貓王的 274 首歌被拿去訓 AI，權利方是怎麼查出來的
10 月 23 日，貓王的權利方把 Anthropic 告了。領頭的是 Authentic Brands Group 的一家子公司，案子遞到加州北區聯邦法院。訴狀說，Claude 拿 274 首貓王的歌做了訓練，沒有得到許可。光版權這一項，按每首 15 萬美元的法定賠償上限算，是 4,110 萬美元；連同其他訴求，總索賠約 4,864 萬美元。
Anthropic 表示不同意這些指控，會應訴。案子還沒有判。下面涉及案情的內容，都是訴狀裏原告一方的說法。
訓練集不公開，外人看不到；模型內部也拆不開，沒法直接翻它記住了什麼。原告用的辦法是向模型提問，看它吐出來的東西。
訴狀記了幾種問法。按歌名直接要歌詞；讓它按貓王的風格寫一首；讓它寫一首「原創」；請它把老歌改給現代聽衆。按原告的說法，Claude 多次給出了和原作高度近似的內容：旋律的鉤子在，結構在，有些詞換了，整體框架沒有換。
證物裏還包括 Claude 自己的一句話，它形容自己剛生成的內容「非常接近原作」。訴狀另外指出，Anthropic 之前因爲歌詞被訴過，後來加了護欄，也就是攔截它輸出歌詞的那層過濾；按原告的說法，加了護欄之後，這類輸出沒有停。
這一招對貓王管用，是因爲有名的作品在互聯網上不是一份拷貝，是幾千份：歌詞站登一遍，論壇貼一遍，樂評引用一遍，翻唱視頻的字幕裏還有一遍。同一首歌在訓練數據裏被讀幾千遍，模型會把這些內容逐字記下來。
2023 年有研究者把這件事測到過極端。他們讓 ChatGPT 反覆重複同一個詞，模型脫離了正常的聊天模式，開始大段輸出它在訓練時讀過的原文。整個過程花了大約 200 美元，抽出一萬多條逐字樣本。他們的結論是：對齊訓練沒有把這些記憶刪掉，只是在日常使用中把它們蓋住了。
不過，模型能把你的歌背出來，只能證明它記住了這首歌。證明不了它是照哪一份拷貝學的；嚴格說，也證明不了訓練集裏有哪一份特定的文件，因爲這麼有名的歌詞，在合法渠道上同樣到處都是。反過來，模型背不出你的作品，也什麼都證明不了。大部分被讀進去的材料，模型並不會逐字記住。
所以向模型提問這一招，只對足夠有名的作品管用，查到的也只是它記住了什麼。
普通人還能查的第二層，是公開的語料庫。很多訓練數據集本身是公開的，或者已經泄露出來，名單是可以查的。
寫書的人：The Atlantic 的一位記者做了一個可以按名字搜索的數據庫，能查自己的書在不在 Books3 裏。Books3 是由大約 19 萬本盜版書組成的語料，用在過幾個大模型的訓練上。這位記者 2025 年又把 LibGen 做成了可搜索的版本，裏面有約 750 萬本書、8,000 萬篇論文，同樣按名字查。
畫圖和攝影的人：有一個叫 Have I Been Trained 的網站，能查自己的圖在不在 LAION-5B 裏。LAION-5B 是一個 58 億張圖的數據集。
寫代碼的人：BigCode 做了一個工具叫 Am I in The Stack，輸入 GitHub 用戶名，就能看自己的倉庫在不在 The Stack 數據集裏。自己的網站有沒有被爬蟲抓過，可以去 Common Crawl 的索引裏按域名查，那裏有抓取記錄。
在語料庫裏查到，只說明你的作品出現在一份各家實驗室經常取用的語料裏。公司把語料拿回去之後，還要過濾、去重、抽樣，大部分內容會被扔掉，最後真正用進訓練的是哪一部分，外人不知道。做 LibGen 查詢的那位記者自己也寫明瞭這一點：沒有人能確切知道 Meta 實際用了 LibGen 的哪一部分。所以查到命中，夠你去登記主張、去參加索賠，不夠你在法庭上把它當成已經用過的證據。
第三條路是統計方法，研究者試過，效果有限。原理是這樣的：模型讀過一段文字，再遇到時會更「熟悉」，逐詞測它對每個詞的意外程度，可以反推它有沒有見過這段文字。2024 年一項大規模評測把這類成員推斷方法逐個測了一遍，結論是：用在單個作品上，準確率只比隨機猜測好一點。
之前一些看起來很準的結果，後來發現測到的主要是新舊文本的風格差別，不是記憶。這類方法目前站得住的用法，是把一位作者的一批作品合在一起看整體，能說明這一批作品大概被用過；落到具體哪一首、哪一本，就不行了。
還有一種辦法是給以後的作品留標記：在作品裏埋一段獨一無二的虛構文字，如果日後被拿去訓練，理論上能測出來。但實驗結果是，標記要足夠長、在數據裏重複足夠多次，才測得到；中等長度的標記重複一百次也測不出來。而且埋進去的標記還可能在數據清洗時被當作重複內容刪掉。這個辦法只對還沒有發佈的作品有用；已經在網上流傳多年的作品，用不上。
到目前爲止，完整、用得上的訓練清單隻出現過一份，是訴訟逼出來的。作家告 Anthropic 的圖書案以 15 億美元和解，和解網站上現在掛着一個可以按書名搜索的作品清單，48 萬多部作品，每部賠 3,000 美元，作者可以查自己的書在不在上面。這份清單能出現，是因爲官司打到了證據開示階段，法院可以要求公司交出內部記錄，訓練到底用了哪些作品，才第一次擺到明面上。
貓王案的訴狀裏還有一條指控，和「查」直接相關。原告說，Anthropic 把歌詞收進訓練庫時，刻意去掉了作品附帶的版權信息，也就是標明作者、出版方和權利人的那幾行。這樣一來，模型輸出時不會帶出出處，權利人想順着輸出往回查，也沒有線索。這一條目前只是原告的主張，成立不成立要等審理。
把幾層辦法合起來看，結論是：查得到一些，但每一層的上限都很明確。問模型，只能查出被逐字記住的內容，基本只限於有名的作品；查公開語料，只能證明作品在語料裏出現過，證明不了哪家公司用它訓了哪一版模型；統計方法只能給出大概，落不到單個作品。
完整的那份名單，也就是哪家公司在哪一版模型裏用了你的哪件作品，到現在爲止，只存在於公司自己的內部記錄裏，外人只能通過訴訟的證據開示拿到。
這就帶來一個現實差別。有大型曲庫、圖書目錄的公司和出版社，請得起律師，能通過訴訟走到證據開示那一步；普通創作者手裏只有提問和公開索引，查得到，就有一條線索；查不到，也說明不了什麼。現在這幾個大案子，正在定下以後認定證據的標準；等獨立音樂人、小出版社的作者、把代碼放在公開倉庫的程序員去問同一個問題時，用的就是這套已經定下來的標準，對他們合不合適，不由他們決定。
落到自己身上，能做的事不多，但都是現在就能做的。先把能查的查一遍：書查 Books3 和 LibGen，圖查 Have I Been Trained，代碼查 Am I in The Stack，網站查 Common Crawl；查到就截圖保存，這是普通人手裏最接近證據的東西。
再有，以後發佈新作品，把自己的時間證據留好：代碼倉庫的提交記錄、文稿的修改歷史，這些能證明你的作品在先、模型的輸出在後。robots.txt 攔爬蟲和各種退出登記，該做也可以做，但要清楚它們的範圍：它們只管以後的抓取，管不了已經訓練完成的模型。模型已經學進去的東西，沒有辦法再退出來。
我的判斷是，在公司自己公開訓練清單之前，普通人能查到的上限，就是「作品在某份語料裏出現過」這一級，再往上就需要訴訟。貓王的權利方能查得比普通人深，差別不在方法。他們付得起打官司的成本，普通人付不起。你查過自己的作品嗎？書、圖、代碼都可以，查一次就知道自己在哪一層。