中国首个AI模型侵权案深度解析

中国首个AI模型法律保护案例深度解析，从技术原理到法律实务的全方位解读

2020年6月，抖某公司在他们的APP上线了一个「AI变身漫画」特效。

我也用过，挺有意思的。你拍一张照片，或者打开摄像头，系统就实时把你变成漫画风格，而且那种漫画感很特别，人脸的比例、线条的风格，都有一种独特的味道。

上线之后反响不错，很多用户都在玩。

结果两个月后，8月份，亿某公司也在自己的APP上上线了一个「少女漫画」特效。

我乍一看，也没觉得有啥不对劲。都是漫画特效嘛，这功能谁家不能做？

但后来业内人士一对比，发现有点不对劲。

这两个特效，在视觉效果上，高度一致。

更重要的是，他们背后的「脑子」，也就是模型的结构和参数，高度近似。

我们都知道，代码可以抄，UI可以抄，但你有没有想过，一个AI模型的「脑子」，能不能被保护？

这个问题，以前没人想过。

因为AI这个东西，太新了。

新到法律都还没来得及跟上。

我先聊聊，啥是模型的结构和参数。

这块我会讲得细一点，因为对AI从业者来说，理解这些细节很重要。

模型结构，用术语说，就是神经网络的架构设计。

它包括几个核心要素。

层的类型和数量

一个典型的风格迁移模型，可能包含编码器（Encoder）和解码器（Decoder）两部分。编码器负责把输入图片压缩成潜在表示，解码器负责从这个表示重建出漫画风格的图片。

每部分可能包含几十层卷积层、池化层、激活层。

具体来说。

卷积层（Convolutional Layer）负责提取局部特征，比如边缘、纹理、形状。

池化层（Pooling Layer）负责降维，减少参数量，同时保留重要特征。

激活层（Activation Layer）引入非线性，让模型能学习复杂的映射关系。

一个典型的编码器可能包含 10-20 层卷积，解码器也类似。

总共 30-50 层是比较常见的。

激活函数

每一层神经元的输出，通常要经过一个激活函数，比如 ReLU、Leaky ReLU、Swish、GELU。

激活函数的选择，直接影响模型的表达能力和训练效果。

不同的激活函数，会让模型学习到不同的特征表达模式。

连接方式

层与层之间怎么连？这是架构设计的核心。

连接方式决定了信息在网络中如何流动，哪些特征会被保留或强化。

损失函数

训练模型时，需要定义损失函数来指导优化方向。

风格迁移模型通常会用到内容损失（Content Loss）和风格损失（Style Loss）的组合，再加一些正则化项。

损失函数的设计，直接影响模型学到的效果是偏向内容保留还是风格表达。

权重怎么调，是个技术活。

同样的道理，模型的结构决定了数据怎么流动，每层负责提取什么特征，整体的网络表达能力有多强。

参数，用术语说，就是网络中所有可学习的权重和偏置。

一个深度学习模型，参数量通常是百万级、千万级，甚至上亿。

比如一个典型的风格迁移模型，可能有 500 万到 1000 万个参数。

参数量级对比

每个参数都是一个实数，通常在 -1 到 1 之间，或者是更大的值（取决于初始化和正则化）。

训练的详细过程

训练的过程，就是在海量数据上不断调整这些参数。

具体来说，有以下几个步骤。

这个过程要重复几万次、几十万次，直到模型的 Loss 收敛，参数稳定下来。

学习率和批大小是两个关键超参数。

学习率太大，训练不稳定，可能发散。

学习率太小，训练太慢，可能陷入局部最优。

所以训练一个高质量的模型，不只要有算力，还要有经验。

我算过一笔账。

训练一个高质量的风格迁移模型，从数据收集、标注、模型设计、训练调优，到最终上线，整个周期可能要几个月。

投入包括：

所以一个成熟模型的投入，几十万到上百万都是正常的。

既然参数这么重要，那能不能从运行中的模型里把参数「抠」出来？

答案是，技术上可以。

这个过程叫「模型提取攻击」（Model Extraction Attack）。

我深入研究了一下这个技术，讲细一点。

基本原理

如果你能访问到一个模型的输入输出接口，你就可以用大量的输入样本去查询模型，记录每个输入对应的输出。

然后你可以训练一个「学生模型」，让它模仿「教师模型」（被攻击的模型）的输入输出行为。

如果学生模型的输入能尽可能地接近教师模型的输出，那学生模型的参数就会越来越接近教师模型的参数。

攻击的具体步骤

攻击效果

研究表明，在一些场景下，通过几千到几万次查询，就能恢复出目标模型 90% 以上的参数信息。

而且随着查询次数增加，恢复的精度会越来越高。

那技术上有没有办法防御呢？

说回法律这块。

以前这个事儿挺麻烦的，因为你想维权，你得找个法律依据。

著作权法？我仔细研究了一下，确实不太行。

著作权法为啥保护不了

著作权法保护的是「表达」。

那模型的结构和参数算不算「表达」？

不算。

因为模型的结构，是网络层数、层类型、连接方式这些抽象的设计，它不是代码本身，更像是设计的思想。

著作权法不保护思想、方法、概念、原理，只保护这些思想的具体表达。

商业秘密为啥也难

商业秘密的构成要件，司法实践中有三个：秘密性、价值性、保密措施。

秘密性，这是最难的。

要求信息「不为公众所知」，且「不容易通过正当方式获得」。

但 AI 模型这玩意，天然就难满足这个条件。

但这个案子，法院给出了一个不一样的答案。

二审法院，北京知识产权法院，说得很明确，

这个判决的逻辑，我拆解了一下。

法院的三步论证逻辑

这个逻辑链条，完整。

权利基础 → 竞争关系 → 行为正当性，三步论证，层层递进。

反不正当竞争法第二条的适用

我特意查了一下，法院引用的是《反不正当竞争法》第二条。

这条在业界被称为「一般条款」或「兜底条款」。

它的适用有三个条件。

我顺便查了一下，国际上类似的情况是怎么处理的。

美国

美国还没有明确保护 AI 模型结构的判例。

但有一些相关的法律路径。

欧盟

欧盟的《数据库指令》（Database Directive）可以保护数据库的投资。

但 AI 模型的参数算不算数据库？有争议。

写到这，我想聊聊这个案子给我们的启示，特别是合规和风险这块。

如果你是做 AI 的，这个案子其实给你提了个醒。

第一，留痕

模型的研发过程，要有完整的记录。

包括：

这些记录，要能证明你的模型是「自主研发」的。

而且要能追溯到每一个关键决策的依据。

怎么落地？

用 MLflow、Weights & Biases 这些工具，把训练过程自动化记录。

或者至少，把重要的训练日志、参数文件、评估结果，都保存下来。

第五，合规意识

你用开源模型做二次开发，要遵守开源协议。

这些细节，以前没人管，但现在开始有人管了。

这个案子的意义，其实挺大的。

它是中国司法系统里，第一个明确保护 AI 模型结构和参数的案例。

以后再遇到类似的事，就有 precedent（先例）可以参考了。

对 AI 行业来说，这是个好消息。

因为这意味着，你的研发投入，是有法律保障的。

别人想搭便车？不行了。

但这也会带来一些变化。

我预测，未来会有更多相关的案例出现。

比如，模型水印的法律效力会怎么认定？

比如，通过 API 提取模型，是不是算「不正当手段」？

比如，开源模型的二次开发边界在哪里？

这些问题，都需要司法实践继续探索。

但至少，这个案子给出了一个起点。

这个案子虽然叫「不正当竞争纠纷案」，但本质上，它是在保护创新。

保护那些花时间、花精力、花资源去做研发的人。

保护那些真正在推动技术进步的人。

而不是保护那些只想搭便车的人。

以上，既然看到这里了，如果觉得不错，随手点个赞、在看、转发三连吧，如果想第一时间收到推送，也可以给我个星标⭐～

谢谢你看我的文章，我们，下次再见。