Un post su Reddit ha acceso un riflettore su una frontiera delicata: la possibilità di riscrivere a piacimento il comportamento di un Large Language Model intervenendo sul suo spazio latente. Dopo che Anthropic ha condiviso pubblicamente il suo strumento Jacobian-Lens, un utente ha costruito un’interfaccia per esportare i pesi di un modello dopo averne forzato manualmente le rappresentazioni interne, chiamandolo Nikusui-v1. Il risultato? Un modello “piuttosto perverso”, come lo descrive l’autore, realizzato in nome della scienza e distribuito in formato GGUF per essere eseguito localmente.

L’episodio non è una semplice provocazione. Mette in luce la rapidità con cui un toolkit nato per l’interpretabilità si trasforma in uno strumento di riallineamento arbitrario. Jacobian-Lens permette di individuare e modificare specifiche direzioni nello spazio delle feature: in pratica, si interviene chirurgicamente sulle associazioni interne del modello, azzerando certi vincoli o amplificando determinati tratti. Il gesto del ricercatore autodidatta è dirompente nella sua semplicità: una volta trovata la “manopola” giusta, l’intero modello viene congelato e riconfezionato in quantizzazioni pronte per l’inference domestica.

Per chi gestisce LLM in modalità self-hosted, l’accaduto costringe a riflettere su un paradosso. Da un lato, la sovranità dei dati e il controllo totale sull’infrastruttura sono i pilastri che spingono organizzazioni e sviluppatori a tenere i modelli nei propri data center. Dall’altro, però, la stessa autonomia implica l’assenza di guardrail centralizzati: ogni copia locale può essere sottoposta a interventi di questo tipo senza che il fornitore originario possa intervenire. La facilità con cui Nikusui-v1 è stato prodotto ed esportato suggerisce che il confine tra modello “sicuro” e modello “pericoloso” si assottiglia laddove gli strumenti di manipolazione interna diventano accessibili e integrabili nelle pipeline di quantization.

Non si tratta soltanto di contenuti espliciti. La stessa tecnica potrebbe annullare filtri su hate speech, disinformazione o auto-referenzialità, creando versioni locali con comportamenti deliberatamente incontrollati. In ambienti regolati — si pensi al GDPR o a settori come finanza e sanità — avere sotto il proprio controllo l’intero stack non elimina la necessità di verificare cosa gira realmente sulle GPU. La supply chain del modello, insomma, si allunga: non basta più fidarsi del vendor, perché ogni parametro può essere scardinato a valle, e il costo totale di possesso (TCO) comincia a includere audit interni sui pesi, non solo sull’hardware.

L’esperimento segnala anche un ribaltamento di prospettiva per la ricerca sull’allineamento. Strumenti pensati per ispezionare la “black box” e renderla trasparente diventano, nelle mani di chi non ha vincoli etici, il coltello per scucire le protezioni. Non è un difetto tecnico, ma una conseguenza strutturale di un ecosistema in cui le architetture aperte e i pesi condivisi mescolano indagine scientifica e potenziale uso improprio. Chi sviluppa framework di distribuzione dovrà probabilmente integrare meccanismi di verifica di integrità, anche se la natura deterministica del file GGUF rende difficile impedire la diffusione di varianti artefatte.

L’autore ha condiviso i quantizzati su piattaforme pubbliche, cercando feedback attivo. Il gesto, pur con toni goliardici, dimostra che la curva per passare dall’analisi dei meccanismi interni alla produzione di modelli alterati è oggi bassissima. Per chi segue la missione di AI-RADAR — aiutare a scegliere come e dove far girare l’inference mantenendo controllo e costi sotto la propria sovranità — la storia di Nikusui-v1 è un dato di realtà: il lato oscuro del self-hosting è la moltiplicazione dei modelli fuori dalle policy ufficiali, accanto alle sue innegabili libertà.