DeepSeek-V4.1-Flash 검열 해제 버전 공개 — 가중치 수준 abliteration으로 안전장치를 제거한 FP8 체크포인트

본문

dealignai 연구팀이 DeepSeek-V4.1-Flash의 안전 가드레일을 가중치 수준에서 '외과적으로' 제거한 수정 체크포인트를 Hugging Face에 공개했습니다. 커스텀 model.py나 런타임 훅, steering vector 없이 베이스 모델과 동일하게 로드되는 표준 체크포인트라는 점이 이 릴리스의 핵심 주장입니다.

모델 스펙과 abliteration 방식

베이스는 deepseek-ai/DeepSeek-V4.1-Flash로, 552B 백본에 토큰당 8B/16B가 활성화되는 MoE 구조입니다. 아키텍처는 Causal Encoder-Decoder(20+20 레이어), 384개 routed expert 중 top-6 라우팅 + 1개 shared expert, Hyper-Connections(4채널 residual), CSA2 sparse attention, Engram n-gram 메모리, DSpark speculative draft head로 구성됩니다. 양자화는 FP8(e4m3fn) 가중치에 E8M0 블록 스케일 [32,32], routed expert는 FP4이며 네이티브 상태 그대로 유지됩니다. 컨텍스트는 1M 토큰이고 DeepSeek-ViT 비전 타워도 손대지 않았습니다.

팀의 설명에 따르면 거부 회로만 제거하고 능력 핵심 구성요소 — routed expert, Engram 메모리, CSA2 attention, DSpark draft head, 비전 타워, router gate, norm, embedding — 는 베이스와 바이트 단위로 동일하게 보존됩니다.

HarmBench 평가: ASR 100%

모든 응답을 HARD_REF / SOFT_RED / HEDGE / COMPLY 4단계로 분류해 평가했습니다. HB-320 기준 베이스 모델은 reasoning effort=off에서 ASR 42.81%(137/320), effort=max에서는 오히려 1.56%(5/320)로 하락합니다 — 추론 과정에서 안전 우려가 먼저 표면화되기 때문이라는 분석입니다. 반면 CRACK 빌드는 두 effort 수준 모두에서 320/320 = 100%를 기록했고, HARD_REF·SOFT_RED·HEDGE는 0건이었습니다. 카테고리별로도 chemical_biological, cybercrime_intrusion, illegal, misinformation 등 HarmBench 7개 전 범주에서 100% ASR을 유지합니다.

능력 보존: MMLU -1.1pp(윤리 클러스터 제외)

MMLU 14,042문항 기준 전체 정확도는 베이스 86.96% → CRACK 82.74%로 -4.22pp 하락합니다. 다만 moral_scenarios(-39.89pp), professional_law, jurisprudence, philosophy 등 거부 인접 행동이 채점에 영향을 주는 윤리 클러스터를 제외한 약 11,000문항에서는 -1.1pp로, 팀이 제시한 지식 보존 목표 3pp 이내에 들어갑니다. 57개 과목 중 college mathematics(+5.0pp) 등 오히려 상승한 과목도 있습니다.

추가 검증으로 1,000토큰 일관성 스트레스 테스트, 동일 유해 주제 4턴 대화(턴 4까지 거부 복귀 없음), 비전 경로(이미지 설명 + 이미지 기반 유해 프롬프트 거부 해제), 일반 능력 스팟 체크(√2 무리수 증명, Python 팰린드롬, 양자 개념 구분 등)를 통과했습니다.

서빙: sglang dsv4.1 브랜치 필요, 함정 다수

DeepseekV41ForCausalLM 지원은 아직 각 서빙 스택에 랜딩 중입니다(2026-09-10 기준). 현재 동작하는 경로는 sglang의 dsv4.1 브랜치(PR #38798)로, lmsysorg/sglang:dev-dsv41 프리뷰 Docker 이미지 또는 소스 빌드를 사용합니다. vLLM은 모델 정의가 main에 머지됐지만(PR #56228) registry에 아직 엔트리가 없고, 커널·프론트엔드·PP 경로는 umbrella PR #56214에서 진행 중입니다.

실무 함정이 상세히 정리돼 있습니다. (1) --ep-size 필수: moe_intermediate_size 2304를 TP4로 나누면 576이라 128 배수가 안 돼 plain TP가 실패하며, expert index로 샤딩하는 EP가 필요합니다(TP8에서는 생략 가능). (2) ninja가 PATH에 없으면 가중치 로드 중 JIT 커널 빌드가 크래시합니다. (3) 이 모델은 chat template이 없어 --reasoning-parser auto가 조용히 아무것도 선택하지 않아 <think> 태그가 content로 새어 나옵니다 — deepseek-v41을 명시해야 합니다. (4) reasoning_effort 기본값을 env로만 주면 파서 분기가 안 타서 추론 토큰이 delta.content에 섞이므로, 요청마다 reasoning_effort를 보내거나 앞단에 주입용 리버스 프록시(약 60줄 aiohttp 사이드카)를 두라고 권장합니다. (5) DSpark draft head는 체크포인트 내장(num_nextn_predict_layers=3)이라 별도 가중치 없이 --speculative-algorithm DSPARK로 켤 수 있습니다. (6) SGLANG_ENABLE_DSV41_ENGRAM_HOST_TABLE=1로 203GB Engram 테이블을 호스트 RAM으로 옮기면 GPU당 약 46GiB를 KV용으로 확보할 수 있습니다.

하드웨어와 성능

KV 캐시는 토큰당 890바이트라 1M 컨텍스트에서는 안전 동시 요청이 12개, 256k는 80개, 64k 이하는 320개 이상입니다. 반백만 토큰급 프롬프트 두 개가 동시에 들어오면 동시성 20에서도 OOM이 나므로 --max-running-requests 12, --chunked-prefill-size 4096으로 내리거나 컨텍스트를 줄이라고 안내합니다. 검증 환경은 4×H200 NVLink 머신(GPU당 76GB 로드, Engram host table 사용 시)이며, 콜드 스타트 약 28분, 단일 스트림 디코드 101 tok/s(DSpark + 프로파일된 SPS 테이블 적용 시 113 tok/s), 8-way 동시 집계 126 tok/s를 기록했습니다. 552B 가중치(약 510GB)는 4×H200 이상 NVLink 도메인이 필요하고 TP4 이하 서브 구성은 모델 형상상 동작하지 않습니다.

권장 설정과 책임 고지

샘플링은 베이스 카드와 동일하게 temperature 1.0, top_p 0.95를 권장하고, 이 빌드는 reasoning_effort 기본값이 max라 콘텐츠 시작 전 4,000~5,000자 이상의 추론이 나올 수 있으니 max_tokens를 넉넉히 잡으라고 합니다. 스트리밍 클라이언트는 delta.reasoning_content와 delta.content를 분리해 읽어야 합니다. 팀은 화학/생물, 사이버범죄, 무기, 자해, 사기, 허위정보 등 베이스가 거부하는 전 영역에서 실질적 답변을 생성한다고 명시하며 사용 책임을 사용자에게 둡니다.

원문: Hugging Face / 번역·요약: Trawling