Pięć milionów pobrań miesięcznie. 22 warianty Qwena z dopiskiem "uncensored aggressive". 3086 obserwujących. Każda karta modelu otwiera się tym samym chwytem: "0/465 odmów, zero straty zdolności".
Cała wieża na profilu HauhauCS stoi na pakiecie reaper-abliteration. Autor sprzedawał go jako "moje własne, prywatne metody i narzędzia". Wyciągnąłem 6 z 8 skasowanych paczek wheel z cache PyPI, policzyłem sha256 i położyłem obok Heretica. Narracja "moje własne" rozpadła się na pierwszej linii.
Reaper to refaktor Heretica, narzędzia abliteracji modeli wydanego na licencji AGPL-3.0 przez Philippa Emanuela Weidmanna (19,9 tys. gwiazdek na GitHubie, pierwszy commit z września 2025). Po publikacji dossier autor skasował pakiet z PyPI i repozytorium z GitHuba. Tylko że internet ma długą pamięć: cache Ecosyste.ms i files.pythonhosted.org wciąż serwują 6 z 8 paczek bajt w bajt, z opublikowanymi sumami SHA-256 do niezależnej weryfikacji.
Pochodzenie kodu nie jest subtelne. Zespół z reaper-analysis zestawił Reaper v2.5.2 obok Heretic v1.2.0. Wyniki analizy są bezlitosne. Zachowało się 7 z 7 nazw plików modułów oraz 31 dosłownych nazw metod. Wśród nich widać batchify z identyczną sygnaturą TypeVar("T") i empty_cache z tym samym układem gc na sześciu backendach.
Znaleziono też 30 znak-w-znak identycznych ciągów markerów odmów. Literówki skopiowano w całości: "i an ai" bez "m" i ucięte "violat" siedzą w obu plikach. Odkryto 9 pól Pydantic Settings z tymi samymi typami i wartościami domyślnymi. Zastosowano identyczne ograniczenia parametrów Optuny. Skopiowano nawet specyficzny krok reorientacji geom-median, którego autor Heretica nigdy nie widział w literaturze o abliteracji.
A potem jest linia 82 w config.py, odzyskana z paczki v2.5.2:
# ---------------------------------------------------------------------------
# Default refusal markers - kept as a module-level tuple so the literal
# does not duplicate line-for-line with any fork.
# ---------------------------------------------------------------------------
_REFUSAL_KEYWORDS: tuple[str, ...] = (Czytałem ten komentarz trzy razy i wciąż mówi to samo. Lista odmów została przetasowana, "żeby literał nie powielał się linia w linię z żadnym forkiem". Czyli autor zostawił w paczce na PyPI dopisek, że celowo myli ślady. Trudno o lepszy dowód winy bez podpisanego oświadczenia.
Komentarz Weidmanna jest bezpośredni. Sytuacja jest spójna z refaktorem wspomaganym przez duży model językowy. Człowiek ukrywający fork raczej nie dokumentuje obejścia w komentarzu w źródle. Model językowy poproszony o sprytny refaktor opisze racjonalizację dokładnie tak, jak tu napisano.
Marketing opowiada inną historię. Każda karta modelu HauhauCS startuje tym samym zdaniem. Obiecuje brak zmian w zdolnościach, zachowanie pełnej funkcjonalności i tylko wycięcie odmów. Rzeczywistość brutalnie weryfikuje te obietnice.
Benchmark Nathana Sapwella pokazuje, że jakość skaluje się na minus razem z modelem. TruthfulQA traci 2,17 punktu na 2B, 8,0 na 9B i aż 8,2 na 27B. Heretic na tym samym 27B traci zaledwie 3,1 punktu, czyli niemal trzy razy mniej. Karta modelu z hasłem "lossless" kłamie nie tylko po stronie etycznej, ale i w liczbach.
Comparison data
| Heretic | reaper-abliteration | |
|---|---|---|
| Licencja | AGPL-3.0 | PolyForm Noncommercial 1.0.0 |
| Atrybucja autora Heretica | n/d (oryginał) | No |
| Kod źródłowy publiczny | Yes | skasowany |
| Identyfikuje się jako dzieło pochodne | - | No |
| Metodologia ujawniona | Yes | No |
| 7 nazw plików modułów | Yes | Yes |
| 31 nazw metod | Yes | Yes |
| 30 znak-w-znak identycznych łańcuchów odmów | Yes | Yes |
Sprawa licencji jest jednoznaczna. Zapisy Affero General Public License (w wersji 3) wymagają, żeby kopiom dosłownym towarzyszyła nota o prawach autorskich. Wersje zmodyfikowane muszą nieść informację o zmianach i ukazywać się na tych samych warunkach. Ponadto paragraf 10 stanowczo zabrania nakładać na pochodne projekty jakiekolwiek dalsze ograniczenia.
Reaper ściął notę copyright i ogłosił się "prywatnym narzędziem" autora. Następnie zmienił licencję na PolyForm Noncommercial 1.0.0. To dokładnie to "dalsze ograniczenie", którego oryginał zakazuje. Wymaga to pewnej kreatywności: wybrać licencję bardziej restrykcyjną niż oryginał dla kodu, którego się nie napisało. Stanowisko Weidmanna jest w tej kwestii jednoznaczne: mamy tu do czynienia z oczywistym naruszeniem warunków otwartości.
Obrońca HauhauCS-a może powiedzieć, że metodologia nie podlega prawu autorskiemu. I miałby rację, gdyby dossier dotyczyło samej metodologii. Jednak tak nie jest. Licencja chroni konkretny kod oraz jego strukturę.
Tutaj skopiowano 7 nazw plików, 31 nazw metod i 30 specyficznych łańcuchów odmów. Przeniesiono identyczne pola biblioteki Pydantic i ograniczenia przeszukiwania. Dodatkowo mamy komentarz w źródle przyznający się do celowego mylenia detektorów forka. Niezależne wynalezienie kodu po prostu nie kopiuje cudzych literówek.
To jest operacyjny komentarz do mojego wcześniejszego tekstu o Hugging Face i "otwartym" bezpieczeństwie sztucznej inteligencji. Tamten manifest mówił o otwartości bez infrastruktury egzekwowania prawa. Kilka dni później wydawca z 22 modelami w topce po prostu ścina podpis oryginalnego autora. Podmienia licencję i hostuje 5 milionów pobrań miesięcznie, bazując na tym efekcie.
Platforma Hugging Face ma Content Policy oraz Terms of Service, które zabraniają publikowania treści naruszających prawa autorskie. Tylko że na uploadzie brakuje skanera SPDX, deklaracji pochodnej czy wyciągania atrybucji z grafu zależności. Polityka jest, ale egzekwowania brak. W chwili pisania tekstu 22 podejrzane karty modeli wciąż są online. Najgłośniejszym sygnałem ostrzegawczym dla platformy pozostaje oddolne dossier użytkowników z Reddita:
HauhauCS of 'uncensored aggressive' fame published 22 Qwen variants, claimed the toolchain as their own, and stripped Philipp Emanuel Weidmann's Heretic name and AGPL notice on the way out.
Ostatnie zdanie Weidmanna w wątku na Reddicie jest kręgosłupem tej historii:
If you want to build your own abliteration tool based on Heretic, I have great news for you: You don't have to steal my code. I'm already gifting it to you.
Trzymaj licencję otwartą, trzymaj notę o prawach autorskich i idź dalej. HauhauCS wybrał zupełnie odwrotną drogę. Zastosował licencję bardziej restrykcyjną niż oryginał i ściął kartę autora. Dodał też komentarz w kodzie, który bezczelnie dokumentuje mylenie detektorów forka.
Polityka treści Hugging Face to obecnie przycisk bez skanera sprawdzającego kod. Imperium bazujące na 5 milionach pobrań nadal beztrosko działa online. Tymczasem obciążające sumy SHA-256 zostają na serwerach CDN tak długo, jak długo trzyma je pamięć podręczna systemu dystrybucji PyPI.