การถอด guardrail ออกจากโมเดล open-weight กลายเป็นธุรกิจขายเป็น API แล้ว — abliteration.ai เอา GLM-5.3 มาลบ refusal direction ขาย $5 ต่อล้านโทเคน และไลเซนส์ของ Z.AI ก็อนุญาตให้ทำได้จริง

เทคนิค abliteration — การลบ “ทิศทางการปฏิเสธ” (refusal direction) ออกจากน้ำหนักของโมเดล open-weight เพื่อให้มันเลิกตอบว่า “I can’t help with that” — เป็นของเล่นในวงโอเพนซอร์สมาตั้งแต่ปี 2024 ใครอยากได้ก็โหลด weight มาทำเองบนการ์ดจอตัวเอง แล้วอัปขึ้น Hugging Face ให้คนอื่นโหลดต่อ

สิ่งที่เปลี่ยนไปคือมันกลายเป็น ธุรกิจที่มีใบเสร็จ แล้ว TechCrunch รายงานเมื่อ 3 ก.ย. 2026 ว่า abliteration.ai สตาร์ตอัปสัญชาติอเมริกันที่จดทะเบียนบริษัทเมื่อ มี.ค. 2026 ขายการเข้าถึงโมเดล open-weight ที่ถูกถอด guardrail ออกแล้วในรูปแบบ API เชิงพาณิชย์ — ไม่ต้องมีการ์ดจอ ไม่ต้องรู้จัก projection matrix เปลี่ยนแค่ base URL กับชื่อโมเดลในโค้ดเดิม

โพสต์เปิดตัวรุ่นล่าสุดบนบล็อกของบริษัทลงวันที่ 29 ส.ค. 2026: abliterated-model-large-v2 ต่อยอดจาก GLM-5.3 ของ Z.AI โฮสต์แบบ FP8 คอนเท็กซ์ 1 ล้านโทเคน ราคา $5 ต่อล้านโทเคน ทั้ง input และ output ราคาเดียวกันทั้งสองฝั่ง

สิ่งที่ขายจริง ๆ คือ “ความยอมทำ” ไม่ใช่ “ความเก่ง”

นี่คือส่วนที่น่าสนใจที่สุด เพราะบริษัทเป็นคนเอาตัวเลขมาโชว์เอง แล้วตัวเลขนั้นไม่ได้เข้าข้างตัวเอง

จากบล็อกเปิดตัว 29 ส.ค. เทียบกับโมเดลแนวหน้าที่ guardrail ยังอยู่ครบ:

Benchmark	Abliterated Large v2	คู่เทียบที่ดีที่สุดที่บริษัทยกมา
CyberGym (pass@1)	84.5%	GPT-5.5 ที่ 85.6%
Terminal-Bench 4.0	41.8%	Opus 5 ที่ 51.8%
ExploitGym (หน้าต่าง 2 ชม.)	105 จาก 869 งาน	GPT-5.6 Sol ที่ 216 งาน

แพ้ทั้งสามชุด และในชุด ExploitGym ที่เป็นงานเขียน exploit โดยตรง — งานที่ควรจะเป็นบ้านของโมเดลไร้ guardrail ที่สุด — มันทำได้ไม่ถึงครึ่งของ GPT-5.6 Sol และห่างจาก Opus 4.8 ที่ทำได้ 80 งานอยู่แค่ 25 งาน

CyberGym ที่ถูกอ้างเป็นพาดหัวเป็น benchmark ที่มีอยู่จริง — งานของ UC Berkeley (arXiv:2506.02548) วัดความสามารถด้านความมั่นคงไซเบอร์บนบั๊ก OSS-Fuzz จริง 1,507 รายการจาก 188 โปรเจกต์ ซึ่งตรงกับที่บล็อกระบุ แต่ เชิงอรรถท้ายบล็อกเป็นของบริษัทเอง และเขียนไว้ตรง ๆ ว่า:

“Comparator Terminal-Bench 4.0, CyberGym, and ExploitGym figures are vendor-reported on mixed harnesses and budgets. Treat the chart as indicative rather than strictly comparable.”

แปลว่าแม้แต่คนขายก็บอกว่าอย่าเอาตารางนี้ไปเทียบกันตรง ๆ

และตัวเลขที่ หายไปทั้งชุด คือตัวเลขที่สำคัญที่สุดสำหรับคนที่จะซื้อ: ไม่มีการเทียบ GLM-5.3 ตัวต้นฉบับกับตัวที่ผ่าน abliteration แล้ว เอกสารของบริษัทเคลมว่า “The model retains its general capability, instruction-following, tool use, multilingual ability” แต่ไม่มีการวัดใด ๆ มายืนยันว่าการถอด refusal direction ออกไปทำให้เสียความสามารถไปเท่าไหร่ ทั้งที่ model card ของ GLM-5.3 บน Hugging Face เองมีไฟล์ .eval_results/ ที่ประกาศตัวเลขทางการไว้แล้ว — Terminal-Bench 2.1 ที่ 88.2, Terminal-Bench 3.0 ที่ 28.3, deep-swe ที่ 66.9, HLE (with tools) ที่ 62.5 และ Toolathlon verified ที่ 73.0 ลงวันที่ 31 ส.ค. 2026 ซึ่งเป็นเวอร์ชัน benchmark คนละรุ่นกับ Terminal-Bench 4.0 ที่บริษัทเลือกใช้ เทียบกันไม่ได้อยู่ดี

อีกจุดที่เอกสารพูดไม่ตรงกัน: หน้า /models ระบุว่า large-v2 “further abliterated and fine-tuned by Abliteration AI” — คือมีการ fine-tune ทับด้วย ไม่ใช่ abliteration ล้วน ๆ ตามที่หน้าอธิบายเทคนิคบอกว่า “without retraining, fine-tuning”

ไลเซนส์ของ Z.AI อนุญาตให้ทำแบบนี้จริง

คำถามแรกที่ควรถามคือ เอาโมเดลของคนอื่นมาดัดแปลงแล้วขายต่อเป็น API แบบนี้ผิดไลเซนส์ไหม

ดึงไฟล์ LICENSE จากรีโป zai-org/GLM-5.3 บน Hugging Face มาอ่านตรง ๆ คำตอบคือ ไม่ผิด ตัวไลเซนส์เขียนแบบ MIT-like ให้สิทธิ์ไว้กว้างมาก:

“…to run, deploy, fine-tune, or otherwise modify the Software and create derivative works from it…”

เงื่อนไขเดียวที่แตะเรื่อง Model-as-a-Service อยู่ในข้อ 2 และมันเป็น เงื่อนไขเชิงรายได้ ไม่ใช่เชิงเนื้อหา:

“If the Licensee or any of its affiliates operates a Model as a Service business, and the aggregate revenue of the Licensee and its affiliates exceeds 10 billion US dollars … in total over any consecutive 12 months, the Licensee must pass Z.AI’s security review…”

เพดานอยู่ที่รายได้รวม หนึ่งหมื่นล้านดอลลาร์ใน 12 เดือน — abliteration.ai ที่ TechCrunch ระบุว่ายังไม่ได้ระดมทุน VC เลยและเลี้ยงตัวเองด้วยรายได้จากลูกค้า ไม่ได้อยู่ใกล้เพดานนั้นแม้แต่นิดเดียว ส่วนข้อ 1 ที่เขียนว่า “must comply with applicable laws and regulations” ก็โยนภาระไปที่ผู้ใช้ปลายทาง ไม่ใช่ตัวคนโฮสต์

นี่คือช่องว่างที่ต้องเข้าใจให้ตรง: “open weights” กับ “ควบคุมพฤติกรรมของโมเดลได้” เป็นคนละเรื่องกันโดยสิ้นเชิง เมื่อไหร่ที่แล็บปล่อย weight ออกมาพร้อมสิทธิ์ดัดแปลง การจัดวางแนว safety ที่ฝังไว้ในน้ำหนักก็เป็นเพียง ค่าเริ่มต้น ที่ใครก็ถอดออกได้ — และตอนนี้ก็ซื้อบริการให้คนอื่นถอดให้เสร็จได้แล้ว รุ่นก่อนหน้า abliterated-model-large ที่เปิดตัว 24 ก.ค. 2026 ก็สร้างจาก GLM-5.2 ด้วยรูปแบบเดียวกัน

เรื่องตลกร้าย: บริษัทเดียวกันขายทั้ง “ถอด guardrail” และ “ใส่ guardrail กลับ”

อ่านเอกสาร developer ของบริษัทจนจบแล้วจะเจอโครงสร้างสินค้าที่แปลกมาก

ฝั่งหนึ่งคือ inference ที่ไม่มีการกรอง แต่อีกฝั่งคือ Policy Gateway ซึ่งเป็น add-on แบบเสียเงินเพิ่ม ที่เอา governance กลับเข้ามาวางคร่อมโมเดลที่เพิ่งถอด guardrail ออกไป — ตัดสินคำขอทีละอันแล้วคืนผลเป็นหนึ่งใน allow / rewrite / summary / escalate / refuse พร้อม audit event ทุกครั้ง แบ่งเป็นสามแพ็กเกจ Control / Advanced / Enterprise ที่ต่างกันแค่ปริมาณการใช้งาน (6× / 20× / 60× ของฐาน) ไม่ต่างที่ฟีเจอร์

พูดง่าย ๆ คือถอดออกจากน้ำหนักฟรี แล้วขายชั้นที่ใส่กลับเข้าไปเป็นซับสคริปชัน

สำหรับคนที่ไม่จ่าย add-on ยังมีพารามิเตอร์ flagged_categories ให้ opt-in ต่อคำขอ เลือกได้สี่หมวด — harassment, hate, illicit, sexual — ถ้าเข้าเงื่อนไขจะเด้ง 400 ก่อนถึงโมเดล

และมี safety floor ที่ปิดไม่ได้ อยู่แค่สองหมวดเท่านั้น ตามเอกสารของบริษัทเอง: เนื้อหาล่วงละเมิดทางเพศต่อเด็ก และเนื้อหาการทำร้ายตัวเอง เอกสารเขียนไว้ตรง ๆ ว่า “These are the only categories abliteration.ai blocks by default. Everything else passes through” — ซึ่งสอดคล้องกับที่ TechCrunch ทดสอบแล้วพบว่าคำถามเรื่องการฆ่าตัวตายถูกบล็อกจริง

ในด้านการเชื่อมต่อ มันถูกออกแบบมาให้เสียบเข้ากับ stack ที่นักพัฒนาใช้อยู่แล้วโดยไม่ต้องแก้โค้ด: endpoint แบบ OpenAI (/v1/chat/completions, /v1/responses) และแบบ Anthropic (/v1/messages) พร้อมคู่มือสำหรับ Python, Node/TypeScript, LangChain และ Vercel AI SDK ส่วนสารบัญเอกสารยังมีหัวข้อ integration สำหรับ coding agent อยู่ด้วย

ฝั่งลูกค้า TechCrunch ระบุว่าเป็นสตาร์ตอัป red teaming ระยะเริ่มต้นในสหราชอาณาจักรและยุโรป รวมถึงบริษัทที่รับงานความมั่นคงไซเบอร์ให้ธนาคาร สายการบิน และโครงสร้างพื้นฐานสำคัญ ผู้ร่วมก่อตั้งที่ใช้ชื่อว่า Devon (ขอไม่เปิดนามสกุลเพราะยังทำงานประจำที่อื่น) ให้เหตุผลว่าการทำให้โมเดลไร้ข้อจำกัดเข้าถึงง่ายจะช่วยให้ “defenders can move as fast as possible” ขณะที่ Andrew Yoon จาก CivAI มองว่ามันคือการ “modify the model so that it becomes a sociopath” ส่วนกระบวนการ KYC ตามรายงานคือแทบไม่มีอะไรเกินจากการบันทึกบัตรเครดิต และ Devon เองยอมรับว่ายังนิยามขอบเขตความรับผิดชอบของบริษัทไม่จบ

ที่มาของเทคนิค และจุดที่เอกสารอ้างอิงผิดฝา

หน้า “What is abliteration?” อธิบายกลไกไว้ถูกต้อง — หา refusal direction จากผลต่างของ mean activation ระหว่างพรอมต์ที่เป็นอันตรายกับไม่เป็นอันตราย แล้ว project ทิศทางนั้นออกจาก weight matrix ทั้งฝั่ง attention และ MLP โดยไม่ต้องเทรนใหม่ ซึ่งตรงกับงานวิจัยต้นทาง Arditi et al., “Refusal in Language Models Is Mediated by a Single Direction” (arXiv:2406.11717) ที่มีอยู่จริง

แต่บรรทัด further reading เขียนว่า “FailSpy’s original abliteration writeup” แล้วลิงก์ไปที่ huggingface.co/blog/mlabonne/abliteration ซึ่งเป็นบทความ “Uncensor any LLM with abliteration” ของ mlabonne (Maxime Labonne) คนละคนกับ FailSpy ที่เป็นผู้ทำ implementation ยุคแรก — เป็นรายละเอียดเล็ก ๆ แต่บอกอะไรบางอย่างเกี่ยวกับความละเอียดของเอกสารที่ใช้ขายของด้านความปลอดภัย

มุมมอง AI Curator

เรื่องนี้ไม่ใช่ “มีคน jailbreak โมเดล” ซึ่งเกิดทุกวัน แต่คือ การที่ชั้น safety ของโมเดล open-weight ถูกแปลงเป็นสินค้าที่มีใบกำกับภาษี และสิ่งที่ทำให้มันเป็นไปได้ไม่ใช่ช่องโหว่ทางเทคนิค — มันคือไลเซนส์ที่แล็บเขียนเอง

ผมอยากให้อ่านไลเซนส์ของ GLM-5.3 อีกรอบด้วยสายตาแบบนี้: Z.AI เขียนเงื่อนไข MaaS ไว้เพื่อกันไม่ให้ ยักษ์ใหญ่ เอาโมเดลไปทำธุรกิจแข่งโดยไม่ผ่านการตรวจ (เพดาน $10B) แต่ไม่ได้เขียนอะไรเลยเกี่ยวกับการ ดัดแปลงพฤติกรรมด้าน safety ผลคือบริษัทเล็กที่ถอด guardrail ออกแล้วขายต่อ อยู่นอกขอบเขตที่ไลเซนส์ตั้งใจคุมโดยสมบูรณ์ นี่คือบทเรียนสำหรับทุกแล็บที่กำลังจะปล่อย weight: เงื่อนไขที่ผูกกับรายได้คุมคู่แข่ง ไม่ได้คุมการใช้งาน ถ้าอยากคุมอย่างหลังต้องเขียนแยกอีกข้อ และต้องยอมรับว่ามันบังคับได้ยากมากเมื่อ weight ออกจากมือไปแล้ว

ประเด็นที่สองสำหรับคนที่กำลังจะเสียเงิน: ตัวเลขของบริษัทเองบอกว่าสิ่งที่คุณซื้อ ไม่ใช่ความสามารถที่มากกว่า มันแพ้ทั้ง CyberGym, Terminal-Bench 4.0 และ ExploitGym ให้กับโมเดลที่ guardrail ยังอยู่ครบ สิ่งที่คุณซื้อคือ “มันจะไม่ปฏิเสธ” ซึ่งมีค่าจริงถ้าคุณเป็นทีม red team ที่เจอโมเดลปฏิเสธงานที่ได้รับอนุญาตแล้วจนทำงานไม่ได้ แต่ต้องแยกให้ออกจากคำว่า “เก่งกว่า” และต้องตั้งข้อสังเกตว่าไม่มีใครเผยแพร่ตัวเลข GLM-5.3 ก่อน-หลัง abliteration เลย ทั้งที่งานวิจัยด้านนี้ชี้ตรงกันว่าการแทรกแซง activation subspace มีต้นทุนด้านคุณภาพเสมอ

สำหรับบริบทไทยและอาเซียน มีสองอย่างที่ควรคิดต่อ หนึ่ง — ทีมความมั่นคงไซเบอร์ในไทยที่กำลังมองหาโมเดลสำหรับงาน pentest ที่ได้รับอนุญาต ควรถามตัวเองก่อนว่าปัญหาจริงคือ “โมเดลปฏิเสธ” หรือ “เรายังไม่ได้ทำสัญญากับผู้ให้บริการที่รองรับ use case นี้” เพราะผู้ให้บริการรายใหญ่มีเส้นทางสำหรับงาน security ที่ได้รับอนุญาตอยู่แล้ว และการส่ง prompt งานความมั่นคงของลูกค้าไปยัง API ของสตาร์ตอัปที่ KYC แทบไม่มีอะไร โดยที่ zero data retention เป็นเพียงคำสัญญาบนหน้าเว็บ เป็นความเสี่ยงด้าน supply chain ที่ต้องชั่งน้ำหนักกันจริง ๆ ไม่ใช่เรื่องรอง

สอง — และนี่คือประเด็นระยะยาวที่สำคัญกว่า ผู้กำกับดูแลในภูมิภาคที่กำลังร่างกฎเกี่ยวกับ AI มักออกแบบโดยตั้งสมมติฐานว่า “โมเดลมี guardrail มาจากโรงงาน” กรณีนี้แสดงให้เห็นว่าสมมติฐานนั้นใช้ไม่ได้กับโมเดล open-weight เลย และการที่ GLM-5.3 เป็นโมเดลจากจีนที่ถูกสตาร์ตอัปอเมริกันเอาไปถอด guardrail แล้วขายให้ลูกค้ายุโรป ก็ทำให้คำถามว่า “ใครควรรับผิดชอบ” ตอบยากขึ้นไปอีกชั้น เพราะไม่มีเขตอำนาจศาลไหนถือทั้งสามท่อนไว้พร้อมกัน จุดที่บังคับได้จริงจึงมีอยู่จุดเดียว: องค์กรที่เลือกผู้ให้บริการ — ซึ่งแปลว่านโยบายจัดซื้อ AI ขององค์กรไทยจะกลายเป็นด่านคุมที่สำคัญกว่ากฎหมายในระยะสั้น

แหล่งข่าว

• Abliteration.ai is making a business out of removing AI guardrails — TechCrunch (3 ก.ย. 2026)
• Introducing abliterated-model-large-v2 — Abliteration AI blog (29 ส.ค. 2026)
• GLM-5.3 LICENSE — Hugging Face (zai-org/GLM-5.3)
• Refusal in Language Models Is Mediated by a Single Direction — Arditi et al., arXiv:2406.11717
• CyberGym: Evaluating AI Agents’ Real-World Cybersecurity Capabilities at Scale — arXiv:2506.02548