Heretic（LLM検閲解除ツール）とは｜abliterationを自動化して安全性フィルタを外す仕組みと使い方

Heretic LLMの仕組みと使い方を解説します。この記事ではLLMに特化しています。LLM全般は LLMとは？仕組み・主要モデル比較・ローカル実行・量子化を一気にまとめる2026年版 をご覧ください。

Heretic LLMとは｜検閲解除を全自動にするOSS

Hereticは、トランスフォーマーベースの言語モデルからsafety alignment（安全性制御）を全自動で除去するオープンソースツールだ。GitHubのstarは26,956（2026年7月28日時点）。開発者はp-e-w（Phil Eichinger）で、Hugging Face上では1,000以上のHereticモデルがコミュニティによって公開されている。

safety alignmentとは、RLHFやDPOなどの訓練でLLMに埋め込まれた「有害な依頼を断る」挙動のことだ。公式READMEは「コマンドラインプログラムの実行方法を知っている人なら誰でも言語モデルの検閲を解除できる」と説明している。高額な事後訓練は要らない。

検閲解除・abliteration・jailbreakの違い

「llm 検閲解除」「heretic ai」で調べると、似た用語が並ぶ。先に整理する。

jailbreakは「その場のプロンプトでかわす」もので、モデルは配布し直さない。abliterationは重みを恒久的に書き換え、出力は別のモデルファイルになる。社内でモデルを配布・運用しているなら、手元のモデルがabliteration済みかどうかは重み側で検査する話で、プロンプトのフィルタでは検出できない。

本記事は堅牢性評価とインタープリタビリティ研究の文脈で仕組みを解説するもので、有害コンテンツの生成手順は扱わない。Hereticの出力は通常のローカル推論と同じ扱いになる。環境づくりは ClaraVerse：LLMローカル実行対応のプライバシー重視プライベートAIプラットフォーム完全ガイド が、量子化でメモリを削る話は BitNet｜Microsoftの1ビットLLM量子化フレームワーク — CPUだけで100Bモデルが動く仕組み が参考になる。

Heretic LLMの仕組み｜Directional AblationとOptuna

Arditi et al.（2024）は、LLMが依頼を拒否するとき、残差ストリームに「拒否方向（refusal direction）」と呼ばれる特定のパターンがあることを示した。有害プロンプトと無害プロンプトで最初のトークンの残差を取り、その差の平均を取ると、この方向ベクトルが得られる。Hereticはこの発見を使い、重み行列から拒否方向の成分を取り除く。

処理の中身は次の3点だ。

・拒否方向の計算：各レイヤーの最初のトークンの残差を、有害・無害の両プロンプトで取り、差分の平均を出す
・直交化：各レイヤーのAttention out-projectionとMLP down-projectionの行列を、拒否方向に対して直交化する。行列演算が拒否方向の成分を通さなくなる
・レイヤーごとの強度：消去の強さをレイヤーごとに独立のパラメータで調整する。方向インデックスはfloat値で、隣接レイヤーのベクトルを線形補間できる

既存の手動abliterationとの違いは、Optunaによる自動最適化だ。TPE（Tree-structured Parzen Estimator）は過去の試行結果から次に試す範囲を絞るベイズ最適化の一種で、Hereticは次の2つを同時に最小化する。

・拒否応答数：有害プロンプトに対してモデルが断る回数。少ないほど検閲が外れている
・KL距離：元モデルと処理後モデルの確率分布の差。小さいほど元の能力を保っている

Attention側とMLP側には別々のパラメータが割り当てられる。MLP層への介入はAttention層より能力劣化を起こしやすい、という知見を反映した設計だ。

Heretic LLMの使い方とベンチマーク

インストールと実行

動作環境はPyTorch 2.8以上とCUDA対応GPUで、READMEの目安はRTX 3090以上。8BモデルならVRAM 24GB以上が推奨になる。

pip install -U heretic-llm
heretic Qwen/Qwen3-4B-Instruct-2507

VRAMが足りないときは、bitsandbytesの4bit量子化を使える。ただし処理精度は若干落ちうる。

heretic Qwen/Qwen3-4B-Instruct-2507 --quantization bnb_4bit

完了後は、ローカル保存・Hugging Faceへのアップロード・チャットでの動作確認を選べる。生成物は通常のHugging Face形式なので、vLLMなどの推論エンジンで読み込める。vLLM と組み合わせるときは、出力の監視とガードレールを別に用意したい。

評価と分析のオプションは次のとおり。

研究機能（--plot-residuals など）を使うときは pip install -U heretic-llm[research] で追加依存を入れる。

heretic --evaluate-model p-e-w/heretic-gemma-3-12b-example
heretic Qwen/Qwen3-4B-Instruct-2507 --plot-residuals

--evaluate-model は有害プロンプト100件の拒否数と、無害プロンプトのKL距離を計算する。--plot-residuals は各レイヤーの残差をPaCMAPで2Dに投影し、有害・無害が層を追って分離していく様子をPNGとGIFで出す。--print-residual-geometry はコサイン類似度、L2ノルム、シルエット係数を表で出す。

Gemma-3-12Bでの公式ベンチマーク

公式READMEのGemma-3-12Bでの結果は次のとおり。RTX 3090でLlama-3.1-8B-Instructを処理した場合、デフォルト設定で約45分かかる。

拒否数はどの手法でも97から3に下がる。差が出るのはKL距離で、Hereticは0.16と、元モデルからのずれが最も小さい。

対応モデルと制限

対応するのは、ほとんどの密結合（dense）モデル、多くのマルチモーダルモデル、一部のMoEアーキテクチャ。SSM、ハイブリッドモデル、不均一なレイヤー構造のモデルは未対応だ。重みにアクセスできないAPI経由のクローズドモデル（GPT、Claudeなど）にも使えない。

Heretic LLMの競合比較と取り扱いの注意

Heretic本体はAGPL-3.0（2026年7月時点のGitHub API実測）で、ネットワーク越しに提供する形態でもソース開示義務が及びうる。元モデル（Llama、Gemma、Qwen、Mistralなど）のライセンスは別で、Hereticを通しても消えない。

この手法が意味を持つ場面は、safety alignmentの実装を調べる研究と、医療・法律・セキュリティ研究など特定ドメインで安全フィルタが過剰に働く場合の調整だ。Hereticが示したのは、alignmentが重み空間の単一方向に強く依存しうるという事実で、自組織のモデルの介入耐性を測るリファレンスとして読むのが実務的だ。

参照ソース

• Heretic GitHub リポジトリ
• Arditi et al. 2024: Refusal in Language Models Is Mediated by a Single Direction
• Optuna: ハイパーパラメータ最適化フレームワーク
• Hugging Face: Hereticモデル一覧
• Maxime Labonne: Abliteration技術解説
• PaCMAP: 次元削減手法の解説