uncensored と abliterated の違い【「拒否しない AI」の用語をやさしく整理】

Hugging Face や Ollama でローカル LLM（自分のパソコンで動かせる AI モデル）を探していると、
「uncensored」と書かれたモデルの隣に「abliterated」と名付けられたモデルを見かけることがあります。
どちらも「安全フィルターによる回答拒否がないモデル」として並んでいますが、
同じ意味の別名なのか、それとも中身に決定的な違いがあるのか、
判断に迷う場面は少なくありません。
さらに「制限なし AI」や「脱獄」といった言葉も混ざり合い、
用語の境界線は曖昧に見えます。
AI の内部構造に詳しくない方に向けて、
拒否しないモデルの作り方と、まぎらわしい用語の境界を整理します。

0. uncensored と abliterated は何が違うのか？#

「uncensored（検閲なし）」は回答を拒否しないという結果の状態を指し、
「abliterated」はその状態を実現する作り方の 1 つを指します。
すべての abliterated モデルは結果として uncensored ですが、
uncensored と呼ばれるモデルのすべてが abliterated とは言えません。

参考: Uncensoredモデル おすすめ10選

1. 「uncensored」は何を指す言葉なのか？#

「uncensored」は英語で「検閲されていない」を意味し、
AI モデルにおいては「開発元が設定した安全フィルターやガードレール（特定の質問に対して回答を拒否する制御ルール）によって回答を拒否しない状態」を指します。
一般的な商用 AI は、
悪用や危険な用途を防ぐために厳格な安全基準が組み込まれており、
医学の専門調査やセキュリティの検証といった正当な質問であっても「お答えできません」と回答を拒否することがあります。
この回答拒否を取り払い、
利用者のプロンプト（指示文）に対してそのまま応答するように調整されたモデル全般が uncensored と呼ばれます。

重要な点は、uncensored が「結果」だけを示す言葉であり、
どのような技術や手順で作られたかを問わないことです。
後述するように、データを集めて追加学習させたモデルも、
重み（モデルを構成する数値データ）を直接書き換えたモデルも、
拒否しなくなっていれば等しく uncensored と名付けられます。
そのため、配布ページ（モデルカード）に「uncensored」とだけ書かれている場合、
そのモデルがどのような手法で作られ、
本来の知能や推論能力がどの程度保たれているかは、モデル名だけでは判断できません。

2. 「abliterated」はどうやって作られるのか？#

「abliterated」は、
オープンウェイト（内部の数値データが一般に公開されている）モデルの重みを直接加工して拒否を外す具体的な技術を指します。
従来は、モデルに別のデータを与えて再学習させることで挙動を変えるのが一般的でしたが、2024 年に発表された研究（Arditi et al., 2024, arXiv:2406.11717）で、モデル内部における「拒否」の判断が、重みの中の特定の「1 方向」に集中して表現されていることが示されました。

この発見に基づき、重みの中から拒否を司る方向成分だけを数学的に差し引いて取り除く手法が abliteration です。
再学習を行わずに済むため、計算コストを抑えて短時間で加工できます。

この加工を自動化する道具として、Heretic のようなツールも公開されています。
Heretic は、重みから拒否の方向を取り除きつつ、
モデル本来の出力とのズレを最小限に抑えるよう、
加工の強さをアルゴリズムで自動探索して調整します。
コマンドで自動実行でき、モデル内部の構造に詳しくなくても使えます。

参考: abliteration（アブリテレーション）とは？

3. 「拒否しないモデル」には他にどんな作り方があるのか？#

拒否しないモデルを実現する方法は abliteration に限りません。
現在公開されているモデルは、大きく分けて 3 つの系統に分類できます。

それぞれの特徴と長所・短所は次のとおりです。

• 再学習型（ファインチューニング） — 拒否しない対話データを集めて追加学習を施す伝統的な方法です。代表例として Eric Hartford 氏による Dolphin シリーズ や Nous Research による Hermes が知られています。長所は、学習データに沿って自然で一貫した対話や長文生成の質を保ちやすいことです。短所は、再学習に多くの計算資源と時間を要するため、新しいベースモデルが登場してから公開されるまでに一定の期間がかかることです。
• 重み加工型（abliteration） — 前述のとおり、既存モデルの重みから拒否成分を直接除去する方法です。huihui-ai や OBLITERATUS の配布モデル、Heretic を使ったモデル群がこれにあたります。長所は、高価な学習環境を必要とせず、素早く加工版を入手できることです。短所は、加工の加減によってモデル本来の推論能力や言語能力が劣化する可能性があることです。
• 最初から低ガードレール（公式設計） — 開発元自身がモデルの重み内部に強い拒否を焼き込まず、利用時の外部ツールに安全確認を委ねる設計です。Mistral のオープンウェイトモデル は利用時にガードレールを付ける設計で、Google の安全分類器 ShieldGemma のように、外部で組み合わせる安全確認の部品も公開されています。長所は、モデルの重みを後から加工していないため、加工に伴う性能低下がないことです。短所は、モデル単体では安全フィルターが働かないため、利用規約の遵守や安全確認を利用者側で管理する必要があることです。

参考: メーカー公式の『低ガードレール』モデルとは？
参考: huihui-ai とは？

4. 「制限なし AI」「検閲なし」という言葉は何が違うのか？#

Web 広告や一部のサービス紹介で見かける「制限なし AI」という言葉は、
技術的な状態や作り方を定義した専門用語ではなく、
利用者を惹きつけるためのマーケティング用語です。
何についての「制限」がないのか（回答拒否がないのか、1 日の利用回数制限がないのか、利用規約が緩いのか）という明確な定義が存在しないため、
サービスごとに提供されている実態は大きく異なります。
一方、「検閲なし」は uncensored の直訳で、
拒否しない状態を指す点で uncensored と同じ意味です。

「脱獄（jailbreak）」はなぜ別物なのか？#

「拒否を回避する」という文脈でよく混同されるのが「脱獄（jailbreak）」です。
しかし、脱獄と uncensored / abliterated は、
根本的なアプローチが異なります。

脱獄は、モデルの重みやプログラムには一切手を加えず、
プロンプトの言い回しを工夫することで、
モデルの安全フィルターを一時的にすり抜ける手法です。
プロンプトを使った攻撃の一種として、OWASP の LLM01: Prompt Injection や、米国国立標準技術研究所（NIST）の資料（NIST AI 100-2）で扱われています。

脱獄ではモデルの内部にある「拒否する性質」自体はそのまま残っています。
そのため、プロンプトの表現が変わると再び拒否されたり、
サービス提供元が対策を入れると使えなくなったりします。
モデル自体の重みから拒否成分を取り除く abliteration や再学習型とは、
変えている場所が異なります。

5. 「拒否率」や「KL ダイバージェンス」は何を測っているのか？#

モデルの配布ページや技術資料を見ていると、
「拒否率」や「KL ダイバージェンス」という測定値が記載されていることがあります。
これらは、モデルが「どれだけ拒否しないか」と「元のモデルからどれだけ変わったか」を確かめるための指標です。

拒否率は、あらかじめ用意された質問集をモデルに入力し、
回答を断られた割合を測定したものです。
この数値が低いほど、回答拒否が外れていることを示します。
ただし、測定に用いる質問集の内容（どのような危険度・難易度の問いを含むか）は配布元によって異なるため、
異なる作成者が公開した数値を単純に横並びで比較することはできません。

一方の KL ダイバージェンス（Kullback-Leibler Divergence）は、
重み加工（abliteration）を施したモデルの出力が、
元のベースモデルからどれだけ変化したかを示す統計的な数値です。
拒否を無理に外そうとして重みを大きく改変すると、
モデルの推論能力や文章の流暢さが損なわれることがあります。
KL ダイバージェンスが 0 に近いほど、
元モデルの出力に近いまま拒否を外せていることを示します。
前述の Heretic は、
拒否数と KL ダイバージェンスを同時に最小化するように加工を最適化します。

6. 用語の違いを踏まえて、どう選べばよいのか？#

配布サイトやサービスでモデルを探すときは、
名前や宣伝文句だけで選ばず、次の点を確認します。

• 状態（uncensored）だけでなく、具体的な作り方を確認する — 重み加工型（abliterated）なのか、再学習型（finetune）なのか、公式の低ガードレール設計なのかを確認します。最新モデルの能力をいち早く試したい場合は重み加工型、長い対話や文章作成での安定性を重視する場合は再学習型が有力な選択肢になります。
• 測定値（拒否率や KL ダイバージェンス）が明記されているかを見る — 重み加工型のモデルは、加工者の技術力や設定によって仕上がりに差が出ます。配布ページに KL ダイバージェンスの数値や、測定に使用したプロンプトの検証結果が公開されている配布元を選ぶとよいでしょう。
• 重みが公開され、客観的に検証できるかを確認する — 「制限なし AI」という広告表示だけで中身のモデルが分からないサービスを避け、Hugging Face などでオープンウェイトとして公開され、多くの利用者に検証されているモデルを優先します。
• 誰がどこで止めているかを意識する — モデルの重み自体に拒否がなくても、Web サービスや API を経由して利用する場合、外側のモデレーション層（通信経路に置かれた検閲プログラム）で遮断されることがあります。手元の PC で動かすローカル環境なのか、外部のサービスを利用するのかに応じて、安全確認が行われる場所を把握しておく必要があります。

参考: ローカル LLM とは？

Deepent Research について#

私たち Deepent Research は、回答を極限まで拒否しない LLM チャットサービスです。標準の AI では途中で止まってしまう調べものを、最後まで続けられるように作りました。

• 拒否しない。LLM のガードレールを徹底的に軽減した uncensored・abliterated モデルを採用。標準の AI が「お答えできません」と打ち切る問いにも答えます（Qwen3.5 / Qwen3.8-27B-abliterated 系をプランに応じて使い分け）
• 入力は学習に使わない。調べた内容はサービス提供のためにのみ使われ、AI の学習や他の目的には使用されません。個人情報も厳重に保護し、プライバシーポリシーを公開しています
• 無料で試せる。GPU もインストールも不要、ブラウザを開くだけ。未ログインのお試しは会話が保存されないので、気軽に始められます

→ 登録なしで無料トライアル: https://deepentresearch.com

「どんな問いも、リサーチを止められない」。

No question can stop research.

よくある質問#

abliterated モデルの利用は法的に問題ありませんか？#

⌄

法的な扱いは国や提供元のライセンス規約によって異なり、
生成した内容の利用方法や規約を守る責任は利用者にあります。

uncensored モデルはどんな質問でも正確な答えを返しますか？#

⌄

回答を拒否しないことと出力内容の正確さは別の性質であり、
事実と異なる記述（ハルシネーション）が含まれる可能性があるため内容の検証は常に必要です。

一時的な調査には「脱獄」と「abliterated」のどちらが向いていますか？#

⌄

プロンプトのわずかな違いで遮断される不安定さを避け、
再現性の高い調査や検証を行いたい場合は、
モデル自体の重みから拒否が取り除かれている abliterated や再学習型のモデルが適しています。

初心者が手元で試す場合はどの系統から始めるのが現実的ですか？#

⌄

Ollama などの実行環境に対応した形式で配布され、
配布ページに拒否率や KL ダイバージェンスの数値が載っているモデルから試すと、
違いを確認しやすくなります。

免責#

本記事は、AI による下書きをもとに、運営が事実関係を確認・加筆・編集して公開しています。
本記事は教育・研究目的の情報提供であり、違法行為や犯罪の助長を意図するものではありません。
数値は第三者の公開レポートおよび配布元の公表値であり、測定条件により変わることがあります。