Abliteration ist keine neue Technik. Seit Jahren entfernen Entwickler bei Open-Weight-Modellen die Neigung, schädliche Anfragen abzulehnen, und auf Hugging Face liegen Tausende solcher „abliterierten” Varianten. Neu ist, dass jemand daraus ein Geschäft macht. TechCrunch hat am 3. September über Abliteration.ai berichtet, ein Startup, das entschärfte Modelle hostet und per Browser oder API zugänglich macht. Darunter ist Z.ais GLM-5.3, eines der leistungsfähigsten offenen Modelle überhaupt.
Das erklärte Ziel laut einem Social-Media-Post der Firma: „offensive Cyber-, Red-Teaming- und Agent-Testing-Arbeit, die andere Modelle verweigern”. Das Argument kennt man aus der Security-Szene. Was man nicht reproduzieren kann, kann man nicht verteidigen, und ein Modell, das keinen Exploit schreibt, hilft keinem Red Team.
Der Test von TechCrunch
Die Redaktion hat sich einen Account angelegt und die abliterierte Version von GLM-5.3 kostenlos im Browser befragt. Ein Python-Programm, das gespeicherte Chrome-Passwörter stiehlt? Kam sofort. Ein detailliertes Protokoll, um zu Hause einen gefährlichen menschlichen Erreger zu kultivieren? Ebenfalls. Andrew Yoon, Forschungsleiter der Safety-Organisation CivAI, formuliert es drastisch: Abliteration mache aus dem Modell „einen Soziopathen”. Man könne buchstäblich alles eintippen, und es werde folgen.
Die Firma wurde Ende letzten Jahres gegründet und im März offiziell eingetragen. Mitgründer Devon, der seinen Nachnamen nicht nennen will, weil er noch bei einer anderen Firma angestellt ist, spricht von mehreren Verträgen mit großen Cloud-Anbietern, finanziert allein aus Kundenumsätzen. Wagniskapital gibt es noch keins, Gespräche laufen. Eine Identitätsprüfung existiert praktisch nicht: Erfasst wird die Kreditkarte, mit der bezahlt wird. Wer Zugang bekommen sollte, sei „eine schwierige Frage”, die man noch kläre. Kunden können eine eigene Moderationsschicht darüberlegen, die Plattform selbst hat nur minimale Grenzen. Suizidanleitungen bekam TechCrunch nicht, an Filtern gegen Gewalt werde gearbeitet.
Der Streit dahinter
Die meisten Experten, mit denen TechCrunch gesprochen hat, halten den Zug für nicht mehr aufzuhalten. Yoon schlägt deshalb vor, woanders anzusetzen: Anbieter sollten verpflichtet werden, Klassifikatoren gegen Cyber- und Biowaffen-Anfragen laufen zu lassen, und wer Zugang zu leistungsstarken GPUs vermietet, sollte Kunden identifizieren müssen. Devon hält dagegen, dass abliterierte Modelle Angreifer simulieren und Verteidiger damit so schnell wie möglich arbeiten können.
Der Bericht kommt an einem Tag, an dem sich auffällig viel um genau diese Frage dreht. Nvidia hat die Übernahme von Hugging Face bestätigt, wo die abliterierten Modelle liegen. OpenAI hat GPT-6 Astra ausgeliefert, verweigert damit aber Proof-of-Concept-Exploits und öffnet den Zugang nur schrittweise über sein Daybreak-Programm. Und Anthropic gibt Mythos 5.1 überhaupt nur an geprüfte Organisationen heraus, während Fable 5.1 mit Schutzmechanismen kommt, die bewusst weniger falsch auslösen sollen.
Ich habe hier keine einfache Meinung. Das Red-Team-Argument stimmt, und wer Abliteration verbieten will, verbietet am Ende Open Weights. Aber zwischen „jeder kann sich das Modell selbst umbauen” und „jeder bekommt es für lau im Browser, Kreditkarte reicht” liegt ein Unterschied, und der heißt Reibung. Genau diese Reibung war bisher das stillschweigende Sicherheitsnetz für offene Modelle. Abliteration.ai hat es weggenommen. Ob die Antwort darauf Regulierung der Rechenzentren ist, wie Yoon vorschlägt, oder eine andere, wird sich zeigen. Dass die Frage kommt, war absehbar. Dass sie so schnell kommt, überrascht mich dann doch.
Quellen: TechCrunch: Abliteration.ai is making a business out of removing AI guardrails