La abliteración —el borrado de la capacidad de un modelo para negarse a responder— dejó de ser una práctica de laboratorio y se convirtió en un servicio de pago. La startup Abliteration.ai aloja versiones de modelos de peso abierto, como el GLM-5.3 de Z.ai, con sus salvaguardas eliminadas, y las ofrece desde el navegador o por API. La prueba de TechCrunch fue directa: con una cuenta gratuita pidió un programa en Python que roba contraseñas guardadas en Chrome y un protocolo detallado para cultivar en casa un patógeno humano peligroso; el modelo accedió sin objeciones.
Detrás de esa oferta está un argumento conocido en seguridad: no se defiende de un comportamiento que no se puede reproducir. El cofundador de Abliteration.ai, Devon, dice que el objetivo es permitir «offensive cyber, red teaming y agent testing» que otros modelos rechazan. La empresa, incorporada en marzo de este año y sin capital de riesgo, se sostiene con ingresos de clientes y tiene acuerdos con proveedores de nube. Sus clientes incluyen startups de red teaming en Reino Unido y Europa que trabajan para bancos, aerolíneas y empresas de infraestructura crítica.
El contraste es incómodo. Esa misma facilidad de acceso es la que preocupa a los investigadores de seguridad. Andrew Yoon, de la organización sin fines de lucro CivAI, lo resumió así en TechCrunch: abliterar permite «modificar el modelo para que se conviera en un sociópata». La empresa ofrece una capa de moderación opcional y reconoce que aún define dónde está su línea de responsabilidad; por ahora, la verificación se reduce a la tarjeta de crédito del cliente.
Lo que muestran los números
No es un incidente aislado el caso comercial. El pilot del Counter-Terrorism AI Benchmark de Tech Against Terrorism, publicado en CTC Sentinel, evaluó casi 2.500 respuests de 27 modelos —23 de peso abierto y cuatro cerrados— y encntró que casi un tercio de las respuests ofrecían una ventaja real para preparar actos terroristas, aunque los modelos tenían barreras.
Basta cambiar el encuadre de «quiero causar daño» a «soy investigador» para que el cumplimiento saltara de 17 % a 42 %. Los rechazos completos fueron 57 %, pero 15 % fueron «cumplimiento con advertencia»: el modelo dice que es peligroso y aun así entrga el contenido. Las coberturas también son desparejas: las solicitudes sobre explosivos se rechazaron en un 80 %, pero las relac ionadas con seguridad operac ional, planif icación de agentes u operac iones autónomas se cumplieron en aproximadamente dos tercios.
Una compilación abliterada de Qwen3.8-27B, publicada en Huging Face, redujo la tasa de rechazo en siete benchmarks de prompts dañinos. En otras palabras, se puede quitar el freno sin que el motor pierda potencia. Y no es solo un problema de modelos sin salvaguardas: un estudio de Bloomberg y académicos presentado en ACL muestra que los guardarrailes especializados caen más de 24 puntos de F1 cuando se enfrentan a políticas que no vieron en entrenamiento, y rinden menos que los modelos genéricos sobre los que fueron construidos.
Qué signifíca para América Latina
Para una empresia latinoamericana, la cadena de suministro de IA tiene un eslabón que no siempre se audita: el modelo de peso abierto que se descarga, el tercio que lo editó y el proveedor de nube que lo sirve. Los pesos no se pueden recoger una vez publicados; cualquiera con suficiente capacidad de cómputo puede adaptarlos y redistribuirlos. Eso multiplica el riesgo en sectores como bancos, seguros, salud o infraestructura crítica, donde la adopción de modelos abiertos se justifica por costo y control, pero la supervisión de su comportamiento queda en manos de un equipo interno que no siempre tiene las herramientas para probar respuestas dañinas en español, portugués o en el contexto regulatorio local.
Hay medidas que pueden cerrar parte del hueco. Yoon sugire que los gobiernos exijan a los proveedores de nube y a quienes alquilen GPUs avanzadas verificar la identidad de sus clientes y denegar acceso cuando exista sospecha de uso peligroso, además de correr clasificadores para bloquear actividades cibernéticas y biológicas dañinas. En una región donde el marco normativo de IA aún se está definiendo, esa discusión debería incluír a los proveedores de infraestructura, no solo a los desaroladores del modelo.
La capa de moderación, el monitoreo de salidas y el entrenamiento con políticas aumentadas son herramientas concretas, pero ninguna elimina la decisión de quién accede y con qué responsabilidad.
La pregunta que queda sobre la mesa no es si los modelos sin frenos van a circular, porque ya circulan. Es si su organización sabe qué haría con uno: si puede medir el daño potencial, si tiene capas de moderación propias y si sabe quién está detrás de la API que usa. Para las empresias que redtean sus propios agentes, un modelo que no se niega es una herramienta; para las que lo despliegan sin controles, es una contingenica sin presupuestar. ¿Quién va a trazar esa línea antes de que un incidente la trace por ellos?
