Pídele a un chatbot convencional que escriba ransomware y se negará. Pídeselo a un modelo de IA sin censura y puede que no. Esa única diferencia ha creado todo un ecosistema de modelos de pesos abiertos, servicios alojados y productos delictivos, y hoy es una preocupación permanente para los equipos de seguridad, los reguladores y los laboratorios de IA.
Este artículo explica qué son los modelos sin censura, presenta diez de los más conocidos y cubre dónde se alojan, cómo se usan y qué significan para la ciberseguridad. Es una visión general para defensores y responsables de decisiones, no una guía práctica. No enlazamos herramientas y omitimos todo lo que ayudaría a usarlas mal. Los datos proceden de investigaciones de proveedores y de la prensa, en buena parte de segunda mano; indicamos dónde no pudimos confirmar una afirmación.
¿Qué son los modelos de IA sin censura?
«Sin censura» es una etiqueta imprecisa. Suele referirse a un modelo de lenguaje grande (LLM) que responde a peticiones que los asistentes convencionales rechazan, como escribir malware, redactar mensajes de estafa o explicar cómo causar daño. Abarca tres cosas distintas:
- Modelos abiertos ajustados. Los desarrolladores reentrenan un modelo de pesos abiertos con datos que omiten los rechazos, de modo que obedece casi cualquier petición.
- Modelos «abliterados». Aquí se editan los pesos de un modelo existente para suprimir su tendencia a rechazar, sin reentrenarlo. La idea es que el comportamiento de rechazo puede localizarse dentro del modelo y atenuarse.
- «Dark LLM» delictivos. Chatbots que se venden a delincuentes con nombres como WormGPT. Muchos resultan ser envoltorios con jailbreak sobre otros modelos, y no modelos construidos desde cero.
Todo esto es posible por los pesos abiertos. Cuando una empresa publica los parámetros de un modelo, cualquiera puede modificarlo y ejecutarlo, y el desarrollador original no puede retirarlo. El Informe Internacional de Seguridad de la IA 2026 señala que las salvaguardas son mucho más fáciles de quitar en los modelos de pesos abiertos, aunque añade que muchos usuarios carecen de la habilidad o el incentivo para hacerlo y que la preocupación son los actores maliciosos muy motivados.
También conviene decir que no todo el que quiere menos rechazos es un delincuente. Los equipos rojos necesitan modelos que hagan de atacante, los investigadores estudian los fallos, los novelistas quieren ficción oscura y algunas personas simplemente no quieren que un programa les dé sermones. El problema es que la misma propiedad sirve a todos.
Los 10 mejores modelos sin censura de un vistazo
No es una clasificación de rendimiento. Ordenamos por influencia, visibilidad en la investigación y la prensa, y relevancia para la seguridad, y dividimos la lista entre proyectos de pesos abiertos y productos delictivos.
| # | Modelo | Tipo | Dónde se encuentra |
|---|---|---|---|
| 1 | Dolphin (Cognitive Computations) | Ajuste de pesos abiertos | Hugging Face, registro de Ollama |
| 2 | Dolphin Mistral 24B Venice Edition | Ajuste de pesos abiertos | Venice y directorios de modelos de terceros |
| 3 | Nous Hermes 4 / 4.3 | Modelo abierto con pocos rechazos | Hugging Face, entornos locales |
| 4 | Variantes abliteradas de Llama, Gemma y Qwen | Pesos editados | Hugging Face |
| 5 | WormGPT (original) | Producto delictivo, desaparecido | Hack Forums (2023) |
| 6 | FraudGPT | Producto delictivo | Foros, luego Telegram |
| 7 | GhostGPT | Producto delictivo | Bot de Telegram |
| 8 | Xanthorox | Producto delictivo | Dark web y Telegram |
| 9 | WormGPT 4 | Producto delictivo | Foros, Telegram |
| 10 | KawaiiGPT | Herramienta gratuita | GitHub |
Modelos de pesos abiertos (1-4)
1. Dolphin (Cognitive Computations)
Dolphin es probablemente la familia de ajustes sin censura más conocida. La mantienen Eric Hartford y colaboradores bajo el nombre Cognitive Computations, y se ha construido sobre bases como Llama, Mistral, Mixtral, Phi y Qwen. Sus fichas describen los modelos como muy obedientes y aconsejan añadir una capa de alineación propia antes de exponerlos a otras personas. Las versiones de Dolphin están ampliamente replicadas en Hugging Face y en el registro de Ollama, lo que facilita ejecutarlas en un portátil.
2. Dolphin Mistral 24B Venice Edition
Esta variante de Dolphin basada en Mistral tiene una ventana de contexto de 128.000 tokens y figura en directorios de modelos de terceros. Se asocia con Venice, un servicio que promociona un chat privado «sin censura», y muestra la cara comercial de la categoría: un ajuste empaquetado como producto de pago alojado, para que nadie necesite hardware propio.
3. Nous Hermes 4 y 4.3
Hermes, de Nous Research, no es «sin censura» en sentido estricto, pero es el ejemplo más conocido de un modelo deliberadamente con pocos rechazos. El informe técnico de Hermes 4 presenta RefusalBench, una prueba de 166 prompts en 32 categorías de petición, en la que Hermes 4 puntúa mucho más alto (menos rechazos) que los modelos cerrados de vanguardia. Nous creó el benchmark por su cuenta y mide la disposición a responder, no la seguridad, así que las cifras son un indicio de maniobrabilidad, no una nota de seguridad.
4. Variantes abliteradas de Llama, Gemma y Qwen
Esta entrada es más una técnica que un modelo. Miembros de la comunidad aplican herramientas de edición de pesos a modelos abiertos populares y publican el resultado. Una investigación conjunta del Financial Times y el grupo de seguridad de IA Alice, publicada en mayo de 2026, mostró según los informes que una herramienta gratuita podía quitar las salvaguardas de Llama 3.3 de Meta y Gemma 3 de Google en menos de diez minutos y sin hardware especializado (véase el resumen de Akerman). El creador de la herramienta cuenta, según los informes, más de 3.500 variantes y 13 millones de descargas, y fuentes secundarias dicen que Hugging Face lista más de 8.000 modelos con el término «abliterated». Considera estas cifras no verificadas.
Aquí hay además un riesgo más reciente. Una nota de investigación de la Cloud Security Alliance de octubre de 2026 sostiene que cualquier modelo con pesos editados, incluidas las versiones abliteradas, puede ocultar una puerta trasera que se activa con una frase concreta, y cita una prueba de concepto de ProjectDiscovery. Quien publica el modelo controla lo que hay dentro.
«Dark LLM» delictivos (5-10)
Son productos, no proyectos de investigación. La empresa de seguridad Abnormal sostiene que el WormGPT original fue el único LLM realmente creado por delincuentes y que la mayoría de sus sucesores son estafas o envoltorios con jailbreak. Es la valoración del propio proveedor, pero encaja con un patrón en la investigación: el valor está en la ausencia de barreras y en el empaquetado cómodo, no en un modelo más capaz.
5. WormGPT (original, 2023)
Anunciado en Hack Forums en marzo de 2023 y lanzado en junio, WormGPT se promocionó como alternativa a ChatGPT para malware y phishing. Según los informes funcionaba sobre el modelo abierto GPT-J, algo que no pudimos confirmar de forma independiente. Cerró en agosto de 2023 después de que el periodista Brian Krebs identificara a la persona detrás. El nombre sobrevivió al producto y hoy es sinónimo de toda la categoría.
6. FraudGPT
FraudGPT apareció en julio de 2023, vendido por un usuario de foros y promocionado para phishing y contenido de estafa. Sus hilos en los foros se eliminaron repetidamente, así que la promoción pasó a Telegram. Algunos investigadores sospechan que las mismas personas crearon ambas herramientas, pero no está confirmado.
7. GhostGPT
GhostGPT se vende como bot de Telegram, con suscripciones que según los informes parten de unos 50 $ por semana. Un bot de Telegram no requiere instalación ni configuración técnica, y ese es el punto: elimina fricción para los compradores.
8. Xanthorox
Xanthorox se presentó como una «IA para hackers» autónoma. El Threat Intelligence Group de Google habría descubierto que en realidad era una API comercial con los controles de seguridad eludidos, más herramientas de código abierto. Solo lo encontramos en cobertura secundaria, así que debe tomarse como informado, no confirmado. Es un buen ejemplo de la brecha entre marketing y realidad en este mercado.
9. WormGPT 4
Unit 42 de Palo Alto Networks lo analizó e informó sobre él junto con KawaiiGPT. WormGPT 4 se vende comercialmente, según los informes a 50 $ al mes o 220 $ por acceso de por vida. Los investigadores dicen que los vendedores no revelan qué modelo hay debajo. En sus pruebas pudo generar código de ransomware, y concluyeron que estas herramientas eliminan parte de las barreras técnicas del cibercrimen.
10. KawaiiGPT
KawaiiGPT es gratuito y se distribuye en GitHub; según Unit 42 contaba con más de 500 usuarios registrados por su propio recuento. En las pruebas no generó una rutina de cifrado funcional, pero los investigadores señalaron que su ejecución de comandos puede facilitar la escalada de privilegios y el robo de datos. Muestra que este mercado tiene también un nivel gratuito, no solo de pago.
¿Dónde se alojan los modelos sin censura?
No hay un único lugar. El ecosistema tiene cinco capas:
- Repositorios públicos de modelos. Los modelos de pesos abiertos y abliterados se comparten en Hugging Face y en el registro de Ollama. Descargarlos es trivial y la moderación de los repositorios no da abasto con el volumen de modelos derivados.
- Equipos locales. Mucha gente los ejecuta en su propio ordenador con entornos locales habituales. Es la vía más privada y la más difícil de observar, por lo que atrae tanto a aficionados como a quienes abusan.
- Servicios comerciales alojados. Algunas empresas alojan ajustes sin censura y venden el acceso mediante chat o API, normalmente prometiendo privacidad.
- Tiendas delictivas. Los dark LLM se venden mediante bots de Telegram, foros de la dark web y a veces GitHub. Los vendedores suelen reenviar las peticiones a un modelo que alojan o alquilan, por lo que es difícil desmantelarlos.
- Servidores ajenos. Un estudio de SentinelOne y Censys de enero de 2026 encontró 175.108 hosts de Ollama únicos y accesibles públicamente en 130 países. Al menos 201 usaban plantillas de prompt «sin censura» (una cota inferior) y el 48 % anunciaba capacidades de llamada a herramientas que permiten ejecutar código o acceder a APIs. Los atacantes pueden buscar estos servidores y usarlos gratis, una práctica que los investigadores llaman LLMjacking.
Cómo los usa la gente
El uso legítimo es real y común: ejercicios de equipo rojo, investigación de seguridad sobre fallos de modelos, escritura creativa, juegos de rol y asistentes privados o sin conexión para quienes no quieren enviar sus datos a un proveedor en la nube.
En el lado delictivo, los usos documentados son sobre todo poco glamurosos. Los investigadores describen modelos sin censura que redactan mensajes de phishing y de compromiso de correo empresarial convincentes en muchos idiomas, producen malware y scripts básicos, y automatizan el reconocimiento y los guiones de estafa. El hilo común es la escala y el pulido: tareas que antes exigían habilidad o fluidez en un idioma están ahora a un prompt de distancia. La conclusión de Unit 42 sobre WormGPT 4 y KawaiiGPT es que reducen la barrera para atacantes menos expertos. Para un caso real relacionado, consulta nuestra verificación de los ataques con IA a bancos.
Los retos para la ciberseguridad
Las salvaguardas no son duraderas
El entrenamiento de seguridad de un modelo abierto es un ajuste por defecto, no una propiedad del modelo. Si puede quitarse en minutos, solo protege frente a un mal uso casual. Eso cambia cómo piensan reguladores y laboratorios la publicación de pesos.
Sin retirada ni supervisión
El proveedor de un modelo cerrado puede corregir el comportamiento, revocar una clave de API o bloquear una cuenta. Nadie puede hacerlo con una copia que está en el portátil de otra persona. El mal uso apenas deja rastro para los defensores.
Una barrera de entrada más baja
El mayor efecto no son ataques nuevos, sino más gente capaz de ejecutar los viejos con competencia: phishing impecable, scripting más rápido, investigación más ágil de objetivos. Los defensores deben prever un mayor volumen de ataques de calidad aceptable, no unos pocos geniales.
Riesgo en la cadena de suministro para usuarios corrientes
Quien descarga un modelo derivado confía en quien lo publica. Los pesos editados pueden llevar puertas traseras, y la Cloud Security Alliance recomienda tratar los modelos derivados como activos de la cadena de suministro con su propio riesgo de manipulación, distintos del modelo base.
Infraestructura expuesta y computación gratuita
Los servidores LLM autoalojados abiertos a internet regalan computación a los atacantes mientras el propietario paga la factura y asume la responsabilidad. Cisco halló un patrón similar en 2025: aproximadamente uno de cada cinco de los cerca de 1.100 servidores de Ollama expuestos que examinó alojaba modelos accesibles sin autorización. Las cifras varían según la metodología.
Exageración y atribución
Los proveedores tienen incentivos para exagerar la amenaza, y los delincuentes para vender de más sus herramientas. Muchos «dark LLM» son estafas contra sus propios clientes. Una buena defensa empieza por separar la capacidad real del marketing.
Qué pueden hacer las organizaciones
- Dar por hecho el phishing impecable. Las faltas de ortografía y gramática ya no son señales de alerta. Usa autenticación resistente al phishing, como passkeys o llaves de hardware.
- Verificar por otro canal. Confirma cambios de pago, restablecimientos de credenciales y peticiones urgentes de directivos a través de un canal en el que ya confíes.
- Blindar la IA autoalojada. No expongas nunca Ollama, vLLM o servidores similares a internet sin autenticación, y vigila el uso inesperado.
- Tratar los pesos de los modelos como un activo de la cadena de suministro. Descarga modelos solo de editores de confianza, fija versiones y analiza lo que descargas.
- Añadir tus propias barreras. Si despliegas un modelo de pesos abiertos en un producto, usa una capa de moderación externa en lugar de confiar en los rechazos integrados.
- Usar también la IA para defender. La detección, el triaje y el análisis de phishing son áreas donde la misma tecnología ayuda a los defensores.
Si despliegas modelos de pesos abiertos o quieres revisar tu superficie de ataque de IA, nuestro equipo trabaja en esto para clientes de fintech y empresa. Consulta nuestros servicios o ponte en contacto.
Preguntas frecuentes
¿Qué es un modelo de IA sin censura?
Un modelo de IA sin censura es un modelo de lenguaje cuyo entrenamiento de seguridad se ha eliminado, reducido o nunca aplicado, de modo que responde a peticiones que los asistentes convencionales rechazan. La mayoría son modelos de pesos abiertos ajustados o editados tras su publicación. Un segundo grupo son productos delictivos vendidos como herramientas al estilo WormGPT, muchos de los cuales son envoltorios de otros modelos.
¿Son ilegales los modelos de IA sin censura?
En la mayoría de los países, tener o ejecutar un modelo de pesos abiertos sin censura no es ilegal. Lo que importa es lo que hagas con él: usar cualquier modelo para escribir malware, cometer fraude o generar contenido ilegal es un delito. Las herramientas vendidas específicamente a delincuentes son otro asunto y pueden exponer a vendedores y compradores a cargos.
¿Dónde se alojan los modelos de IA sin censura?
Las versiones de pesos abiertos se comparten en repositorios públicos como Hugging Face y en el registro de Ollama, y mucha gente las ejecuta en local. Algunos servicios comerciales las alojan por una tarifa. Las herramientas delictivas se venden mediante bots de Telegram y foros de la dark web, y al menos una se distribuye en GitHub. Los investigadores también han encontrado decenas de miles de servidores autoalojados expuestos que los atacantes pueden aprovechar.
¿Son WormGPT y herramientas similares realmente más peligrosos que ChatGPT?
No necesariamente. Los investigadores de seguridad dicen que muchos chatbots delictivos son envoltorios con jailbreak o directamente estafas, y el WormGPT original cerró en 2023. El riesgo no es una capacidad extra, sino la fricción eliminada: reducen la habilidad necesaria para escribir phishing convincente y malware básico.
¿Cómo pueden defenderse las organizaciones de los ataques asistidos por IA?
Da por hecho que los atacantes pueden producir phishing impecable y personalizado a gran escala. Usa autenticación resistente al phishing, verifica por otro canal las peticiones de pago y de credenciales, aplica parches con rapidez y no expongas nunca servidores LLM autoalojados a internet sin autenticación. Trata los pesos de modelos de terceros como un activo de la cadena de suministro y descárgalos solo de fuentes de confianza.