次发布在 r/LocalLLaMA，此后每次更新都受到自托管模型群体的关注：仅 1.3 版本在发布后七小时内就获得 273 个赞同和 47 条评论。该项目目前在 GitHub 上已超过 37000 颗星。

据《金融时报》与 AI 安全研究机构 Alice 于 5 月 25 日发布的联合调查，一名《金融时报》记者在不到十分钟内、未使用专业硬件的情况下，用 Heretic 剥离了 Meta 的 Llama 3.3 和 Google 的 Gemma 3 的安全对齐。调查结论指出，模型权重一旦公开，训练方基本无法阻止他人删除其护栏。

规模数据也指向同一趋势。Heretic 的创作者向《金融时报》表示，该软件已被用于生成超过 3500 个去除审查的模型，这些模型合计获得 1300 万次下载。报道还提到，截至 5 月该工具的下载量已达 1300 万次。

开放权重下的治理难题

对部署开放权重模型的企业而言，这一工具改变了治理讨论的重点。若公司在自己防火墙内运行 Llama 或 Qwen 一类模型，厂商的安全训练并不是员工与“有问必答”的模型之间的最后屏障，真正起作用的是组织自身的访问控制、监控和使用政策，因为内置的拒绝行为可被任何有一台笔记本电脑和十分钟时间的人移除。

这与从 Anthropic 或 OpenAI 获取服务的风险模型不同：后者的权重不离开厂商服务器，本地没有可供剥离的文件。报道认为，闭源实验室在加强拒绝训练与监控，开放权重生态却在变得更易被剥离，两者之间的差距在 2026 年可能继续扩大。