Hirundo ha rilasciato due versioni open weight dei modelli Qwen3.6-35B-A3B e Qwen3.5-4B, dichiarando di aver rimosso l'allineamento politico del Partito Comunista Cinese direttamente nei pesi, non con prompt di sistema. I numeri condivisi dall'azienda: su CCPC-500, benchmark interno che misura censura, framing propagandistico e bias su 15 temi, il modello 35B passa dall'89,8% al 2,8% di risposte segnalate. Su benchmark esterni, i rifiuti DECCP scendono dal 65,26% al 3,16% e la non-conformità ChinaBench dal 96,67% al 6,67%.

Se chiedete al Qwen originale cosa sia accaduto il 4 giugno 1989, il modello risponde di non sapere a cosa ci si riferisca. Per Hirundo il comportamento vive nei pesi e un prompt di sistema non lo corregge in modo affidabile. Di qui la scelta del machine unlearning.

La ricetta è in tre passaggi. Si esegue il modello base su prompt politici e si conservano le risposte che mostrano il comportamento bersaglio (censura, framing propagandistico o bias). Su quegli esempi si addestra un adattatore LoRA con un obiettivo di behavioral unlearning, mentre un insieme di prompt che non attivano il comportamento fa da ancoraggio per tutto il resto. Infine l'adattatore viene fuso nei pesi del modello base.

L'azienda spiega perché l'abliteration non è lo strumento giusto. L'abliteration cerca una singola direzione di rifiuto nelle attivazioni e la proietta fuori dai pesi, ma la maggior parte dell'allineamento CCP di Qwen non è rifiuto: su Taiwan o Xinjiang il modello risponde prontamente, adottando la cornice di Pechino. Non c'è un rifiuto da rimuovere, quindi l'abliteration lascerebbe intatta la propaganda. Qui invece si punta a cambiare un comportamento specifico preservando il resto.

Il confronto con Snowdon1.1-Small è istruttivo: il riallineamento dello stesso modello base firmato Thomson Reuters e Imperial College resta al 30,0% su CCPC-500. Significa che non tutte le strategie di de-allineamento sono equivalenti e che il residuo conta.

Sul fronte delle capacità generali, Hirundo riporta una variazione media di 0,72 punti su GPQA, IFBench, LiveCodeBench e MMLU-Pro, con il singolo scostamento più ampio a 1,83 punti. Non è un crollo, ma nemmeno un intervento a costo zero. La conformità dannosa resta pari o inferiore al modello base su XSTest e CyberSecEval 2, mentre su OR-Bench sale leggermente: 4 risposte contro 2 su circa 650.

Il dato forse più interessante riguarda il modello 4B: con thinking off scende dall'89,2% all'1,2% su CCPC-500, ma con thinking on resta al 6,8%. Il divario suggerisce che la modalità di ragionamento può riattivare percorsi in cui l'allineamento residuo sopravvive. Anche il 2,8% del 35B non è zero, e Hirundo lo ammette: alcuni temi continuano a passare.

Per chi lavora con modelli open weight in ambienti self-hosted, l'operazione segnala un cambio di paradigma. Non si tratta solo di fine-tuning per aggiungere capacità, ma di interventi di conformità comportamentale sui pesi, motivati da sovranità dei dati e controllo degli output. Un modello Qwen non neutralizzato, eseguito on-prem, può produrre la posizione di Pechino su Taiwan o Xinjiang anche senza accesso a servizi cloud. La versione di Hirundo riduce il rischio, ma non lo elimina: il benchmark principale è interno e non ancora pubblico, e i controlli indipendenti mostrano comunque residui.

Per chi valuta deployment self-hosted, i trade-off tra controllo dei pesi, audit e TCO non si chiudono con un singolo intervento. AI-RADAR propone framework analitici su /llm-onpremise per approfondire questi aspetti.

Hirundo chiede agli utenti di lanciare i prompt più difficili e segnalare i fallimenti. È una mossa pragmatica: i benchmark, soprattutto quelli proprietari, possono dirti solo una parte della storia. La rimozione della censura non aggiunge conoscenza, e il 4B a volte risponde con sicurezza sbagliando i dettagli. Il confine tra modello allineato, disallineato e semplicemente meno addestrato resta più sottile di quanto i numeri lascino intendere.