放开那个艺术家！Glaze保护艺术免受AI窥探

人类艺术家需要耗费大量时间和精力创作原创艺术品，但AI模型却能以极快的速度完成同一项任务。这种诡异的不对称性，正是芝加哥大学学术研究项目Glaze的基本出发点。项目小组刚刚为艺术家们推出一款免费（非商业）应用程序，希望利用先进的“伪装”技术打击AI对于“艺术知识产权”的盗窃行为。

该团队还发表一篇研究论文，解释了这款beta版应用的工作原理——能够向每件艺术品添加几乎难以察觉的“扰动”，借此干扰AI模型读取风格数据的能力，使其更难以模仿目标作品及创作者的艺术风格。不止于此，这些扰动元素还能诱导系统输出与原始艺术作品相去甚远的其他常见风格。

Glaze的实际保护效果因具体创作者而异，某些艺术风格确实更适合“伪装”、进而免受AI模型的窥探。此外，其他因素（如某些反制措施）也会影响其性能。总之，这款工具希望帮助艺术家们反抗数据挖掘者的入侵，让大家既能在网上公开自己的作品，又保证自己辛勤摸索出的艺术风格不致被迅速吞噬。

作为该项目的教职带头人，芝加哥大学计算机科学教授Ben Zhao在采访中解释了这款工具的工作原理：

“我们所做的，就是尝试理解AI模型如何以它的方式看待艺术风格。之后我们以这个维度为基础，努力扭曲模型对于特定风格的认定结果。所以与其说我们是在隐藏或者阻止某些特征信息，倒不如说我们是在学习机器学习模型的语言，并用这种语言来扭曲模型对艺术图像的看法，同时又尽量不影响人类的正常观看。事实证明，AI模型与人类审视画作的角度截然不同，我们完全可以在机器学习视角上实现显著扭曲，但又不在人类视角上造成易于察觉的变动。”

“很明显，AI感知世界的方式与人类存在根本差异，人们早就意识到了这种差异的存在。这种差异很难被轻易消除或回避，所以我们才尝试用‘对抗性示例’来对抗机器学习。最近十年来，人们一直在努力解决这种对抗，但却收效甚微。从目前的情况看，人类对现实世界的视觉观察与AI模型对现实世界的数学观察之间，似乎不可避免地存在差异。所以用纯技术术语来讲，我们采取的加扰方法其实是一种攻击、而非防御，但它起到的确实是防御作用。”
另一个需要认真考虑的因素，就是人类创作者（也就是艺术家）的个体需求与AI模型间的不对等性。这些创作者往往以艺术创作为生，而生成式AI模型背后的商业参与者则是吸引了大量风险投资和个人数据的成熟机构，他们的目标就是让机器获得自动化（更直白地讲，取代）人类创造力的能力。单就生成式AI艺术模型来讲，这项技术确实通过自动模仿艺术风格威胁到了艺术家们的生计。

Stable Diffusion和Midjourney等生成式AI艺术工具的用户无需掌握任何绘画技巧，就能生成看起来相当合理（至少完全可以唬住外行）的图像。只需要输入几个单词来描述需要的内容，这些软件就能快速生成图像，甚至可以按用户提示模仿特定艺术家的创作风格。整个输出过程极快、视觉效果也相当独特，反衬出这项技术的成熟和强大。

然而，生成式AI模型开发商一般并未获得在公共互联网上搜索数据以训练模型的许可。在生态链的另一端，艺术家们仍然在开放平台上展示自己的作品，希望借此提升技能、扩大个人的行业影响力。但正是这种常见的创意服务运作方式，让大量作品被AI模型当成了训练数据。就在生成式AI不断借此强化自身的同时，并没有人打算问问受到影响的艺术家们到底愿不愿意。

在个别情况下，艺术家甚至发现自己的名字可以被直接作为提示词，指示AI模型生成与其风格相近的图像——同样无需任何预先许可（也没有相应的收入补偿）。这可以说是赤裸裸的创意盗窃行为（但相信此类诉求很快就会得到司法部门的支持）。

由于法律法规严重落后于AI的发展速度，目前的权利与义务呈现出严重的失衡状态。Glaze团队的研究人员就是想解决这个问题——为艺术家们提供一款免费工具，借此保护他们的工作和创造力不被AI模型简单粗暴地拿去使用；同时也为立法者争取更多时间，容他们思考如何调整现有规则和保护措施（例如版权条款）来跟上时代的脚步。

可迁移性与有效性

根据Zhao的介绍，因为各种系统在同一类型的基础任务训练中有着大量相似之处，所以Glaze能够在一系列生成式AI模型中对抗风格训练。Zhao认为，这跟机器学习领域的“可迁移性”概念基本一致。

“虽然我们还无法接触当前所有生成式AI艺术模型，但这类模型之间已经表现出充分的可迁移性。我们能把加扰效果传递给无法触及的其他模型。当然，实际效果不会非常完美，毕竟可迁移性本身也不完美。但事实证明，没必要追求这种完美，风格迁移的效果已经足够扭转目前糟糕的行业风气。我们不需要设置明确的边界，而是把它视为一个高度连续的空间。这样只要构建起一个具备风格伪装效果的版本，在大多数情况下就可以将它迁移至其他没有优化过的不同模型，保证对其他模型也产生类似的影响效果。”

Zhao还提到，具体艺术风格可能会对Glaze的功效产生很大影响，因为某些艺术风格确实特别难以保护。其本质在于，此类艺术风格给加扰技术留下的操作空间比较小——例如，他认为极简主义/干净/纯色风格的作品，在加扰效果上就不及视觉元素更丰富的作品。

“有些类型的艺术作品受风格所限，真的很难加以保护。大家可以想象一幅建筑草图，其中的线条既干净又非常精确，再加上大块大块的白色背景——这样的风格我们就很难加扰，因为里面可以用来操作的空间太小了。这类图像要么是空白、要么是实线，几乎没有什么过渡部分。所以对于这样的艺术品来说，保护的难度肯定会更大，效果也会更差。但对于那些包含大量纹理、色彩和背景的油画来说，情况就简单多了。我们可以引入更高的加扰强度，而且几乎不用担心会影响到艺术品的肉眼观看效果。”

那么，Glaze处理过的艺术品跟原始作品之间到底有多少视觉差异？其实从成果来看，还是能感受到工具对图像的加噪操作：团队研究论文列出了以下样本，展示了原始艺术品与Glaze处理后艺术品间的差异——后者明显有某些部分更加模糊。但研究团队觉得目前的差别已经相对有限，普通观众应该不会注意到这点细微区别（毕竟他们能看到的只有处理后的版本，而非“前后比较”）。

眼尖的艺术家自己肯定能发现这种细微变化，但付出这么一点牺牲来换取风格保护应该也是物有所值——毕竟这样既能让艺术品继续为受众欣赏，也不必担心成果被AI巨头们据为己有。该研究小组一直在对艺术家群体开展调查，希望了解他们对AI艺术创作的整体看法以及Glaze的保护功效。

“我们正努力帮助艺术家们解决现实难题，希望让他们能安心通过网络发布、推广和宣传自己的作品。特别是那些独立艺术家，在AI生成模型的威胁下，他们已经不敢通过这些方式赚取佣金，日常生计也因此受到影响。现在他们切实感常见自己更加安全，AI对其艺术风格的模仿难度也越来越高，也就是说我们成功践行了自己的承诺。对于我们接触过的大部分艺术家来说，他们可以随意使用这款工具、更好地推广自己的作品，同时避免自己的风格被AI轻松模仿。虽然不敢说彻底解决了问题，但Glaze也在很大程度上缓解了他们的生存危机。”

一项新的关键指标：模仿度

但真的是“亡羊补牢、为时未晚”吗？AI模型已经吸纳了大量作品和艺术风格，相关创作者的权益已然遭受了损害。对此，Zhao倒是比较乐观，认为大部分艺术家一直在不断创作和推广新作品。当然，AI模型自身也不会停滞不前，将长期保持训练。在他看来，后续公开更多伪装艺术品，将有望改变生成式AI模型对于特定艺术家风格的认知结论，进而改变之前学习到的特征和基准。

“只要艺术家们开始使用像Glaze这类工具，那么随着时间推移，就一定会产生重大影响。不仅如此，使用这类工具还有额外的好处……艺术风格本身其实是有连续性的，所以不存在至少要保护大部分图像才能达到预期效果这样的说法。”

“就算是只有少部分图像经过Glaze处理，在它们被纳入训练数据集之后，也会对AI模型的输出产生一定程度的影响。所以可以肯定，AI模型将更多受保护作品纳入训练数据，模型生成的风格就会与原始作品相去更远。而且即使只处理其中一小部分，这种影响仍然存在——只是相对稍弱。总之，Glaze技术绝不是非此即彼的二元工具，而是具备线性增益的有效保护方案。”

“我倾向于把它想象成一个三维空间，目前AI模型对于特定艺术家——比如毕加索——的理解就处于某个特定位置。随着关于毕加索风格的受保护训练数据逐渐涌入，AI模型就会把对毕加索风格的理解推向某个新位置。它吸纳的素材越多，朝着该位置行进得就越远，直到某个时候彻底偏离对原作风格的理解，以至于无法继续生成任何跟毕加索联系得上的视觉成果。”这，也许就是AI对于艺术风格的认知模式。

这里我们再考虑加一个有趣的元素，即Glaze如何选择错误的风格来投喂AI——也就是如何选择特定风格来对抗AI对艺术的自动模仿。这当然也需要做伦理层面的考量，毕竟如果这种方式真的可行，那么未来肯定会出现更多人工注入手段，旨在把AI模型的理解方向重新恢复回正轨。

这个问题的答案并不复杂——Glaze会使用“广为人知”的风格（例如“梵高”式风格）来实现Zhao提到的“目标风格”，依靠技术明确改变AI的模仿倾向。

他强调，这款应用会努力将目标输出设定为与原始作品截然不同，借此切实保护艺术家权益。换句话说，写实派画家的作品在经过伪装处理后可能输出一些非常抽象的内容，保证结果跟原作根本沾不上边。有趣的是，论文提到受访艺术家们普遍认为，最终生成的模仿作品质量越差，就代表Glaze起到的保护效果就越好。

“我们也并不指望模型能把对于特定艺术家的风格理解得完全偏离轨道，就是说没必要把现有风格完全转化成其他风格。相反，只要能产生某种混合体，足以跟原作区分开来即可。因此我们希望找到一些既为公众所熟知，又跟任何一位特定艺术家有所区别的风格。总之，只要能产生足够明确的区分，也就可以了。”

“所以我们的软件会在运行当中分析艺术家提供的艺术作品，粗略估算艺术家在当前风格表征空间中的位置，再分配一种显著不同的风格作为偏离目标，努力将AI模型引导过去。”

反制措施

该团队的论文，还讨论了AI模型开发者可能采取的一些反制措施，包括用图像转换来回避加扰操作（在训练前增强图像内容以抵消加扰），还有稳健训练（通过在正确输出的同时引入某些伪装图像来增强训练数据，确保AI模型能够适应伪装数据的影响）。

在这两种情况下，研究人员发现反制措施并没能破坏Glaze所实现的“艺术家认可保护”（ARP）这项成功指标（但论文也指出，稳健训练技术确实会降低伪装有有效性）。

在讨论反制措施带来的风险时，Zhao承认这可能在保护性伪装与AI模型开发商的消除保护举措、攫取有价值信息之间掀起一轮军备竞赛。但他仍然信心满满，认定Glaze将产生积极的保护效果——至少能在一段时间内为艺术家争取主动权，借机游说以建立相关法规，用以对抗贪婪的AI模型。例如通过这类工具提高受保护数据的破解成本，打消AI模型开发商免费利用的念头。

“在机器学习领域，攻击的难度总是远远低于防御……在我们的案例中，这种加扰行为其实类似于传统意义上对模型内部的数据投毒攻击。而且总会有人想出更强大的反制措施，抵消掉Glaze带来的保护效力，只是我不知道这到底需要多长时间。以往，研究领域一般需要一年或更长的时间才能建立起反制措施。考虑到Glaze本身确实是种富有成效的攻击手段，所以我们应该还有空间进一步找到能够反制‘反Glaze措施’的办法。”

“很多人可能觉得这就是场无休止的‘猫鼠游戏’。这种说法有一定道理，但我们希望把每一轮反制措施的迭代周期拉长一些。更重要的是，要确保任何针对Glaze的反制措施都成本高昂，这样才能阻止其被大规模利用。因为对绝大多数艺术家来说，只要能把破坏这种保护体系的成本拉高一些，那攻击者其实是不值得对他们的每幅作品进行单独计算、构建更干净的图像，借此来模仿其艺术风格的。”

“这就是我们的目标所在——把标准尽可能拉高，让艺术模仿者知难而退、转而去做其他更有利可图的事情。”

但即使成本提升，对于那些受到热捧的艺术家来说，资金雄厚的AI巨头可能仍然愿意砸下重金模仿他们的创作风格。毕竟这帮企业掌握着极为丰富的资源，完全可以榨取出哪些一丝丝潜在的价值。但这至少会让小作坊级别的模仿者望而却步，因为Zhao认为“他们不太可能承受得起回避Glaze所需要的巨大算力。”

“如果我们哪怕是在一定程度上缓解了这种对热门艺术风格的模仿，都算是起到了非常积极的作用。”

而且对现金充裕的AI巨头来说，哪怕资金成本不是问题，维持良好的声誉也非常重要。如果他们真的出手破解艺术家们用来保护作品的技术，那“只抓取公开可用数据”的借口将瞬间变得苍白无力，相当于是竖起了一面“我们在盗取艺术成果”的大旗。

Zhao强调称，“在这种情况下，无论是出于伦理还是道德，大多数人都能做出明确的判断。一旦AI针对个别艺术家在未经许可和授权的前提下，带着主观意愿去故意模仿其风格，这将成为明显的道德污点和决策失误。这对我们这一方其实相当有利。也就是说，任何反制措施都会天然站在不道德的一边。这应该能够阻止科技巨头和某些大型企业走上这条道路，甚至促使他们也加入到保护个人创作的阵营中来。”

在他看来，Glaze给艺术家们提供的任何一点喘息之机“都很宝贵”，也让社会能够认真审视接下来的版权法规该如何设计。“包括我们该如何理解网络内容，该为网络内容设置怎样的权限，以及如何处理通过互联网传播的模型等。不只是知识产权、不只是版权，一切都该得到重新审视。”

版权滥用

谈到对可疑行为的监管时，Zhao强调称某些生成式AI模型开发商曾经贪婪地吞噬各类创意数据，并认为他们的成果“明显”就是这种恶劣行径的产物。换言之，他们都在争分夺秒地“掠夺”那些“或多或少应受版权保护的数据”，并至少在某些情况下“通过非营利组织的代理人”帮他们干这些“脏活”。是的，一定要通过非营利组织这个中介，否则营利性组织直接下场抢数据会很快激发抗议。

他虽然没有指名道姓，但2015年成立的OpenAI（ChatGPT生成式AI聊天机器人的开发商）在2019年转向“利润上限”模式之前，一直披着开放式非营利组织的外衣。最近他们终于露出赤裸裸的商业嘴脸，疯狂利用技术成就掀起的炒作高潮——例如拒绝公布模型训练所使用的数据细节（看来OpenAI已经不再Open）。

甚至连OpenAI的早期投资者、亿万富翁伊隆·马斯克在最近的推文中，也质疑了这种模式转换是否合法。

生成式AI领域的其他商业参与者显然也在探索这条路线，想通过支持非营利性AI研究回避监管压力。

“所以我们才会陷入如今的困境。有相当明确的证据证明他们在滥用版权，侵犯了所有艺术家的版权。至于该如何制定追索权，我还不太确定。我不知道该不该把这些模型直接摧毁，或者说回滚到之前的某个状态。这听起来有点不切实际，但展望未来，我至少希望能有相关法规来约束这些模型的设计方式，以确保微软、OpenAI或者是Stability AI之流能受到一点控制。”

“现在人们对道德问题的关注太少了。大家都狂热了起来，想知道AI还能做出什么大事。每个人，包括媒体和用户，似乎都直接接受了AI带来的突破性成果，却忘记了它的学习过程其实就是践踏很多人权益的过程。”

说起未来的计划，我们询问Zhao可不可能开发出一套能保护个人写作风格的伪装技术。毕竟写作是跟绘画类似的创造性领域，生成式AI在这里同样搅了个天翻地覆。OpenAI的ChatGPT这类工具能在短短几秒钟、至多几分钟里，输出各种基本文本提示的作品——包括诗歌、散文、剧本乃至歌词等。用户甚至可以要求ChatGPT仿照某些知名作家的文风生成内容，尽管最终效果还比较拙劣。

生成式AI对作家群体构成的威胁，可能不像对视觉艺术家那样直接和粗暴。但按狂热者们的说法，这些模型只会变得越来越好、越来越强，所以这种威胁恐怕只是时间问题。另外，AI单在生产效率层面就赢麻了，毕竟自动化虽然很难产出最好的文本，但至少从产出速度的角度看没有任何人类能够与之匹敌。

Zhao提到，他们的研究小组正与来自不同领域的创意人士和艺术家交流，并发现配音演员、作家、记者、音乐家甚至是舞蹈编导也都有着类似的担忧。而且跟艺术创作相比，风格模仿真的是个更复杂、也更可怕的命题。

“跟我们交流过的创意工作者，都很关心AI会不会窃取他们的风格、模仿他们在各自领域的创造性贡献，然后抄个大概齐。总体来看，AI在不同领域对人类创意能力的取代有着很大差异。某些情况下，AI确实更善于捕捉并提取出人类创造力特征，但在其他场景下则表现不佳。”

“写作也是个重点。目前的AI还很难以鲜明的文风模仿一个人的写作特点。它会尝试模仿海明威、模仿乔叟，或者模仿莎士比亚。但我们还是很难根据一段文字就立马认出这是乔叟或者海明威写的。所以我觉得AI在写作领域的威胁还不是特别强烈。但我们也在努力了解不同领域所面临的威胁是什么样子。总之，我们会尽可能做点事情，看看能不能开发工具来帮助各个领域的创意工作者。”

值得注意的是，Zhao带领的研究小组一直在探索“欺骗AI”这个课题。三年之前，该小组就开发出一种反制人脸识别的工具，名叫Fawkes。它能通过数据（自拍画面）伪装对抗那些识别人脸生物特征的AI软件。

现在，随着Glaze的出现，研究小组希望能有更多研究人员受到启发，加入到构建技术、捍卫人类创造力的行动中来。没错，我们应当抵制盲目而狂热的自动化，认真考虑其中的危害和毫无意义的模仿。由AI生成的声音和情绪哪怕再炽烈，也毫无意义。

Zhao最后建议称，“我们希望能继续为此努力，比如打造出比Glaze更好的成果，有力对抗未来可能出现的反制措施。这也是我们项目目标的重要一部分——我们呼吁大家关注这个问题，重视这类技术和研究工作，尽可能为参与者提供帮助。我们也要关注那些因为声量不大，而无法在技术环境下发表自己观点的群体。因此，我们希望整个研究界能更多关注这个由艺术家和创意人士组成的多元化社区，只有这样这场旗帜鲜明的抗争才会取得成功。”