猫王的 274 首歌被拿去训 AI，权利方是怎么查出来的
10 月 23 日，猫王的权利方把 Anthropic 告了。领头的是 Authentic Brands Group 的一家子公司，案子递到加州北区联邦法院。诉状说，Claude 拿 274 首猫王的歌做了训练，没有得到许可。光版权这一项，按每首 15 万美元的法定赔偿上限算，是 4,110 万美元；连同其他诉求，总索赔约 4,864 万美元。
Anthropic 表示不同意这些指控，会应诉。案子还没有判。下面涉及案情的内容，都是诉状里原告一方的说法。
训练集不公开，外人看不到；模型内部也拆不开，没法直接翻它记住了什么。原告用的办法是向模型提问，看它吐出来的东西。
诉状记了几种问法。按歌名直接要歌词；让它按猫王的风格写一首；让它写一首「原创」；请它把老歌改给现代听众。按原告的说法，Claude 多次给出了和原作高度近似的内容：旋律的钩子在，结构在，有些词换了，整体框架没有换。
证物里还包括 Claude 自己的一句话，它形容自己刚生成的内容「非常接近原作」。诉状另外指出，Anthropic 之前因为歌词被诉过，后来加了护栏，也就是拦截它输出歌词的那层过滤；按原告的说法，加了护栏之后，这类输出没有停。
这一招对猫王管用，是因为有名的作品在互联网上不是一份拷贝，是几千份：歌词站登一遍，论坛贴一遍，乐评引用一遍，翻唱视频的字幕里还有一遍。同一首歌在训练数据里被读几千遍，模型会把这些内容逐字记下来。
2023 年有研究者把这件事测到过极端。他们让 ChatGPT 反复重复同一个词，模型脱离了正常的聊天模式，开始大段输出它在训练时读过的原文。整个过程花了大约 200 美元，抽出一万多条逐字样本。他们的结论是：对齐训练没有把这些记忆删掉，只是在日常使用中把它们盖住了。
不过，模型能把你的歌背出来，只能证明它记住了这首歌。证明不了它是照哪一份拷贝学的；严格说，也证明不了训练集里有哪一份特定的文件，因为这么有名的歌词，在合法渠道上同样到处都是。反过来，模型背不出你的作品，也什么都证明不了。大部分被读进去的材料，模型并不会逐字记住。
所以向模型提问这一招，只对足够有名的作品管用，查到的也只是它记住了什么。
普通人还能查的第二层，是公开的语料库。很多训练数据集本身是公开的，或者已经泄露出来，名单是可以查的。
写书的人：The Atlantic 的一位记者做了一个可以按名字搜索的数据库，能查自己的书在不在 Books3 里。Books3 是由大约 19 万本盗版书组成的语料，用在过几个大模型的训练上。这位记者 2025 年又把 LibGen 做成了可搜索的版本，里面有约 750 万本书、8,000 万篇论文，同样按名字查。
画图和摄影的人：有一个叫 Have I Been Trained 的网站，能查自己的图在不在 LAION-5B 里。LAION-5B 是一个 58 亿张图的数据集。
写代码的人：BigCode 做了一个工具叫 Am I in The Stack，输入 GitHub 用户名，就能看自己的仓库在不在 The Stack 数据集里。自己的网站有没有被爬虫抓过，可以去 Common Crawl 的索引里按域名查，那里有抓取记录。
在语料库里查到，只说明你的作品出现在一份各家实验室经常取用的语料里。公司把语料拿回去之后，还要过滤、去重、抽样，大部分内容会被扔掉，最后真正用进训练的是哪一部分，外人不知道。做 LibGen 查询的那位记者自己也写明了这一点：没有人能确切知道 Meta 实际用了 LibGen 的哪一部分。所以查到命中，够你去登记主张、去参加索赔，不够你在法庭上把它当成已经用过的证据。
第三条路是统计方法，研究者试过，效果有限。原理是这样的：模型读过一段文字，再遇到时会更「熟悉」，逐词测它对每个词的意外程度，可以反推它有没有见过这段文字。2024 年一项大规模评测把这类成员推断方法逐个测了一遍，结论是：用在单个作品上，准确率只比随机猜测好一点。
之前一些看起来很准的结果，后来发现测到的主要是新旧文本的风格差别，不是记忆。这类方法目前站得住的用法，是把一位作者的一批作品合在一起看整体，能说明这一批作品大概被用过；落到具体哪一首、哪一本，就不行了。
还有一种办法是给以后的作品留标记：在作品里埋一段独一无二的虚构文字，如果日后被拿去训练，理论上能测出来。但实验结果是，标记要足够长、在数据里重复足够多次，才测得到；中等长度的标记重复一百次也测不出来。而且埋进去的标记还可能在数据清洗时被当作重复内容删掉。这个办法只对还没有发布的作品有用；已经在网上流传多年的作品，用不上。
到目前为止，完整、用得上的训练清单只出现过一份，是诉讼逼出来的。作家告 Anthropic 的图书案以 15 亿美元和解，和解网站上现在挂着一个可以按书名搜索的作品清单，48 万多部作品，每部赔 3,000 美元，作者可以查自己的书在不在上面。这份清单能出现，是因为官司打到了证据开示阶段，法院可以要求公司交出内部记录，训练到底用了哪些作品，才第一次摆到明面上。
猫王案的诉状里还有一条指控，和「查」直接相关。原告说，Anthropic 把歌词收进训练库时，刻意去掉了作品附带的版权信息，也就是标明作者、出版方和权利人的那几行。这样一来，模型输出时不会带出出处，权利人想顺着输出往回查，也没有线索。这一条目前只是原告的主张，成立不成立要等审理。
把几层办法合起来看，结论是：查得到一些，但每一层的上限都很明确。问模型，只能查出被逐字记住的内容，基本只限于有名的作品；查公开语料，只能证明作品在语料里出现过，证明不了哪家公司用它训了哪一版模型；统计方法只能给出大概，落不到单个作品。
完整的那份名单，也就是哪家公司在哪一版模型里用了你的哪件作品，到现在为止，只存在于公司自己的内部记录里，外人只能通过诉讼的证据开示拿到。
这就带来一个现实差别。有大型曲库、图书目录的公司和出版社，请得起律师，能通过诉讼走到证据开示那一步；普通创作者手里只有提问和公开索引，查得到，就有一条线索；查不到，也说明不了什么。现在这几个大案子，正在定下以后认定证据的标准；等独立音乐人、小出版社的作者、把代码放在公开仓库的程序员去问同一个问题时，用的就是这套已经定下来的标准，对他们合不合适，不由他们决定。
落到自己身上，能做的事不多，但都是现在就能做的。先把能查的查一遍：书查 Books3 和 LibGen，图查 Have I Been Trained，代码查 Am I in The Stack，网站查 Common Crawl；查到就截图保存，这是普通人手里最接近证据的东西。
再有，以后发布新作品，把自己的时间证据留好：代码仓库的提交记录、文稿的修改历史，这些能证明你的作品在先、模型的输出在后。robots.txt 拦爬虫和各种退出登记，该做也可以做，但要清楚它们的范围：它们只管以后的抓取，管不了已经训练完成的模型。模型已经学进去的东西，没有办法再退出来。
我的判断是，在公司自己公开训练清单之前，普通人能查到的上限，就是「作品在某份语料里出现过」这一级，再往上就需要诉讼。猫王的权利方能查得比普通人深，差别不在方法。他们付得起打官司的成本，普通人付不起。你查过自己的作品吗？书、图、代码都可以，查一次就知道自己在哪一层。