2026年8月21日 / 法律知识 AI / 8 分钟阅读

破限本地模型可以用来做什么？

从 Hugging Face 上的 uncensored、abliterated 模型与红队数据集出发，解释破限本地模型的技术原理、红队用途，以及制作、部署和使用这类模型的法律边界。

看到这个标题

是不是有些朋友就开始露出坏笑了？

甚至我在律师群里聊到这个

有的律师就会发一些坏笑表情……

喂喂喂，正经一点

其实破限模型更多用在其他方面啦

不过制作破限模型违法吗？

用破限模型违法吗？

就让我们一起来看看

* 本文仅为笔者个人观点，不视为任何法律建议。

一、到底什么是“破限本地模型”？

为什么要“破限”？

我们平时通过网页或者在线 API 使用的大模型

通常都经过了安全对齐（可以理解为人为限制输出）

在线平台为了自身安全

还会在模型外面层层叠加各种系统提示词、内容审核和账号规则

还会在模型外面层层叠加各种系统提示词、输出内容审核和账号规则

就算开源模型也没有放过

就算下载到本地，用自己的显卡推理

它仍然可能直接回答：

对不起，这个我不能回答，换个问题吧！

对于普通用户

这当然是一项必要的安全措施（虽然更利好厂商）

但问题是

模型并不总能准确区分：

用户是真的想做坏事

还是

正在研究坏人会怎么做事

网络安全、法律、医学、内容审核等工作

本来就经常需要处理敏感、危险甚至违法犯罪相关材料

如果模型看见关键词就拒绝

很多正常任务也会一起被挡在门外

之前我在试用某法律垂类模型时

就遇到过模型直接拒绝回答刑事相关问题的情况

随着全球都在严控模型边界

开源模型“甲”越来越厚

社区开始尝试削弱模型的拒答倾向

这才有了所谓的 “破限模型”

何谓“破限”？

就是通过修改系统提示词、再次微调、模型合并或者直接修改模型权重等方式

降低甚至移除这种拒答倾向

其中比较有代表性的技术叫 Abliteration

简单来说

研究者先比较模型面对“有害问题”和“无害问题”时的内部状态

找到可能与“拒绝回答”有关的方向

再从模型权重中削弱这个方向

Hugging Face 上就有一整组 Abliteration 模型合集

包括 Qwen、Gemma、Llama 等模型的修改版本

相关技术文章也明确将其称为一种无需重新训练即可削弱拒答能力的模型编辑方法

但要注意

少拒答，不等于更聪明

也不等于回答更准确

如果某些能力在预训练或者后训练阶段本来就没有充分形成

破限也不能凭空把能力补回来

模型可能只是更愿意一本正经地胡说八道而已

二、破限模型通常用来做什么？

当然完全不可否认的是

有人会用来玩角色扮演或者进行敏感题材创作

专业人士可能用来处理一些容易被普通模型误判的法律、医学、网络安全任务

但它更为重要（或者说有意义）的一类用途其实是：

AI 红队测试

“红蓝军演”，应该很多朋友听说过吧？

所谓“红队”是指

“在受控环境中，通过模拟对抗行为，寻找系统中可能出现的不良行为、风险结果，并对安全措施进行压力测试”

说得更简单一点

就是在坏人动手之前

先让自己人扮演一次坏人

例如测试：

换一种说法，被测模型的安全限制会不会失效；
系统中有没有漏洞，会不会被入侵；
程序能不能被反编译，保护系统能不能生效。

等等类似正常模型问多了就会被封号的问题

这时候

红队需要一个 “攻击模型”

用于自动生成测试问题、改写攻击提示、模拟攻击路径

来帮助测试人员出题，并自动反馈结果和迭代攻击方式

但这类问题，正常模型要么不回答，要么问多了就会被封号

所以，就需要一个强力的“破限模型”来帮助红队“偷懒”

因此

这些看起来很“危险”的模型

并不只是在用来做坏事

也可能是在识别坏事

在真的变坏之前，能让我们及时修复和避免事情发生

三、制作破限模型，违法吗？

目前并不存在一个叫作 “制作破限模型罪” 的罪名

《生成式人工智能服务管理暂行办法》第二条规制的核心场景

也是向我国境内公众提供生成式人工智能服务

如果使用合法取得的模型

在本地进行研究、测试

只是单纯把一个模型的拒答限制移除

没有向公众提供服务

也没有处理违法取得的数据或者实施其他违法行为

通常不能只因为模型 “什么都敢回答”

就直接认定制作行为违法犯罪

但这不等于本地制作相关模型就进入了“无敌帧”

至少还要考虑下面三件事

模型从哪里来？

Hugging Face 和魔搭等平台能直接下载

不等于可以不看许可证随便修改、传播和商用

有的模型采用 MIT、Apache-2.0 等相对宽松的许可证

也有的会使用专门的社区许可

甚至有的还会对特定用途、用户规模或者再分发方式作出限制

制作衍生模型以前

仍然要查看原始模型和当前模型卡的许可证

开放权重，不当然等于没有版权和合同边界

一个不小心，就可以构成侵权行为

用什么数据制作？

如果微调数据来自泄露的聊天记录、企业文档、个人信息或者商业秘密

或者来自非法获取的漏洞数据、账号凭证和恶意程序样本

模型是否破限反而不是最先要担心的问题

数据的取得、持有和处理方式本身就可能已经违法

当然

公开的网络安全资料和正常红队数据

并不会因为涉及“黑客技术”就当然违法

制作出来准备给谁用？

制作一个用于内部安全评测的破限模型

如果只是“自用”

一般问题都不大

但如果专门微调一个网络攻击特化模型

主要功能就是生成、执行入侵指令

甚至明知需求方要拿去攻击他人系统

仍然帮忙定制模型或者提供技术支持

就可能进一步涉及提供侵入、非法控制计算机信息系统程序、工具罪

或者成为其他网络犯罪的帮助行为

当然

是否构成犯罪还要结合模型的具体功能、提供对象、行为人的主观明知和实际后果判断

不会因为模型“能写入侵代码”就直接入罪

但也不能拿“工具论”或者“学习论”当成万能挡箭牌

毕竟按国内实务而言，还是

少破为妙

四、用个破限模型，就会来抓我？

破限模型是个非常好的工具

但这个工具并不自动中立到可以忽略具体用途

让模型在隔离环境里生成一段测试代码

和把代码扔到别人正在运行的服务器上

显然不是同一件事

要做红队测试，记得先拿授权

测试自己的模型、自己的服务器

或者在客户明确授权范围内开展安全评估

通常属于正常的安全研究活动

但拿着“红队测试”的名义

擅自突破他人的访问控制、获取数据或者干扰系统运行

就是妥妥的黑客行为

《网络安全法》第二十九条明确禁止非法侵入他人网络、干扰网络正常功能、窃取网络数据，以及提供专门用于相关活动的程序、工具

所以真的被授权当红队了

记得先搞一份规范的授权书

不然到时候真出了问题

可能“水洗都不清”

从“自己用”变成“给大家用”

当然，也不能忘记“破限模型”的其他能力

“喜闻乐见”，“喜闻乐见”

正如前一篇文章而言

如果只是用“破限模型”写普通内容给自己看

或者在本地当个“情感陪伴”

通常不会仅仅因为用了破限模型就违法

不过如果生成内容达到法律上的淫秽物品标准

根据《治安管理处罚法》

即使没有传播，单纯“制作”也可能存在治安处罚风险

此外

把破限模型做成网页服务、App 后端

或者开放 API 给不特定用户调用

虽然不会仅仅因为模型“破限”就马上构成犯罪

但行为性质可能已经从本地研究变成了向公众提供生成式人工智能服务

要承担备案、设置限制等一大堆义务（把”甲“又加回去了）

如果明知他人用于网络攻击或者其他违法犯罪活动仍然提供模型和技术支持

则可能进一步走向行政违法甚至刑事犯罪

所以