国浩视点 | 以“AI投毒”为鉴:大模型训练数据合规的深层风险与治理前瞻

当前，大模型产业发展深受“Scaling Law”（规模法则）驱动，其隐含的技术逻辑是：更多的数据与更大的参数，几乎必然导向更强大的智能^[注1]。这一技术范式催生了近乎无差别的、贪婪的数据获取模式——行业普遍以Common Crawl等公开语料库为基础，辅以对各类网站的大规模自动化爬取。在此过程中，Robots协议、登录验证、反爬虫算法等技术防护措施，常在实践中被视为有待优化的“损耗”或者没有强制约束力的指导性规范^[注2]。

“AI投毒”这一类攻击的涌现，将上述技术实践与法律规则之间的尖锐矛盾，以极具冲突性的方式具象化呈现。当投毒者发现，只需将精心构造的“毒饵”信息植入目标平台的特定页面，便能实现对特定模型的“污染”，这反向揭示，在模型的训练数据流中，很可能包含了对相关平台技术防护措施的规避行为；且模型的内部参数对数据具有高度具体化、可追溯化的“记忆”能力。因此，该事件不仅是网络安全事件，更是对当前大模型产业数据合规基础的一次“公开审计”。

目前既有研究多聚焦于“AI投毒”行为本身的不法性认定与生成端的内容安全责任^[注3]，却普遍忽视了其能够反向揭示训练数据源头合规性瑕疵的证明价值。本文通过转换研究视角，致力于论证：“投毒”成功所依赖的技术路径（突破防护抓取数据）与内在机理（模型记忆具体表达），可成为证实大模型训练行为违法性的双重关键依据。本文将穿透模型训练的“黑箱”，从知识产权法与反不正当竞争法的交叉视角，系统剖析“投毒”现象如何形成可被司法及监管单位采纳的推定证据，并如何从技术根源上消解了“合理使用”等传统法律抗辩的效力，最终提出面向“合规优先”范式的治理思考。

确保训练数据来源合法，是《生成式人工智能服务管理暂行办法》第七条的明确要求。此处的“合法”，核心在于获取手段与行为依据的正当性。而那些专为高效获取海量训练数据而设计的分布式爬虫系统，在实践中为追求覆盖率与时效性，就可能采用忽略 Robots协议、伪造用户标识、突破访问频率限制、破解动态渲染或者非法使用账户池等方式获取数据。

此类行为在法律评价上，不仅涉嫌构成《中华人民共和国数据安全法》第三十二条所禁止的以非法方式获取数据，还可能落入《中华人民共和国反不正当竞争法》第十三条关于“经营者不得以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式，获取、使用其他经营者合法持有的数据，损害其他经营者的合法权益，扰乱市场竞争秩序”的行为范畴，进而被认定构成不正当竞争行为。

而在法律诉讼中，如果原告（例如数据源平台方）欲证明被告（例如大模型运营方）实施了非法抓取自身受保护数据的行为，可能面临极高的举证难度。然而，“AI投毒”现象衍生出了一种极具创新性的司法举证思路。在常规知识产权侵权诉讼中，权利人为证明“接触”，常采用“特征性瑕疵一致”“作品独特缺陷一致”等间接证据提出主张，法院也将其作为重要采信理由^[注4]。基于相似逻辑，若某一平台能够证明：（1）其已对站内数据设置了明确有效的访问限制或技术防护措施；（2）该平台独有的、作为“诱饵”的特定投毒信息，可验证地出现在了大模型的训练语料溯源中，或能在特定提示下被模型高概率、高相似度地生成——那么，一个合理且有力的法律推定便可形成：该大模型运营者“接触”并获取了该平台的数据，且其获取方式有可能已突破了平台设定的合法技术或合同边界。

一旦数据获取的非法性被司法机关或监管部门初步认定，大模型企业就可能面临多维度的法律风险。不仅包括相关行政监管处罚，更可能在民事诉讼中被判令承担停止侵害、赔偿损失等责任。在情节与后果特别严重的情况下，相关技术突破行为甚至可能涉嫌触犯《中华人民共和国刑法》第二百八十五条规定的非法获取计算机信息系统数据罪。由此可见，“AI投毒”事件本质是数据合规风险的一次显性爆发与重要的司法预警信号。

面对海量训练数据可能引发的著作权侵权质疑，行业常援引“合理使用”制度作为抗辩，其核心法律叙事在于：模型训练行为构成“转换性使用”，其学习的只是抽象的思想与统计规律，而非对具体表达的机械复制。但这一抗辩建立在对现有大模型技术机理的片面认知之上。“AI投毒”现象及其背后的技术原理，已经对此类抗辩构成了根本性挑战。

(一) 技术机理：作为架构禀赋的“记忆”及其法律意涵

大语言模型对训练数据中独特序列的“记忆”，并非可完全消除的缺陷，而是其底层架构设计与训练目标优化的自然结果。

1.架构的“记忆”禀赋：Transformer模型的核心为自注意力机制，在数学原理上可被理解为一个高容量的、内容可寻址的分布式记忆系统。其运算过程本质是对信息进行存储与检索，赋予了模型强大的、对特定信息模式进行精确参数化存储与高效召回的能力^[注5]。

2.优化过程的必然倾向：面对训练数据集中那些低频、高信息量、表达独特的序列，模型缺乏足够的上下文进行有效“泛化”。此时，为最小化预测误差，最直接的策略便是将该独特序列的映射关系“编码”进模型参数^[注6]。这种针对特定样本的、极端的“过拟合”，在表现上即呈现为“精确记忆”。

(二) 实证反诘：“投毒”如何证伪“仅学习思想”之辩

“AI投毒”为上述技术机理提供了直接的实证检验。那些被刻意设计的“毒饵”能够被模型高保真地复现，证明模型参数精准“记忆”和内化的正是该信息具体的表达形式、文本结构与符号序列。该行为在技术上更接近对内部存储的“检索与解码”，在功能上则构成对原作品信息传播功能与市场的“实质性替代”。若将“毒饵”置换成受著作权法保护的核心独创性表达，此行为的法律风险将直接冲击著作权法重点保护的复制权与信息网络传播权，造成不堪设想的后果。

(三) 法理挑战：对“转换性使用”与“临时复制”抗辩的深层解构

上述技术与实证分析，直接动摇了在模型训练场景下主张著作权“合理使用”的核心法律要件：

1.对“转换性使用”要件的冲击：我国《中华人民共和国著作权法》第二十四条所规定的合理使用，其司法认定的关键要件之一在于使用的“转换性”^[注7]。然而，基于Transformer“记忆”机制的生成，其输出与训练数据中具体表达存在强关联性，难以认定行为产生了具有法律意义的、独立的“新表达”。相反，其输出更可能构成对原表达的“再现”，难以满足“转换性”的严格要求。

2.对“临时复制”或“合理范围”抗辩的压缩：模型将“毒饵”持久地、功能性地存储于其参数之中，并可随时向公众查询、调取、生成，这一过程已使“复制”行为从“临时”转化为“永久、功能性储存”。基于此持久性存储向不特定公众提供生成服务，完整涵盖了从“复制”到“信息网络传播”的连续行为特征。对于权利人而言，“投毒”案例提供了一个具备说服力的举证范式和合理怀疑基础，可能改变诉讼中举证责任的平衡。

面对上述交织于数据全生命周期源头的系统性合规风险，治理逻辑必须从事后补救与输出端过滤转变至源头治理与全过程合规。这要求产业实践与监管框架共同演进协同升级，构建适应技术特性的治理新范式。

(一) 构建可审计与可追溯的数据供应链

企业需建立贯穿数据获取、清洗、训练全流程的可追溯、不可篡改的审计日志系统，一方面探索与重要内容平台建立基于API授权的数据合作机制，用于取代缺乏法律基础的自动化爬取，另一方面及时全程记录保留数据获取行为合规、数据来源合法的证据，以证据保留机制防范法律风险，并以此规范数据供应流程，降低风险敞口。

(二) 研发与应用隐私增强计算及可验证技术

从算法层面降低记忆与溯源风险，为训练行为的合法性提供技术支撑。同时，开发并部署可验证的数据治理与过滤工具，实现决策过程的可记录、可审计。

(三) 推动数据战略的生态化与合规化转型

产业需从“掠夺式”的数据获取，转向“合作式”与“生态共建”。这包括与核心数据源构建合规的商业授权关系，探索参与建设行业级的数据版权许可平台，将数据使用纳入透明、公平的法律与商业框架内。

(四) 对监管与立法的期待：构建激励相容的规则体系

监管机构可探索“技术合规”与“法律责任”的联动机制，根据技术合规程度匹配相应责任认定标准。对于数据获取来源合法及算法规范的模型，司法机关可在民事纠纷中对其适用更为合理的过错认定规则，以法律激励引导各个企业加大合规投入。同时应向资本市场传递明确信号：“合规数据资产”与“可信AI架构”，是与模型性能同等重要的核心价值维度。

“AI投毒”事件所揭示的远非孤立的技术或法律问题，而是生成式人工智能行业在高速发展中累积的深层数据合规风险。它如同一面棱镜，折射出生成式人工智能产业深层的“数据原罪”。这标志着，单纯依赖“Scaling Law”、奉行“数据优先于规则”的粗放发展范式已临近拐点，亟需进行改变。

下一阶段的产业竞争，其核心维度必将从单纯追求参数规模与基准测试分数，拓展至技术可信度、法律合规性与商业伦理可持续性的综合竞争。这要求企业将数据治理与知识产权合规，从传统的法务部门事后补救的“成本中心”，彻底升级为驱动技术路线选择、架构设计与生态构建的前置“战略中枢”。对于立法与司法而言，则需深刻理解技术的内在逻辑，构建既能有效规范、又能为负责任创新预留空间的敏捷规则体系。

这场从“规模优先”到“合规优先”的深刻范式迁移，将最终决定哪些企业能够穿越周期，成为真正值得信赖的下一代人工智能产业奠基者，在新兴市场上尽早占领竞争优势。

【 特别声明：本篇文章所阐述和说明的观点仅代表作者本人意见，仅供参考和交流，不代表本所或其律师出具的任何形式之法律意见或建议。】