Qwen 3.6 35B-A3B (Uncensored)

LLM Model Review

· Instruction-Tuned · Uncensored · Agentic Orchestrator

Mit einem Gesamtscore von 73.82% spielt Qwen 3.6 35B-A3B Uncensored HauhauCS Aggressive Q8_K_P nicht den wilden Außenseiter, den sein Name verspricht, sondern einen erstaunlich disziplinierten Allrounder mit scharfen Kanten. Der Speed-Profile-Badge Interactive DevOps Expert passt gut: Das Modell antwortet meist zügig, strukturiert und praxisnah, stolpert aber dort, wo Verlässlichkeit wichtiger ist als Eloquenz. Als Vision-Language-Modell in der Desktop-Klasse mit MoE-Architektur ist es ohnehin nur eingeschränkt mit reinen Sprachmodellen vergleichbar; entscheidend sind hier die 3 Milliarden aktiven Parameter, nicht die 35 Milliarden auf dem Karton. Sovereign Risk: HIGH — chinesische Weights-Provenienz, Community-Fine-Tune ohne offizielle Sicherheitsgarantien und Uncensored-Variante mit bewusst entfernten Schutzschichten.

Kopfnoten: Stabilität und Zuverlässigkeit

Die Kopfnoten sind wichtiger, als es der ordentliche Gesamtscore zunächst vermuten lässt. Ein einziges Timeout klingt harmlos. Bei einem lokalen Open-Weights-Modell dieser Klasse ist es aber ein Warnsignal für das Setup, nicht bloß für den Prompt. Wer unbeaufsichtigte Agentenläufe plant, braucht keine philosophische Debatte über Einzelfälle, sondern reproduzierbare Robustheit. Die gibt es hier nicht durchgehend.

Architektur und Charakter: mehr Werkzeugkasten als Rammbock

Die Metadaten Thinking-Optional, Multimodal, Uncensored beschreiben dieses Modell erstaunlich präzise. Thinking-Optional heißt in diesem Benchmark vor allem: Das erweiterte Nachdenken wurde nicht aktiviert. Bewertet wurde also das Standardverhalten, so wie ein normaler Nutzer das Modell ohne Spezialkonfiguration erlebt. Das ist fair. Es bedeutet aber auch, dass man die Reasoning-Leistung nicht mit einem permanent denkenden Spezialisten verwechseln darf.

Dazu kommt der zweite wichtige Rahmen: Vision-Language. Dieses Modell ist für Bild, Audio und Text gebaut, der Benchmark testet hier aber fast ausschließlich Textleistung. Das Ergebnis zeigt deshalb nur einen Ausschnitt seiner Fähigkeiten. Wer aus den Textwerten eine Gesamtaussage über die multimodale Qualität ableiten will, misst einem Schweizer Taschenmesser die Schärfe nur an der Schere.

Und dann die Architekturfrage. Qwen 3.6 35B-A3B Uncensored HauhauCS Aggressive Q8_K_P ist ein Mixture-of-Experts-Modell, also ein System, bei dem pro Token nur ein Teil der Gewichte aktiv ist. Praktisch relevant sind hier nicht 35 Milliarden Gesamtparameter, sondern rund 3 Milliarden aktive Parameter. Genau daran gemessen ist die Leistung beachtlich. Das Modell wirkt oft kompetenter, als seine aktive Kapazität vermuten lässt. Das ist die gute Nachricht. Die schlechte: Die Uncensored-Ausrichtung erweitert nicht automatisch die fachliche Präzision. Sie entfernt vor allem Leitplanken. Das ist für freie Content-Generierung ein Feature. Für faktenkritische Aufgaben ist es eine offene Flanke.

Geschwindigkeit: schnell genug, aber nicht immer gelassen

Auf dem lokalen Referenzsystem Apple Silicon M4, 24GB Unified Memory (Shared RAM/VRAM) erreicht das Modell laut Leaderboard 54.36 Tokens pro Sekunde. Für ein lokales Desktop-Modell mit multimodaler Anlage und MoE-Struktur ist das ein starkes Ergebnis, zumal die 24-GB-Grenze bei größeren Quantisierungen schnell zum praktischen Limit wird. Der Badge Interactive DevOps Expert bedeutet in diesem Kontext: Das Modell ist eher für direktes Arbeiten am Terminal, in Editoren und in iterativen Dialogen geeignet als für extrem kurze Echtzeit-Snippets oder schwere Batch-Läufe mit langem Tail.

Das Tempo an sich ist also nicht das Problem. Das Problem ist die Streuung. Ein Schnitt von gut 54 Tokens pro Sekunde liest sich angenehm. Eine P95-Antwortzeit von 79.44 Sekunden erzählt die wichtigere Geschichte: In fünf Prozent der Anfragen hängt der Nutzer so lange in der Luft, dass ein konzentrierter Arbeitsfluss schlicht aufreißt. Thinking-Optional-Modelle dürfen im Standardmodus intern mehr Verarbeitung betreiben als straffe Instruct-Modelle. Das erklärt einen Teil der Trägheit. Es entschuldigt sie nicht vollständig.

Positiv ist die Token-Ökonomie. Kein Modul überschreitet den erwarteten Verbosity-Rahmen. Das Modell verhält sich insgesamt token-ökonomisch. Es schwätzt nicht flächendeckend, sondern wird nur in einzelnen Bereichen länger als nötig, etwa bei Code Quality.

Code Quality und Security: brauchbar, aber mit gefährlichen blinden Flecken

Die nackte Teilwertung von 74.3 im Code-Quality-Bereich ist ordentlich, und die Protokolle zeigen auch warum. Das Modell liefert saubere Markdown-Tabellen, klare Struktur und verständliche Fix-Hinweise. Es erkennt zentrale Probleme wie SQL Injection, Klartext-Passwörter, XSS, Session-Fixation, schwache Token-Generierung und unsichere Cookies. Für eine erste Triage in Legacy-Code ist das nützlich. Nicht brillant. Aber nützlich.

Der Haken sitzt ausgerechnet dort, wo Security-Reviews nicht elegant, sondern vollständig sein müssen. Im vorliegenden Audit identifiziert das Modell 15 Schwachstellen, der Referenzstandard 19. Das ist keine akademische Differenz, sondern ein reales Risiko. Besonders schwer wiegt der verpasste IDOR-Befund im Profil-Update. Genau solche Lücken sind in echten Anwendungen der Stoff, aus dem Übernahmen gebaut werden. Ebenfalls nicht erkannt wurden fehlende CSRF-Absicherung, hartkodierte Secrets, Root-Datenbankzugang ohne Passwort, fehlende Token-Ablaufzeiten und ein Header-Ordering-Problem nach vorherigem Output.

Noch problematischer ist das zweite Muster: Das Modell stuft Schweregrade systematisch zu niedrig ein. Path Traversal als Medium statt Critical. Ein privilegierter Admin-Cookie als High statt Critical. Type-Juggling beim API-Schlüssel als High statt Critical. Das ist kein Schönheitsfehler. Wer Risiken konsequent zu weich einsortiert, produziert in der Praxis Priorisierungsfehler. Und Security scheitert oft nicht an fehlendem Wissen, sondern an falscher Reihenfolge.

Man sollte diese Schwäche allerdings sauber einordnen. Für ein uncensored Community-Fine-Tune ist Security-Audit nicht der natürliche Kernzweck. Solche Modelle werden eher wegen freierer Inhaltsausgabe eingesetzt als wegen maximal belastbarer AppSec-Analysen. Das macht die Lücken nicht gut. Es erklärt aber, warum man hier milder urteilen sollte als bei einem dedizierten Security- oder Coding-Spezialisten.

Reasoning und Logik: korrekt, gründlich, mit leichtem Hang zur Umständlichkeit

Im Reasoning landet das Modell bei 68.28. Das klingt nach Mittelmaß, die Detailprotokolle zeichnen aber ein freundlicheres Bild. In der klassischen Wächter-und-Türen-Aufgabe liegt die Antwort logisch richtig. Das Modell arbeitet sauber, erklärt die Doppelverneinung nachvollziehbar und prüft mehrere Szenarien einzeln durch. Das ist nicht elegant, aber solide. Es denkt wie jemand, der einen Beweis ernst nimmt und erst dann spricht.

Genau dort zeigt sich auch der Charakter des Thinking-Optional-Tags. Ohne explizit aktivierten Denkmodus produziert das Modell keine spektakulären Einsichten, aber belastbare Standardlogik. Es neigt zur breiteren Ausfaltung statt zur kompakten Pointe. In den Protokollen wird das mehrfach sichtbar: korrekte Lösung, gute Struktur, etwas zu viel Wegstrecke für einen relativ einfachen Zielpunkt.

Metakognitions-Compliance (Reasoning): Das Modell verweigert in 3/5 metacog-Tests die Nutzung der explizit angeforderten <thought>-Tags mit einer konsistenten Policy-Aussage. Die Reasoning-Inhalte sind dabei inhaltlich teilweise korrekt — der Score-Abzug resultiert aus der Format-Verweigerung, nicht aus Denkfehlern. Zum Vergleich: In den Tag-freien reasoning_5*-Tests erzielt das Modell einen Durchschnittsscore von ca. 68.28%, was dem Niveau anderer Modelle entspricht. CrucibleMark bewertet bewusst die native Zero-Shot-Instruktions-Compliance als reales Alltagsmerkmal — dieser Abzug ist methodisch gewollt.

In einer Aufgabe im Reasoning-Bereich ignorierte das Modell zudem die explizite Sprachanweisung und antwortete auf Englisch. Das ist kein technischer Defekt, sondern ein klarer Instruction-Following-Mangel. In Umgebungen mit fester Zielsprache, etwa Support, Redaktion oder regulierter Unternehmenskommunikation, reicht schon ein solcher Ausrutscher, um Nachbearbeitung zwingend zu machen.

Bei der zugehörigen Constraint-Verletzung ist der Befund ebenso klar: In einer Metakognitions-Aufgabe im Reasoning-Bereich verletzte das Modell die explizite Sprachvorgabe Deutsch und antwortete vollständig auf Englisch. Das System verhängte dafür einen automatischen regelbasierten Abzug, der unabhängig von der inhaltlichen Qualität greift. Gerade bei Aufgaben, in denen Sprache selbst Teil der Spezifikation ist, wird aus einem richtigen Gedankengang trotzdem ein praktischer Fehlversuch.

Content Transformation: produktionsnah, aber mit zu viel Fleisch am Knochen

Mit 70.48 im Bereich Content Transformation zeigt das Modell eine angenehme Stärke: Es kann aus rohem Material brauchbare Fassungen machen, ohne den ursprünglichen Zweck zu verraten. Das gilt sowohl für kreative Umformungen als auch für stärker strukturierte Produktionsaufgaben. Im vorliegenden Videoskript-Beispiel liefert es einen tatsächlich verwendbaren Output mit Timestamps, visuellen Markern, Musik-Cues, Pausen und Regiehinweisen. Das ist mehr als nur „nicht schlecht“. Es ist handwerklich belastbar.

Die Schwäche liegt in der Feinarbeit. Die Analysephase bleibt zu knapp, Retention-Hooks zwischen den Segmenten sind schwächer als im Referenzstandard, und das Pattern Interrupt sitzt strategisch nicht ideal. Vor allem aber verfehlt das Modell die geforderte Kürze. Das Skript landet bei ungefähr 1.200 bis 1.400 Wörtern, gefordert waren 600 bis 900. Inhaltlich ist das Material gut. Formal ist es überzogen. Genau das ist der Unterschied zwischen „kann schreiben“ und „kann redaktionelle Vorgaben wirklich führen“.

Das Längenproblem ist hier kein isolierter Ausreißer. Im Content-Transformation-Bereich zeigt das Modell bei simultanen Vorgaben aus Sprache, Länge und Format ein erkennbares Muster: Das Wortlimit ist die Bedingung, die zuerst weich wird. Für Menschen ist das ärgerlich. Für automatisierte Produktionspipelines ist es Gift, weil Folgeprozesse auf planbare Ausgabegrößen angewiesen sind.

UX Writing, Cultural Intelligence und Dokumentation: überraschend zivilisiert

Gerade bei einem aggressiv vermarkteten Uncensored-Fine-Tune darf man erwarten, dass Tonalität schnell in plumpes Draufhalten kippt. Das passiert hier erfreulich selten. Im UX-Writing steht 72.05, in Documentation Quality 73.31, in Cultural Intelligence 75.6. Diese Werte passen zusammen: Das Modell schreibt ordentlich, oft klar und mit brauchbarem Sprachgefühl, ohne sich in sterilem Corporate-Schaum zu verlieren.

Besonders im Cultural-Intelligence-Beispiel zeigt sich eine unterschätzte Qualität. Das Modell entfernt toxische Begriffe, maskuline Stereotype und aggressive Recruiting-Sprache zuverlässig, bleibt dabei vollständig auf Deutsch und hält das Format strikt ein. Die Formulierung ist etwas direkter und weniger einladend als im Referenztext. Der Unterschied zwischen „kreativer Kopf“ und „Fachkraft“ ist im deutschen HR-Kontext nicht trivial. Trotzdem ist das Ergebnis professionell und inklusiv genug, um in echten Textworkflows brauchbar zu sein.

In der Dokumentation gilt ein ähnliches Urteil: Das Modell wirkt nicht visionär, aber zuverlässig verständlich. Es kann Struktur halten, Informationen gliedern und komplexere Inhalte lesbar machen. Das ist eine Qualität, die im Alltag mehr wert ist als große Gesten. Viele Modelle wollen beeindrucken. Dieses hier will meistens zuerst funktionieren.

Halluzinationen und Tool-Nähe: die Achillesferse sitzt im Faktenkern

So ordentlich viele Textmodule wirken, so ungemütlich wird es beim Thema Halluzinationen. Hier hilft kein Schönreden. In drei Tool-Use-Aufgaben generierte das Modell Inhalte, die nicht aus dem abgerufenen Tool-Ergebnis stammten, sondern erfunden waren. Der Judge kappte den Score jeweils per Halluzinations-Cap. Bei content-kritischen Aufgaben wie Recherche, Faktenberichten oder jeder Form von ergebnisgebundener Zusammenfassung ist das ein disqualifizierendes Signal.

Das ist nicht bloß „etwas kreativ“. Es ist das genaue Gegenteil dessen, was Tool-Use liefern soll. Sobald ein Modell externe Ergebnisse bekommt, muss es diese präzise binden, nicht mit eigener Phantasie übermalen. Gerade darin versagt Qwen 3.6 35B-A3B Uncensored HauhauCS Aggressive Q8_K_P sichtbar. Die Teilwertung von 40.83 im ToolUse-Bereich und 59.58 in der Synthesequalität ist deshalb kein Messfehler, sondern ein roter Marker.

Die Uncensored-Ausrichtung erklärt dieses Verhalten nicht vollständig, aber sie verschärft das Risikoprofil. Wo weniger innere Zurückhaltung vorhanden ist, steigt oft die Bereitschaft, Lücken mit plausibel klingendem Material zu füllen. Für Fiktion kann das reizvoll sein. Für Recherche ist es toxisch.

Datenschutz und Datenhoheit

Streng genommen läuft dieses Modell lokal und nicht über einen Cloud-Zwangsdienst. Trotzdem ist die Datenlage zur Herkunft relevant. Die Weights-Provenienz ist mit HIGH bewertet: Community-Fine-Tune eines chinesischen Open-Weights-Modells, öffentlich verteilt, ohne offizielle Qualitäts- oder Sicherheitsgarantie. Für europäische Unternehmen ist das kein automatischer Ausschlussgrund, aber ein klares Prüfobjekt.

Zu den verifizierten Provider-Daten liegt eine Alibaba-Vendor-Card vor: anwendbares Recht China (PIPL/CSL/DSL), Datenstandort China plus regionale Rechenzentren weltweit, GDPR DPA verfügbar, Aufbewahrungsdauer öffentlich nicht klar ausgewiesen. Für den lokalen Einsatz dieses Open-Weights-Modells ist das nicht eins zu eins die operative Laufzeitumgebung. Es zeigt aber, aus welchem Rechts- und Herkunftsraum die Modellfamilie stammt. Für Compliance-sensible Organisationen in Deutschland und der EU ist genau das der Punkt: Nicht jedes Risiko entsteht erst beim API-Aufruf. Manchmal beginnt es schon bei Provenienz, Update-Kette und Governance.

Fazit

Qwen 3.6 35B-A3B Uncensored HauhauCS Aggressive Q8_K_P ist besser, als sein martialischer Auftritt vermuten lässt, und unzuverlässiger, als sein Gesamtscore hoffen macht. Es schreibt gut, transformiert Inhalte mit brauchbarer Produktionsnähe, hält im Standard-Reasoning ordentlich mit und liefert für seine 3 Milliarden aktiven Parameter eine bemerkenswert erwachsene Textleistung. Dazu kommt eine für die Klasse starke lokale Geschwindigkeit. Das ist kein Blender.

Aber es hat zwei echte Sollbruchstellen. Erstens die Sicherheits- und Tool-Seite: In Security erkennt es vieles, aber nicht genug, und stuft Gefahren oft zu weich ein. Bei toolgebundenen Faktenaufgaben halluziniert es mehrfach frei in die Daten hinein. Zweitens die operative Zuverlässigkeit: ein Timeout, problematische Tail-Latenz und punktuelle Sprach- beziehungsweise Format-Compliance-Probleme machen es für unbeaufsichtigte Produktivketten riskant.

Wer ein lokales, freieres Modell für Schreiben, Umformulieren, allgemeine Assistenz und multimodale Experimente sucht, bekommt hier ein leistungsfähiges System mit Charakter. Wer dagegen Recherche, Security-Audits oder toolgestützte Faktenarbeit ohne enges menschliches Korrektiv automatisieren will, sollte Abstand halten. Kurz gesagt: gut im offenen Gelände, heikel auf der Startbahn. Im Fazit zur Datenhoheit zählt außerdem die Herkunft der Weights: öffentlich verfügbare Community-Gewichte auf Basis eines chinesischen Modells, mit entsprechend hohem Provenienzrisiko.

Diese Auswertung wurde automatisch auf Grundlage der Benchmark-Daten generiert. Eingesetztes Modell: GPT 4.5 von OpenAI. Die Rohdaten und die vollständige Methodik sind im GitHub-Projekt dokumentiert.