언센서드 AI 모델이란? 허깅페이스 heretic 모델 뜻과 쓰기 전 위험
허깅페이스의 언센서드 AI 모델과 heretic 표기는 원본의 거절 동작을 줄인 파생본이라는 뜻이에요. 만드는 원리, 원본과의 차이, 라이선스·보안 위험과 모델 카드 확인 순서를 정리했어요.
목차7개 섹션
핵심 요약
- 언센서드 AI 모델은 원본 모델이 학습한 거절 동작을 약화하거나 제거한 파생본을 가리키는 커뮤니티 표기이며 공식 인증이나 표준 등급이 아니에요.
- heretic 표기는 대개 오픈소스 도구 Heretic으로 가중치를 수정했다는 뜻이에요. 재학습 없이 '거절 방향'을 깎아 내고 원본과의 차이(KL 발산)를 작게 유지하도록 최적화해요.
- 거절이 줄어도 모델이 더 똑똑해지거나 정확해지지는 않아요. 성능 저하, 숨은 거부, 환각은 그대로 남거나 커질 수 있어요.
- 원본 라이선스의 사용 제한은 파생본에도 따라와요. 예를 들어 Gemma 금지 사용 정책은 안전 필터 우회 시도를 금지해요.
- 업무·서비스에 쓰기 전에는 모델 카드의 원본 모델, 제작 도구·버전, 라이선스, 파일 형식(safetensors 여부)을 확인하고 자체 안전 계층을 따로 둬야 해요.
언센서드 AI 모델은 원본 모델이 안전 학습으로 익힌 '거절' 동작을 일부러 약화하거나 제거한 파생 모델을 부르는 커뮤니티 표기예요. 허깅페이스에서 이름에 UNCENSORED, heretic, abliterated가 붙어 있다면 대부분 누군가 공개 모델의 가중치를 내려받아 거절을 줄이도록 고친 뒤 다시 올린 버전이라는 뜻이에요. 2026년 11월 기준 허깅페이스 트렌딩 상위에도 이런 이름의 모델이 여럿 보이는데, 이름이 화려하다고 성능이나 안전성이 검증된 것은 아니에요. 이 글은 공개된 Heretic 저장소, 어블리터레이션 해설, 실제 모델 카드와 허깅페이스 정책 문서를 2026년 11월에 읽고 정리한 내용이에요.
결론부터 말하면 언센서드 모델은 '제한 없는 더 좋은 AI'가 아니라 '원본의 1차 안전장치를 뺀 실험용 파생본'으로 이해하는 편이 정확해요. 개인 연구나 거절 오탐 문제를 살펴보는 용도로는 의미가 있을 수 있지만, 업무 도구나 고객용 서비스에 바로 넣으면 라이선스·보안·책임 문제가 한꺼번에 생길 수 있어요.
언센서드 AI 모델과 heretic 표기는 무엇을 뜻할까요
대부분의 채팅형 언어 모델은 사전 학습 후 지시 따르기와 안전 학습을 거치면서 위험해 보이는 요청에 "도와드릴 수 없어요" 같은 거절 답을 내도록 조정돼요. 언센서드(uncensored)·디센서드(decensored)라는 말은 이 거절 경향을 줄였다는 제작자의 주장이에요. 허깅페이스가 부여하는 공식 등급이 아니라 업로더가 이름과 태그에 직접 붙이는 표기라서, 같은 단어라도 제작 방법과 결과가 모델마다 달라요.
heretic은 독일 개발자 Philipp Emanuel Weidmann(p-e-w)이 공개한 오픈소스 도구 Heretic의 이름이에요. 저장소 설명에 따르면 이 도구의 기본 동작이 거절 억제(검열 제거)이고, 재학습 없이 대비되는 예시 프롬프트와 점수 함수를 이용해 모델 행동을 조정해요. 그래서 모델 이름 끝에 -heretic이 붙어 있으면 보통 '이 도구로 거절을 줄였다'는 뜻이에요. Heretic 저장소는 AGPL-3.0 라이선스로 공개돼 있고, 2026년 11월 확인 시점에 GitHub 스타가 약 4만 개였으며 커뮤니티가 이 도구로 만든 모델이 허깅페이스에 수천 개 올라와 있다고 밝혀요.
abliterated는 ablate(제거)와 obliterate(말살)를 합친 말로, 거절을 담당하는 내부 방향을 가중치에서 지우는 기법인 어블리터레이션을 썼다는 표시예요. Heretic도 이 기법을 포함하고 있어서 한 모델에 heretic, uncensored, abliterated 태그가 동시에 붙는 경우가 많아요. 트렌딩에 오른 DavidAU/Qwen3.8-27B-TURBO-Fable-Cold-Fusion-...-Heretic-Uncensored-NEO-CODER-MAX-MTP-GGUF처럼 병합·양자화·코딩 특화 표기까지 줄줄이 붙은 이름도 있는데, 이름의 단어가 많을수록 원본에서 몇 단계 떨어진 파생본인지 더 꼼꼼히 따져야 해요.
트렌딩 모델 카드 예시로 본 실제 의미
트렌딩 1위로 관찰된 xtools-at/DeepSeek-V4-Pro-Qwen3.5-9B-UNCENSORED-heretic 모델 카드를 보면 구조가 잘 드러나요. 카드는 이 모델이 Jackrong/DeepSeek-V4-Pro-Qwen3.5-9B를 Heretic v2.0.0.dev0으로 디센서드한 버전이라고 밝혀요. 모델 트리는 Qwen3.5-9B-Base → Qwen3.5-9B → unsloth 버전 → Jackrong의 미세조정본 → 이 모델 순서예요. 이름에 DeepSeek-V4-Pro가 들어 있지만 DeepSeek의 가중치가 아니라, DeepSeek-V4-Pro가 만든 풀이 데이터로 Qwen3.5-9B를 증류 학습한 모델이라는 점도 카드 본문에 적혀 있어요. 이름만 보고 'DeepSeek 대형 모델의 무검열판'이라고 오해하기 쉬운 사례예요.
안전장치는 어떻게 제거될까요: 어블리터레이션과 Heretic
어블리터레이션의 출발점은 Arditi 등 연구진의 2024년 연구예요. 연구진은 여러 오픈 채팅 모델에서 거절 행동이 모델 내부 표현(잔차 스트림)의 특정한 한 방향으로 매개된다는 결과를 보고했어요. Maxime Labonne의 허깅페이스 블로그 해설은 이를 이렇게 정리해요. 유해한 지시와 무해한 지시를 각각 모델에 넣어 활성값을 기록하고, 두 평균의 차이로 '거절 방향'을 구한 뒤, 이 방향으로 쓰지 못하도록 가중치를 직교화하면 모델이 거절 능력을 잃어요. 반대로 이 방향을 인위적으로 더하면 무해한 요청까지 거절하게 돼요.
Heretic은 이 과정을 자동화한 도구예요. 저장소 설명에 따르면 기본 수정 방식은 Heretic용으로 개발한 Arbitrary-Rank Ablation(ARA)이고, 고전적인 방향 제거(어블리터레이션)도 선택할 수 있어요. Optuna 기반 최적화기가 수정 강도와 적용 층 같은 매개변수를 바꿔 가며 시험하고, 기본 점수는 거절 비율과 원본 대비 출력 분포 차이인 KL 발산 두 가지예요. 즉 '거절은 최대한 줄이되 무해한 질문에 대한 답은 원본과 최대한 비슷하게'를 목표로 삼아요. 저장소는 RTX 3090에서 Qwen3-4B-Instruct-2507을 기본 설정으로 처리하는 데 약 30~40분이 걸린다고 적고 있고, 처리가 끝나면 모델 저장, 허깅페이스 업로드, 대화 테스트, 벤치마크 실행을 고를 수 있어요. 업로드 문턱이 이렇게 낮아서 파생본이 빠르게 늘어나요.
Heretic은 거절 억제 말고도 설정 파일에 따라 아첨 줄이기, 유머 줄이기, 답변 짧게 만들기 같은 다른 행동 조정도 지원한다고 밝혀요. 재현 정보(reproduce 폴더와 reproduce.json)를 함께 올리는 기능도 있어서, 이 정보가 있는 모델은 어떤 설정으로 만들었는지 추적하기가 상대적으로 쉬워요. 반대로 재현 정보가 없는 모델은 제작 과정을 확인할 수단이 모델 카드 설명뿐이에요.
재학습 없는 수정이라 더 조심해야 하는 이유
Labonne의 해설은 이 기법이 안전 미세조정이 얼마나 취약한지 보여 주며 윤리적 고려를 남긴다고 직접 적고 있어요. 공개 가중치 모델은 누구나 내려받아 고칠 수 있으므로, 원본 개발사가 넣은 거절 학습은 배포 이후 지켜진다는 보장이 없어요. 이 사실은 공개 모델을 쓰는 쪽이 '모델이 알아서 거절해 줄 것'에 기대지 말고 자체 안전 계층을 설계해야 한다는 뜻이기도 해요.
원본 모델과 무엇이 달라질까요
앞의 트렌딩 모델 카드는 Heretic이 자동으로 남긴 성능 표를 보여 줘요. 유해 프롬프트 100개 기준 거절 수가 원본 100/100에서 3/100으로 줄었고, 원본 대비 KL 발산은 0.0422로 표시돼요. 거절은 거의 사라졌지만 일반 답변 분포는 원본과 가깝게 유지됐다는 제작 측 측정이에요. 다만 이 수치는 업로더가 실행한 자동 평가이고, 정확도나 안전성을 종합 평가한 결과가 아니에요.
거절 동작
- 원본 지시 모델
- 위험해 보이는 요청을 거절하도록 학습
- 언센서드·heretic 파생본
- 거절 비율을 낮추도록 가중치 수정
지식·정확도
- 원본 지시 모델
- 원본 수준
- 언센서드·heretic 파생본
- 새 지식이 추가되지 않으며 저하될 수 있음
검증 주체
- 원본 지시 모델
- 원본 개발사의 평가·문서
- 언센서드·heretic 파생본
- 대개 개인 업로더의 자체 측정
라이선스
- 원본 지시 모델
- 원본 라이선스
- 언센서드·heretic 파생본
- 원본 조건을 그대로 이어받음(주장과 다를 수 있음)
업데이트·보안 공지
- 원본 지시 모델
- 개발사 채널
- 언센서드·heretic 파생본
- 업로더에 따라 없거나 불규칙
적합한 용도
- 원본 지시 모델
- 일반 업무·서비스 후보
- 언센서드·heretic 파생본
- 연구·실험 중심, 운영 투입은 별도 통제 필요
성능 면에서는 '원본과 비슷하다'가 최선의 시나리오예요. Labonne의 실험에서는 어블리터레이션 후 모든 벤치마크에서 성능이 떨어졌고, DPO 추가 학습으로 대부분을 회복했지만 수학 벤치마크 GSM8K는 개선되지 않았다고 보고했어요. Heretic은 KL 발산을 낮춰 이런 손상을 줄이려 하지만, 모델 카드의 벤치마크 표가 파생본에서 다시 잰 값인지 원본 설명을 그대로 옮긴 것인지는 따로 확인해야 해요. 예시 카드도 Heretic 성능 표 아래에 원본 모델의 증류·벤치마크 설명이 이어져 있고, 한계 항목에서 이 평가가 종합적인 능력·안전 평가가 아니라고 밝히고 있어요.
또 하나 기억할 점은 '거절이 줄었다'와 '정직해졌다'가 다르다는 거예요. 거절 비율은 대개 거절 문구 키워드로 세기 때문에, 모델이 거절 대신 주제를 돌리거나 그럴듯한 오답을 내도 점수상으로는 거절이 아닌 것으로 집계될 수 있어요. 언센서드 모델의 답이 더 과감하게 들린다고 해서 더 사실에 가깝다고 판단하면 안 돼요.
쓰기 전 확인할 위험: 약관·보안·책임
라이선스와 사용 정책은 파생본에도 따라와요
파생 모델의 라이선스 칸에 apache-2.0처럼 관대한 라이선스가 적혀 있어도 원본 모델의 조건을 함께 봐야 해요. 예를 들어 Gemma 금지 사용 정책(2024년 2월 21일 최종 수정)은 Gemma와 그 모델 파생물을 이용해 안전 필터를 무력화하거나 우회하려는 시도를 금지 항목으로 명시해요. Gemma 기반 언센서드 모델을 내려받아 서비스에 쓰면 원본 정책과 충돌할 가능성을 검토해야 한다는 뜻이에요. Qwen처럼 관대한 라이선스의 원본이라도 결과물로 불법 행위를 돕거나 권리를 침해하면 사용 국가의 법에 따른 책임은 그대로 남아요.
허깅페이스에 있다고 안전이 보증되지는 않아요
허깅페이스 콘텐츠 정책(2025년 4월 10일 시행)은 무기 개발 같은 고위험 불법 활동을 조장하는 콘텐츠와 악성 코드를 만들거나 전송하려는 콘텐츠를 제한 대상으로 정하고, 신고된 저장소는 사안별로 검토해 순위 제외, Not For All Audiences 태그 부착, 접근 차단, 계정 정지 등을 할 수 있다고 밝혀요. 같은 문서는 트렌딩이 최근 며칠간의 좋아요 수에 영향을 받는다고도 설명해요. 트렌딩 순위는 관심도의 신호일 뿐 품질·안전 심사를 통과했다는 뜻이 아니에요.
파일 자체의 보안 위험도 따로 있어요
출처가 불분명한 개인 업로드 모델은 가중치 파일 형식도 확인해야 해요. 허깅페이스 Pickle 스캐닝 문서는 PyTorch 기본 형식인 pickle 파일을 불러올 때 임의 코드 실행 공격이 가능하다고 경고하고, 신뢰하는 사용자·조직의 모델을 쓰고 safetensors 같은 안전한 형식을 고려하라고 안내해요. 허브의 보안 스캐너가 있지만 문서 스스로 100% 완벽하지 않으며 안전 확인은 사용자 책임이라고 적고 있어요. 언센서드 모델 자체가 악성이라는 뜻은 아니지만, 검증되지 않은 업로더의 파일을 사내 서버에서 실행한다는 점은 같아요.
고객용 챗봇·사내 에이전트·자동화 파이프라인에는 언센서드 모델을 그대로 연결하지 마세요. 원본 모델의 1차 거절이 빠져 프롬프트 주입이나 악의적 요청을 모델 단계에서 막지 못하고, 결과물에 대한 책임은 운영자에게 남아요.
새로운 파생 모델이 트렌딩에 오르면 커뮤니티 반응과 논쟁이 먼저 쏟아지는 경우가 많아요. 더따리의 AI 텔레그램 트렌드와 블로그 트렌드에서 어떤 모델이 왜 화제인지 흐름을 살펴볼 수 있지만, 화제성은 검증이 아니므로 아래 순서로 원문을 직접 확인하세요.
허깅페이스 파생 모델, 쓰기 전 확인 순서
- 1
원본 모델과 모델 트리를 확인해요
모델 카드 오른쪽의 Model tree에서 Base model부터 현재 모델까지 몇 단계를 거쳤는지 봐요. 이름에 들어간 유명 모델명이 실제 가중치의 출처인지, 증류 데이터의 출처일 뿐인지 본문으로 구분해요.
- 2
제작 방식과 재현 정보를 읽어요
Heretic·어블리터레이션·추가 미세조정·병합 중 무엇을 했는지, 도구 버전과 매개변수가 공개됐는지 확인해요. Heretic 모델이라면 reproduce 폴더가 있는지도 살펴요. 제작 방식이 설명되지 않은 모델은 운영 후보에서 빼는 편이 안전해요.
- 3
라이선스를 원본까지 거슬러 읽어요
파생본의 라이선스 표기와 함께 원본 개발사의 라이선스·사용 정책을 읽어요. 안전 필터 우회, 상업적 이용, 특정 용도 제한 조항이 있으면 파생본에도 적용되는지 법무 담당과 확인해요.
- 4
평가 수치의 출처를 구분해요
거절 수와 KL 발산 같은 Heretic 표는 거절 억제 정도를 보여 줄 뿐이에요. 벤치마크 표가 파생본에서 다시 잰 값인지 원본 설명을 옮긴 것인지 확인하고, 필요한 업무 데이터로 직접 시험해요.
- 5
파일 형식과 실행 환경을 통제해요
safetensors 형식인지, pickle 파일이라면 허브의 import 스캔 결과에 의심 항목이 없는지 봐요. 처음 실행은 네트워크와 권한을 제한한 격리 환경에서 하세요.
- 6
별도 안전 계층을 설계해요
꼭 써야 한다면 입력·출력 필터, 도구 권한 최소화, 사람 승인, 로그 감사를 모델 바깥에 두고 외부 사용자에게 직접 노출하지 않아요. 거절 오탐을 줄이는 것이 목적이라면 원본 모델의 시스템 프롬프트 조정이나 공식 설정을 먼저 검토해요.
정리하면 언센서드·heretic 모델은 공개 가중치 생태계에서 거절 학습이 얼마나 쉽게 바뀔 수 있는지 보여 주는 결과물이에요. 연구 대상으로 살펴볼 가치는 있지만, 이름의 'UNCENSORED'는 품질 보증이 아니라 '원본의 안전장치를 줄였다'는 경고 표시로 읽는 편이 맞아요. 원본 모델·제작 방식·라이선스·파일 형식 네 가지를 확인하지 못했다면 아직 업무에 쓸 준비가 된 모델이 아니에요.
