Heretic 2.0: Zensur aus Sprachmodellen entfernen, jetzt mit neuer ARA-Methode

Worum es geht

Heretic ist ein quelloffenes Werkzeug von Philipp Emanuel Weidmann (Entwickler-Name „p-e-w“), mit dem sich Sprachmodelle nachträglich verändern lassen, ohne sie neu zu trainieren. Bekannt wurde es als Programm, das die Zensur aus Modellen entfernt, also dafür sorgt, dass ein Modell nicht mehr mit „Dazu kann ich nicht helfen“ antwortet. Nach rund fünf Monaten Entwicklung ist nun Version 2.0 erschienen, laut Startup Fortune am 1. November 2026. Der Entwickler nennt es das größte Release bisher und beschreibt Heretic nun als allgemeines Werkzeug zur Modellmodifikation.

Installiert wird es mit pip install -U heretic-llm; danach genügt ein Befehl wie heretic Qwen/Qwen3.5-4B. Die README nennt als Voraussetzung Python 3.10+ und PyTorch 2.6+.

Was neu ist: ARA statt Abliteration

Die klassische „Abliteration“ geht davon aus, dass Verweigerungen im Modell durch eine einzelne Richtung im sogenannten Residualraum (die internen Zwischendarstellungen des Modells) repräsentiert werden. Diese Annahme wird in der Forschung schon länger angezweifelt; es gibt Arbeiten zu mehrdimensionaler Ablation oder „Representation Cones“.

Heretic 2.0 setzt deshalb standardmäßig auf Arbitrary-Rank Ablation (ARA), eine Methode, die Weidmann nach eigenen Angaben von Grund auf entwickelt hat. ARA verändert Matrizen anhand einer Zielfunktion: Darstellungen schädlicher Prompts sollen denen harmloser ähneln, während sich die Darstellungen harmloser Prompts möglichst wenig ändern. Mit dem L-BFGS-Optimierer werden die Matrizen einzeln angepasst – eine Art Mikro-Training ohne Beschränkung auf einen Unterraum fester Dimension. Der Entwickler nennt ARA „weit überlegen“ gegenüber Abliteration; das ist eine Herstellerangabe. Eine ausführliche Erklärung als Preprint steht noch aus. Die klassische Abliteration (inklusive projizierter Variante und Normerhalt) bleibt auswählbar.

Startup Fortune beschreibt ARA dagegen als Low-Rank-Update, das weniger rechne und schnellere Läufe sowie breitere Modellkompatibilität bringe. Das weicht von der Darstellung des Entwicklers ab, der ARA gerade als Methode ohne Rang-Beschränkung beschreibt. Welche Beschreibung technisch genauer ist, lässt sich aus den Quellen nicht klären.

Plugin-System und neue Scorer

Heretic sucht mit einem Optuna-basierten TPE-Optimierer Parameter, die bestimmte Werte („Scores“) optimieren. Bisher gab es nur zwei fest eingebaute: die Zahl der Verweigerungen und die KL-Divergenz (ein Maß dafür, wie stark sich das Modell vom Original entfernt). In 2.0 lassen sich beliebig viele eigene Scorer als Plugin laden, jeweils zum Minimieren oder Maximieren. Plugins können direkt aus einer Python-Datei geladen werden, ohne den Heretic-Code zu ändern.

Neben dem Keyword- und KLD-Scorer gibt es:

• einen Benchmark-Scorer für viele Standard-Benchmarks,
• einen BERT-Klassifikator von Vinay Umrethe, der mit einem ModernBERT-Modell Antworten einordnet. Das mitgelieferte Verweigerungs-Modell erkennt Verweigerungen laut Entwickler deutlich genauer als einfaches Keyword-Matching, ist aber langsamer.

Dadurch kann Heretic auch andere Dinge: Floskeln („Slop“), Schmeichelei (Sycophancy), Humor reduzieren oder die emotionale Ausrichtung verschieben. Dafür liegen fertige Konfigurationen im Repository (noslop, nohumor, nosyco, emotions). Das Scorer-System stammt maßgeblich von einem Beitragenden namens red40maxxer.

Weitere Änderungen

• Heretic läuft nun auch nicht-interaktiv, was End-to-End-Tests ermöglicht.
• Unterstützt werden jetzt Modelle mit Hyper-Connections; die Unterstützung für Denkmodelle wurde verbessert. Laut README funktionieren die meisten dichten Modelle, viele multimodale, mehrere MoE-Architekturen und moderne Hybridmodelle.
• Heretic kann reproduzierbare Modelle erzeugen: Beim Hochladen auf Hugging Face lässt sich ein reproduce-Ordner mit einem etwa 9 KB großen Manifest beilegen, mit dem andere das Modell nachbauen können. Die Sammlung dieser Manifeste heißt „Heretic Grimoire“.
• Optional lässt sich ein Modell per bitsandbytes direkt in 4-Bit laden, um VRAM zu sparen – mit leichtem Genauigkeitsverlust.
• Laut Startup Fortune wirkten 20 Personen mit, 11 davon erstmals.

Was du zum Ausprobieren brauchst

Eine Gaming-Grafikkarte reicht. Als Referenz nennt die README eine RTX 3090 (24 GB VRAM), auf der das Modifizieren von Qwen3-4B-Instruct-2507 mit Standardeinstellungen 30 bis 40 Minuten dauert. Größere Modelle brauchen entsprechend mehr VRAM; mit 4-Bit-Quantisierung (quantization = bnb_4bit) sinkt der Bedarf. Du brauchst außerdem Python, PyTorch und Speicherplatz für Originalmodell und Ergebnis. Wichtig: Alte 1.x-Konfigurationen funktionieren nicht mehr, es gibt einen Migrationsleitfaden.

Zahlen und Verbreitung

Laut Entwickler hat Heretic 37.000 GitHub-Sterne, über 8.500 Modelle auf Hugging Face und 88 Millionen Downloads. Unabhängige Benchmarks mit MMLU und GSM8K sollen laut README zeigen, dass Heretic-Modelle im Vergleich zu Konkurrenz-Abliterationstools gut abschneiden (Verweis auf Reddit-Analysen). Der Entwickler betont außerdem, den Code von Hand zu schreiben und nicht „vibe-coded“.

Einordnung

Heretic 2.0 macht aus einem Spezialwerkzeug eine Plattform für Modellverhalten: Wer Floskeln oder Schleimerei in lokalen Modellen stört, kann das nun gezielt abtrainieren, ohne ein echtes Training zu bezahlen. Für Hobby-Nutzer und Forschende ist das attraktiv.

Die Kehrseite: Laut Startup Fortune zeigte eine Untersuchung der Financial Times und der Gruppe Alice im Mai, dass ein Journalist mit Heretic in unter zehn Minuten die Sicherheitsausrichtung von Llama 3.3 und Gemma 3 entfernen konnte. Der Entwickler nannte der FT demnach über 3.500 entzensierte Modelle mit 13 Millionen Downloads. Für Unternehmen heißt das: Bei offenen Gewichten schützt nicht das Sicherheitstraining des Herstellers, sondern nur die eigene Zugriffskontrolle. Offen bleibt, wie stark ARA in unabhängigen Tests tatsächlich besser abschneidet als Abliteration – die Überlegenheit beruht bisher auf Angaben des Entwicklers und Testern aus der Community. Die übrigen Quellen (Spielartikel zu „Intergalactic“ und dem Remaster „Heretic + Hexen“) betreffen andere Themen und wurden nicht berücksichtigt.