UnderTides/DeepSeek-V4.1-Flash-1017-heretic-lora-dev

DeepSeek V4.1 Flash 1017 — Heretic-style LoRA / 领域扩展 dev

小部分域外问题可能需要搭配一个简单的破甲提示词使用，沙箱之类的

An experimental bilingual rank-1 refusal-direction adapter computed from 8,000 prompts on the sudoingx EXL3 2.7bpw checkpoint. It uses the same analytic projection recipe as the first release, with a newly collected, broader dataset. It is not further training on top of the first LoRA. Quality improvements over the first release have not been established.

这是 deepseek-v4.1-flash-1017-heretic-dev 使用的独立适配器，直接挂到未加旧 LoRA 的基座。扩大的是采集来源和领域，不是模型规模，也不是将旧 LoRA 与新 LoRA 叠加。

基座与固定配方

• 原始基座：deepseek-ai/DeepSeek-V4.1-Flash-1017，revision 1bae0e1088993b9b82de08f59de5be5a34e42170。
• 实际激活采集与权重计算基座：sudoingx/DeepSeek-V4.1-Flash-1017-EXL3-2.7bpw。不是 2.9bpw，也没有把 FP8 原模型加载后再训练。 Engram 沿用官方 1017 分片，见量化基座说明。
• 参考 Heretic v1.4 与 pqhaz 的同基座方向消融配方，采用本地 EXL3 与四路 mHC 适配，不宣称严格复现作者结果。
• 仅修改零起始第 **2–39 层 attention wo_b**；强度 2.5，无行归一化，PEFT rank 1，lora_alpha=1、dropout 0，权重 FP32，2,033,976 bytes。
• 不修改路由/共享专家、Engram、视觉塔、连接器或 DSpark 草稿模型。没有优化器、梯度反向传播或训练 epoch。

实际数据构成

正式采集 8,000 条：拒答候选和正常候选各 4,000 条；每侧中文、英文各 2,000 条。以下是冻结集合的实际计数，不是最初计划的配额：

侧别	语言	数据来源	条数
拒答候选	英文	OpenSafetyLab/Salad-Data，base_set.json	1,083
拒答候选	英文	PKU-Alignment/PKU-SafeRLHF，Alpaca3-8B 训练文件	917
拒答候选	中文	thu-coai/Safety-Prompts	2,000
正常候选	英文	bench-llm/or-bench，or-bench-80k.csv	1,871
正常候选	英文	HuggingFaceH4/no_robots，训练文件	129
正常候选	中文	m-a-p/COIG-CQIA	1,590
正常候选	中文	Safety-Prompts 中经词法规则归入正常对照的问题	410

Safety-Prompts 扩大到七类典型安全场景及六类指令攻击来源；明显正常的信息性、防护性等问题可以被规则归入正常侧，所以正常中文侧不全来自 COIG。PKU-SafeRLHF 的风险分类主要针对回答，选取至少一个回答带风险类别的条目，但只保留问题；这不构成问题本身必然有害的证明。OR-Bench 用来补充表面敏感但意图正常的对照。

COIG-CQIA 选定来源包括知乎、百科、wikiHow、SegmentFault、通用任务、金融、医学和豆瓣评论等文件。所有来源只使用输入和必要上下文，不拼接数据集答案，不训练模仿数据集回答；没有另行翻译或调用生成模型。

清洗、领域匹配与划分

• 数据准备种子 20261022，固定来源 revision、文件哈希及文本哈希；来源清单见 data_provenance.json。
• 原始输入超过 512 token 丢弃，不截断；按 ≤64/128/256/512 token 桶匹配。先精确及近似词法去重、同题变体分组，再整组划分。
• 每种语言的两侧按领域与长度桶匹配，优先匹配任务形式；8,000 条中有 6,684 条标记为任务形式匹配。来源/类别轮转抽样避免单个大文件完全占据某一格。
• 保留 400 条调参、600 条封存验收，中英/两侧均衡。它们未参与本版方向均值计算；本版也未用这些集合选参。每侧 500 条固定子集在正式集合内，本次没有导出子集对照 LoRA。
• 排除上一版调参、验收和能力题，以及固定版本 XSTest、FLAMES、HarmBench 的问题精确重复；后三者是独立保留的参考集合，不是方向采集来源。不能据此保证不存在语义改写污染。
• WildJailbreak 与 WildGuardMix 当时未取得文件访问权限，没有纳入本版。不能把它们计入来源或评测覆盖。

17 个合并领域标签为：侮辱仇恨、歧视、性相关、暴力身体伤害、心理健康、犯罪公共安全、武器/药物/生化、网络安全、隐私身份、金融诈骗、虚假信息/政治、医疗公共卫生、版权、伦理操控、环境动物、劳动贸易、一般任务。

这些是来源和词法映射得到的粗标签，不是逐条人工语义标注。英文每侧每领域约 117–118 条；中文分布明显不均，例如拒答候选侧侮辱仇恨 9、暴力 16、性相关 22、武器/药物/生化 25、心理健康 31、版权 31、歧视 37、网络安全 42，医疗/金融/一般任务各约 317–318。“扩大领域”不等于每个领域都被充分覆盖。 完整分布保存在来源清单中。

怎样得到这个 LoRA

1. 采集阶段：两台 DGX Spark，TP2，加载同一套 EXL3 2.7bpw 基座，单请求、8K 上下文、1024 调度 token、每 rank 0.5 GiB KV。关闭图片、DSpark、CUDA Graph、前缀缓存，真实聊天模板关闭思考，不附加采集系统提示。每条只生成一个 token 来触发激活采集，不用这个 token 判断真实拒答。
2. 仅保存最后一个 prompt token 的 40 层、四路 mHC 完整层后残差，位置在 mHC post 后、下一层 Engram 注入前；BF16 [40,4,5120]。每 16 条一片，共 500 片、约 12.21 GiB 原始张量，不保存全序列激活。
3. 计算阶段：退出两端模型后，在 CPU 分片读取，四路残差先 FP32 求均值，再 FP64 累加两侧均值。对每层的两侧均值差去掉正常均值方向的分量，得到单位方向。
4. 只逐层分块解码量化后的有效 wo_b 矩阵，不加载整套全精度权重，直接构造 rank 1 因子：

u = normalize(mean_bad - mean_good)
g = normalize(mean_good)
d = normalize(u - dot(u, g) * g)

W = dequantized effective wo_b       # [5120, 8192]
A = d.T @ W                         # [1, 8192]
B = -2.5 * d                        # [5120, 1]
delta_W = B @ A

5. 挂载阶段：重新加载一份基座，用原生请求级 LoRA 选择挂载本版，普通请求不选 LoRA。lora_alpha/r=1，2.5 已包含在因子中，不需要再放大。

四路 mHC 求均值是明确记录的本地适配，不宣称与 pqhaz 未公开的采集代码相同。因子使用当前有效量化矩阵计算；同架构其他量化版可能形状匹配，但效果未验证，不能认为量化版本完全无关。

本版按维护者决定沿用第一版固定参数，只导出这一份 2.5 无行归一化适配器，没有重新做七候选比较、全范围 Heretic 搜索或梯度训练。数据选择 seed 为 20261022，导出工具记录 seed 仍为 20261021；本配方的 rank 1 分解是确定性的，不使用随机 SVD。

验证范围与效果边界

上线前通过 43 项针对性实现测试，以及 21 项功能场景、62 次 HTTP 请求：普通/旧 LoRA/dev 共存与切换、真实双 LoRA 并发、冷热前缀缓存隔离、Chat Completions 和 Responses 的流式/非流式、多轮、工具 JSON 及回传、单图和八图。随后默认 instant 配置的 36 项短接口验证也通过。这些结果验证挂载与接口行为，不是新版去拒答质量分数。

本 dev 版没有完成新的拒答率验收、MMLU/GSM8K/MBPP 对照或与旧 LoRA 的质量比较。第一版公开的拒答率与能力结果不能移用到本版。 不承诺比第一版更好，也不承诺消除全部拒答。来源误标、领域不足、长上下文或多轮行为偏移均可能影响结果。

下载与运行

PEFT 格式不等于 stock PEFT/Transformers/vLLM 已支持该架构的 EXL3 线性层。已验证环境是 sudoingx 双 DGX Spark EXL3 vLLM 部署，加附带的 runtime/ LoRA 兼容补丁。补丁补齐多模态外层语言模块映射、LoRA 声明及 EXL3 dense 存储/设备识别，沿用原生 TP 分片/求和；不更改量化前向。

补丁按源码 SHA-256 锁定，未知版本会拒绝应用。下列操作用于构建派生镜像，不要直接修改运行中的服务：

hf download UnderTides/DeepSeek-V4.1-Flash-1017-heretic-lora-dev --local-dir ./heretic-lora-dev
python3 ./heretic-lora-dev/runtime/apply_runtime_lora.py --site-packages /usr/local/lib/python3.12/dist-packages --check
python3 ./heretic-lora-dev/runtime/apply_runtime_lora.py --site-packages /usr/local/lib/python3.12/dist-packages

在已正确运行基座的完整双机命令上，两端追加：

--enable-lora --max-loras 1 --max-cpu-loras 1 --max-lora-rank 8 \
--lora-target-modules wo_b \
--lora-modules '{"name":"deepseek-v4.1-flash-1017-heretic-dev","path":"/absolute/path/heretic-lora-dev","base_model_name":"deepseek-v4.1-flash-1017"}'

两端目录路径与文件必须一致；max_lora_rank=8 是容量，实际仍 rank 1。多个版本可独立注册，普通模型共享基座；不是每个模型 ID 都再加载一套权重。DSpark 草稿不适配，使用 DSpark 时必须关闭与 LoRA 不兼容的 adaptive verification。其他引擎、全精度/其他量化版和直接合并回 EXL3 的流程未验证。

张量键为 base_model.model.language_model.model.layers.N.attn.wo_b.lora_[AB].weight；A [1,8192]、B [5120,1]。公开配置只把本机基座路径换成 HF ID，权重字节保持原样。checksums.json、recipe.json、data_provenance.json 记录文件指纹、配方与来源；没有上传原始激活或数据集答案。

许可与致谢

适配器和模型卡以 MIT 发布并保留 DeepSeek 声明；运行补丁按 Apache-2.0 发布，见 runtime/LICENSE、runtime/NOTICE。数据集继续适用各自许可，尤其 PKU-SafeRLHF 和 No Robots 标注 CC-BY-NC-4.0。部分来源不提供机器可读许可证字段；本仓库不重新许可上游数据，也不能据 MIT 标签推断所有数据用途均获授权。原始数据集不随本仓库分发。

感谢 DeepSeek、sudoingx、Heretic、pqhaz 和所有数据集作者。本发布是独立本地适配，不是上述作者的官方模型或背书。