Undici giorni, circa 167 ore di GPU e un budget di 15.360 token per traccia. Il confronto tra otto varianti abliterated di Qwen 3.8 27B e il modello base non è una classifica da forum: è un esperimento su cosa accade quando si rimuovono i rifiuti da un LLM pensante. Il verdetto, misurato con LLM Judge e HarmBench 400 classic, è che le modifiche chirurgiche battono quelle aggressive, e questa volta il margine non è stretto.

I due modelli in cima alla classifica sono quelli con il minor numero di modifiche verificate. Orcarouter arriva all'82,2% di ASR, con una direzione singola in stile Arditi al layer 38 e 131 matrici. Apostate segue al 78,7% con 41 modifiche reali e la KL più bassa del confronto, 0,0439. In fondo, obliteratus edita 841 tensori su 850 e nel 44,8% dei casi non chiude il blocco di pensiero prima che il budget di token muoia. Il giudice legge l'intera traccia, quindi la compliance dentro un loop conta ancora. Ma un modello che consegna risultati solo dentro un monologo mai terminato non è un modello utilizzabile.

Il modello base fa da controllo: 4,5% di ASR e zero conformità su chimica, biologia, molestie, contenuti dannosi e copyright.

La scoperta più interessante è il contrasto tra due tipi di ragionamento. Gli stessi modelli che entrano in loop su oltre il 40% delle risposte HarmBench completano i problemi GSM8K vicino al livello del modello base, tutti entro 1,2 punti percentuali sulle risposte effettivamente date. Il ragionamento matematico scolastico converge; la deliberazione avversariale no. Questo separa la capacità di ragionare dalla capacità di gestire richieste sensibili: una modifica aggressiva non rompe il calcolo, ma può rompere i meccanismi di chiusura del pensiero quando il contesto è ostile.

C'è anche uno spostamento dei muri. Il copyright è il nuovo muro universale: nessuna variante supera il 39% e cinque modelli su nove restano al 3,2% o meno. Chimica e biologia, storicamente tra le più difficili da sbloccare, diventano le più facili. Per chi usa modelli non censurati in locale, questo è un segnale importante: 'senza censura' non è una proprietà uniforme. I rifiuti si spostano, non scompaiono.

La parte forse più rilevante per un deployment self-hosted è la forensica sui chat template. Una variante distribuisce un prompt di jailbreak di 1.457 caratteri dentro il template della chat: ogni richiesta dell'utente viene alterata prima di arrivare al modello. Un'altra consegna la modalità thinking disattivata. Un'altra elimina il prompt di reasoning effort. Nel confronto, il template si rivela una leva comportamentale più forte di quanto si assuma normalmente. Per chi esegue modelli in locale, questo significa che il comportamento osservato non dipende solo dai pesi, ma anche dal modo in cui il server applica il template.

Le schede modello meritano attenzione senza sospetto di malafede. Orcarouter ha verificato quattro affermazioni su quattro in modo esatto. Trohrbaugh dichiara 0/100 rifiuti, ma nel confronto mostra 122 rifiuti espliciti, il numero più alto, insieme al profilo di capacità più pulito. L'autore la usa a casa, e questo dice qualcosa: più rifiuti non significa necessariamente meno utile in un contesto reale. La KL non è riproducibile in modo deterministico: cambia con la versione CUDA e con l'hardware. Per chi valuta modelli in locale, i benchmark dichiarati vanno letti come una distribuzione interna al confronto, non come costanti assolute.

Alla fine, il risultato non è una lista di modelli da scegliere o evitare, ma una tesi strutturale: la rimozione dei rifiuti è un intervento che produce effetti di secondo ordine sui circuiti di ragionamento. I modelli più aggressivi possono gridare conformità senza terminare il pensiero; quelli più conservativi possono rifiutare di più e restare più stabili. L'autore segnala l'intenzione di sostituire HarmBench con una misura che consideri anche template e iperparametri. È il riconoscimento che il test di una modifica non può fermarsi al tasso di rifiuto.