拒答从 ¹⁰⁰⁄₁₀₀ 降到 3/100：Heretic 用秩分解抹平 9B 模型的拒绝话术

模型”不肯说话”这件事，过去只能靠改提示词、或者堆一堆微调数据去磨。现在有人把它做成了六个参数：改哪几层、往哪个方向推、推多大力，全部写在模型卡里，效果用拒答率和 KL 散度两个数字交代清楚。

它是什么：一个被拆掉”不”字的 9B 推理模型

先说底座。Jackrong/DeepSeek-V4-Pro-Qwen3.5-9B 是一个把 DeepSeek-V4-Pro 在 Max Effect 模式下的回答蒸馏进 Qwen3.5-9B 的产物，训练信号集中在数学和 STEM，样本量约 25 万条——简单说，这是一个专门用来解题、推理的小模型，输入文字（底座也带图文能力），输出带思考过程的文字。

xtools-at 这个仓库做的是在它上面再叠一层去审查（decensoring）：用 Heretic v2.0.0.dev0 的 Arbitrary-Rank Ablation（ARA），对第 9 到第 24 层做方向性消融，把”拒绝回答”这个行为从激活空间里推出去。同样的做法还发布了 4B 版本，方便对比不同规模下的消融代价。

适合谁：做安全对齐研究、红队评估、或者需要在本地跑一个”不轻易拒答”的推理引擎的人。不适合任何需要模型自带合规护栏的生产场景——它从设计上就放弃了那层保护。

核心：一张可复现的参数表

这个仓库最有价值的地方在于它把”炼丹”拆成了可复核的配置。ARA 的六个参数全部公开：

• start_layer_index=9、end_layer_index=24——只动中间层，不碰嵌入和输出头；
• preserve_good_behavior_weight=0.8264——保住原有能力的权重；
• steer_bad_behavior_weight=0.0003——推动”要消掉的行为”的强度，几乎压到了零；
• overcorrect_relative_weight=0.9645——对过度矫正的抑制；
• neighbor_count=12——参与估计方向的邻近样本数。

效果写在性能表里：拒答从原模型的 ¹⁰⁰⁄₁₀₀ 降到 ³⁄₁₀₀。也就是说，原来 100 条测试请求全部被推回，现在只剩 3 条还被挡。

更关键的是第二行数字：KL 散度 0.0422。原模型按定义是 0，新模型是 0.0422——说明权重分布虽然被改过，但偏移被压在很小的范围内。这正是 ARA 相对”整层 abliteration”的卖点：不是把某一层直接砍掉，而是找一个低秩方向做定向推移，尽量不伤到别的能力。

为什么值得注意

三件事凑在一起，让这类模型的性质变了。

第一，门槛降到了复制粘贴。以前做一个”去审查”模型需要自己找 refusal 方向、自己调强度，结果好坏全靠手感；现在参数表在这儿，任何人换个底座都能重跑一遍。

第二，副作用被量化了。用 KL 散度而不是”感觉还行”来交代代价，意味着可以横向比较不同消融方案的破坏程度——这是把工程纪律引进了一个长期靠经验的领域。

第三，它和蒸馏模型叠在一起。底座本来就是 9B 小模型，跑在单卡上毫无压力；去审查之后，一个”体积小、会推理、不拒答”的组合就成型了。对研究者是便利，对平台审核是压力。

如果你打算试，建议同时跑原版和这个版本做对照，重点看两类指标：目标任务的正确率有没有掉（KL 小不代表能力不掉），以及拒答率降下来之后误答率有没有上升。这两条曲线才是判断消融是否”过火”的依据。

模型地址：https://huggingface.co/xtools-at/DeepSeek-V4-Pro-Qwen3.5-9B-UNCENSORED-heretic