10a Labs 测绘无审查开源模型生态：3,471 个原始模型与 8,164 次再分发

核心问题是去护栏开放权重模型的生产、再分发与应用部署如何连接，以及哪些环节支撑其持续可用。

• 研究对象：作者将 uncensoring 定义为有意移除模型权重中训练出的拒答行为，区别于绕过外部过滤器或分类器。
• 问题场景：模型被修改后，可经量化和再打包在消费级硬件上部署。作者关注的下游包括网络安全工具、恶意软件生成和 NSFW 服务。
• 知识缺口：作者称，生态的规模、关键参与者、增长速度及可访问性仍不清楚；仅统计原始模型不足以描述后续传播。
• 核心观察：作者认为生产者与再分发者主要是不同群体；少数再分发者将分散的原始发布转化为跨账号、格式和注册表的副本。
• 研究产出：报告梳理 2024 年 1 月至 2026 年 3 月初的公开仓库供应链，并结合应用分类和案例讨论可观测性及治理。它不是攻击或防御效果评测，没有设定攻击成功判据。

作者将这项工作定位为连接模型生产、压缩再分发和下游应用的供应链调查。

公开去护栏模型生态

• Sokhansanj（2025）——分析 HuggingFace 上 8,608 个去护栏模型，报告其对不安全请求的服从率为 74.1%；其调查中前 5% 的生产者贡献 60% 的模型。
• Lin et al.（2025）——从网络犯罪视角构建生态知识图谱，并使用图深度学习从较小数据集识别 11,000 个去护栏模型。

地下恶意服务

• Lin et al.（2024）——研究地下市场中的恶意 LLM 服务，识别这些社区移除开放权重模型护栏的技术。作者将其研究对象与公开 HuggingFace、GitHub 仓库区分。

移除拒答行为的技术

• Arditi et al.（2024）、Piras et al.（2026）——引言将其列为 activation-space abliteration 相关工作，描述其通过抑制内部表示中的拒答方向移除护栏。
• Halawi et al.（2024）、Qi et al.（2023）——引言将其列为恶意微调相关工作，同时提及 SFT、DPO 和 LoRA 等重新训练模型服从请求的方式。
• Yang et al.（2025b）、Li et al.（2025）——涉及模型合并；作者描述将去护栏模型与其他模型混合以增强推理等能力。

基线与本文定位：报告没有设置方法对比基线，也没有复现上述工作的安全任务实验。作者关注的是生产者、再分发者及公开应用之间的联系，而非比较不同去护栏技术的攻击成功率。

供应链调查以仓库为统计单位，将模型生产、压缩再分发和 GitHub 应用部署分开分析。除特别说明外，数量指仓库数，不代表独立模型权重集合。

数据收集与时间口径

• HuggingFace 检索：使用 43 个高信号词和 12 个依赖上下文的词，包括中文、日文词；另遍历 15 名已知高产生产者及数据集注册表。
• GitHub 检索：结合 59 个模型名称关键词、37 个应用关键词、21 个 topic 标签、参与者遍历及补充中文、日文检索。
• 时间统计：HuggingFace 时间分析使用仓库发布日期，而非采集日期；研究窗口为 2024 年 1 月至 2026 年 3 月初。

分类与供应链角色

• 仓库分类：GPT-5 将 HuggingFace 候选项分为原始去护栏模型、压缩再分发、模型合并、恶意数据集或误检。
• 生产者：有意修改安全行为，包括 abliteration、移除安全行为的微调及相关技术；分类依据是仓库所代表的修改行为。
• 再分发者：主要将已有去护栏模型转换为 GGUF、AWQ、GPTQ、EXL2 或 MLX 等部署格式，不执行底层去护栏步骤。
• 应用筛选：GitHub 仓库经分类与过滤后，只保留集成、推荐或默认采用去护栏模型后端的应用。

应用功能与意图

• 功能分类：区分通用去护栏聊天、网络安全、文档处理、NSFW 角色扮演和故事生成、编码等用途。
• 明确恶意：设计用于黑客攻击、欺诈、恶意软件生成，或明确利用缺少安全护栏的内容。
• 用途模糊：功能可能服务于合法或有害用途。此分类不是将应用认定为安全，也不是对实际运行输出的测量。

关联分析与案例

• 供给侧分析：统计生产者与再分发者重叠、产出集中度、每个原始模型的再打包次数，以及技术和基础模型来源的时间变化。
• 部署侧分析：分析 README 中的注册表引用、模型家族采用、应用创建时间、stars 和 forks；Figure 4 用观测共现表示供应链流向。
• 案例分析：选择 Venice.ai、CyberAlbSecOP 和 NSFW 应用，分别描述商业参与、进攻工具和消费者应用如何使用再分发层。

报告没有给出分类器完整提示词、评分阈值或分类置信度，也没有附录。方法证据来自公开仓库及其元数据，作者未报告对模型权重或应用输出进行安全行为测试。

证据主要来自公开仓库的检索、分类、关联和案例分析。报告没有逐个运行去护栏模型来比较其拒答率或有害输出。

实验设置

• 平台与规模：HuggingFace 检索得到 17,727 个候选仓库；GitHub 得到 44,705 个候选仓库（§2.1）。
• 分析对象：HuggingFace 保留与移除护栏相关的仓库；GitHub 保留集成、推荐或默认采用去护栏后端的应用。
• 模型与基线：GPT-5 用于 HuggingFace 分类。没有作为行为测试对象运行的模型清单，也没有对比基线。
• 指标：包括仓库数、再打包次数、产出份额、应用功能和意图类别。Table 1 的 selectivity 是某参与者全部产出中去护栏模型的比例。
• 判定方式：作者在 §4.2 说明分类为单次 LLM 判定，无人工真值验证；未报告 precision、recall 或人工一致性。GitHub 分类所用模型未单独写明。
• 时间与重复：研究窗口为 2024 年 1 月至 2026 年 3 月初；Q1 2026 只含约 2.3 个月。论文未报告重复采集或重复分类结果。

主结果

下表为仓库调查结果，非模型行为测试分数；据 §2.1、§3.3.1。

表格较宽，可左右滑动

平台	分类条件	仓库数	占对应应用集合比例
HuggingFace	与移除护栏相关，总计	12,360	不适用
HuggingFace	原始去护栏模型	3,471	不适用
HuggingFace	压缩再分发	8,164	不适用
HuggingFace	模型合并	547	不适用
HuggingFace	恶意数据集	178	不适用
GitHub	去护栏模型应用，总计	1,643	不适用
GitHub	明确恶意应用	411	25%
GitHub	用途模糊应用	1,232	75%

• 分类含义：作者认为，用途模糊应用也主动选择去护栏后端；这些比例描述应用设计分类，不是实测危害发生率。
• 功能分布：Figure 3 图注报告通用去护栏聊天占 37%，网络安全和文档处理各占 16%，分母为全部 GitHub 应用。

再分发集中度与持续可用性

• 参与者分层：至少 1,055 名生产者、至少 1,011 名再分发者；24% 的生产者也参与再分发，61% 的生产者只发布一个去护栏模型（§3.1.1）。
• 再分发规模：每个原始模型平均再打包 2.4 次；三名参与者贡献全部 8,164 个压缩再分发的 52%（§3.1.1–3.1.2）。
• 逐账号结果：Table 1 中 mradermacher、Triangle104/*、RichardErkhov 分别为 2,905、936、364 个，份额为 36%、11%、4%。作者报告的合计比例与逐行整数百分比相加不同，论文未解释。

作者称副本跨账号、格式和注册表存在，因此移除原始仓库不等于移除模型供给；§4.1 以采集后被移除的 Triangle104 为例。报告未给出逐个副本的移除前后追踪表。

应用采用、部署渠道与商业案例

• 模型家族与渠道：Dolphin 被 499 个应用采用，占 1,643 个应用的 30%；43% 的应用 README 引用 Ollama，14% 引用直接 HuggingFace 下载（§3.3.2）。
• 时间关系：应用创建从 2024 年中约每月 30 个，增至 2025 年末每月 140–188 个。作者称加速始于 2025 年中，早于 2025 年 11 月开始的 Heretic 生产增长（§3.3.2）。
• 商业案例：Dolphin-Mistral-24B-Venice-Edition 产生 73 个 HuggingFace 再分发仓库；77 个 GitHub 仓库集成 Venice API 或该模型（§3.4.1）。

作者将这些结果解释为部署更贴合注册表可访问性和可部署性。报告提供的是观察关联，没有报告因果干预或统计显著性检验；Venice 的 2.2% 拒答率来自其公告，并非作者运行的测试。

技术与来源变化及读图边界

• Heretic 采用：2025 年 10 月无相关条目；11 月有 132 个原始模型采用该工具，占当月产出的 55.5%；Q1 2026 占新增原始模型的 54%（§3.2.1）。
• 来源变化：作者报告中国来源模型占全窗口已识别去护栏模型仓库的 38%；季度新增去护栏模型生产份额从 Q1 2024 的 1% 到 Q2 2025 的 55%（§3.2.3）。
• 图文口径：Figure 2 图注统计模型、再分发、合并和数据集，排除 777 个来源不明仓库；右轴是中国来源占中国与西方来源之和的比例，不能与“原始生产”口径直接等同。

Figure 1 图注区分原始模型与压缩再分发，并标示来源及再分发倍数；Figure 4 图注称流宽对应观测共现。提供的纯文本看不到柱高、曲线或流向宽度，因此不据此补写视觉比较。

其他消融与分析

• 生产技术：Heretic、TransformerLens、拒答过滤 SFT 使用者平均各产出 4.6、3.5、2.1 个模型（§3.2.1）。
• 一次性退出比例：Heretic 为 48.7%，微调方法为 69–75%（§3.2.1）。
• 模型规模：3–8 billion 参数模型占全部条目的 41%（§3.2.2）。
• 来源家族：来源可识别的西方条目中 Llama 占 52%；中国来源条目中 Qwen 占 80%（§3.2.2）。
• 次级渠道：110 个应用仓库引用 Telegram 集成（§3.3.3）。
• NSFW 应用：角色扮演 76 个、故事生成 16 个，平均每仓库 3.7 stars（§3.4.3）。

作者明确列出的局限集中在采集覆盖、分类验证和元数据归属。

作者指出的局限与后续方向

• 平台范围：仅调查 HuggingFace 模型供给和公开 GitHub 应用；ModelScope、Gitee、私有仓库、自托管部署和直接下载渠道不在采集中（§4.2）。
• 分类验证：单次 LLM 分类，没有人工真值验证；30.3% 的候选项被判为检索误检，作者未测量 precision 或 recall（§4.2）。
• 技术归属：21% 的原始模型元数据没有技术信号；另有 17% 只归为 abliteration，无法确定具体工具（§4.2）。
• 季度不完整：Q1 2026 仅覆盖约 2.3 个月，不能直接与完整季度比较（§4.2）。
• 搜索截断：GitHub Search API 每次查询最多返回 1,000 项，高频中日韩文字词被截断；作者认为非英语应用总体可能大于报告值（§4.2）。
• 来源识别：6.3% 的 HuggingFace 条目无法确定基础模型来源，主要是缺少基础模型元数据的自定义名称再打包模型（§4.2）。

实验覆盖范围

• 统计单位：除特别说明外，数量是 HuggingFace 仓库数，而非独立模型权重集合（§2.1）。
• 应用纳入标准：GitHub 应用可以是集成、推荐或默认采用去护栏模型，不能统一理解为已运行部署（§2.1）。
• 行为证据：结果覆盖仓库分类、元数据关联及公开案例；论文未报告对纳入模型或应用的直接安全行为测试。
• 分类细节：HuggingFace 分类模型为 GPT-5；论文未报告分类阈值、完整提示词或 GitHub 分类模型的独立说明。
• 时间与关联：HuggingFace 时间分析使用发布日期；部署渠道采用 README 引用，Figure 4 使用观测共现（§2.1、§3.3、Figure 4）。

10a Labs 调查的是去护栏模型的公开供应链，而非去护栏技术的效果排行榜。作者关注安全行为被移除后，模型如何继续被复制、转换并接入应用。

• 方法：检索 2024 年 1 月至 2026 年 3 月初的 HuggingFace 与 GitHub 仓库，区分生产者和部署格式再分发者，再分析模型来源、应用功能和渠道。
• 供给规模：HuggingFace 中识别出 3,471 个原始去护栏模型仓库、8,164 个压缩再分发仓库；每个原始模型平均再打包 2.4 次（§2.1、§3.1.2）。
• 再分发集中度：三名参与者贡献全部压缩再分发的 52%。作者认为，跨账号、格式和注册表的复制使供给不再依赖原始发布者（§3.1.1、§4.1）。
• 应用意图：1,643 个 GitHub 应用中，411 个被分类为明确恶意，占 25%；其余被分类为用途模糊，不等于经过安全验证（§3.3.1）。
• 部署选择：Dolphin 出现在 499 个应用中，占 30%；43% 的应用 README 引用 Ollama，14% 引用直接 HuggingFace 下载（§3.3.2）。
• 结论与边界：作者称再分发层连接分散生产与下游采用，应用元数据更能反映使用方式。分类未做人工真值验证，也未测量 precision 或 recall；这些结果应按公开仓库观察理解（§4.1–4.2）。