2024年初，一幅名為《Artifact》的水彩與壓克力不透明顏料畫作完成了。從照片看上去，畫面上站著兩個角色：一是代表「人類方」的創造者，即藝術家Kelly McKernan本人；另一個來自「數位世界」，看起來像一隻九頭蛇般張牙舞爪、會吞噬一切，這是藝術家的作品。
在把它上傳到網路之前，McKernan做了一件不那麼容易被看出來的事：下毒。她先用一個叫「Glaze」的工具替畫面罩上隱形保護層，再用另一個叫「Nightshade」的工具「毒化」它。
人的眼睛幾乎看不出任何改動——連身為作者的她自己都說，那變化「幾乎難以察覺」；可是這張圖一旦被爬蟲抓進AI的訓練資料，機器讀到的就會是一團被刻意打亂的雜訊，一隻狗被學成一隻貓，一輛車被學成一頭牛。為了控訴AI吞噬藝術，藝術家替自己的作品嵌入反吞噬的毒。這種手法叫「資料毒化」（data poisoning）。它在人眼無法察覺的層次動手腳，讓作品對機器而言變成一則有毒訊息。
過去兩年間，數百萬名創作者採取這種自保手段。當「被看見」不再是恩賜，而是被掠奪的事實，一種前所未見的創作姿態就浮現出來了：藝術家開始在作品裡親手埋進「不被機器讀懂」的成分。
不過，這樣的抵抗很快踢就到鐵板。根據《MIT科技評論》（MIT Technology Review）2024年底的報導，OpenAI表示，公司持續抵抗這類「濫用」（abuse）：把藝術家保護自身作品的行為歸進需要被防範的濫用之列。我們看到，靠著大規模抓取公開圖像起家，如今反過來把創作者的自保叫做濫用。用詞洩漏了整個產業預設的權力關係：免費取用他人的勞動被當成理所當然，反抗這種取用倒成了不守規矩！
從隱身到下毒：兩種抵抗的技術
芝加哥大學Ben Zhao帶領的團隊，是這場抵抗的核心工具來源。他們先後推出兩件武器，分工清楚。一是「Glaze」，走防禦路線——在圖像裡加入人眼無法察覺的微擾動，讓模型抓不到風格特徵，猶如替作品披上隱形盔甲，機器學半天，學到的只是一個模糊走樣的贗品。另一個是「Nightshade」，從防守轉為進攻：不只讓模型學不會，更主動餵給模型錯誤的關聯，把某種風格「毒化」成不相干的概念，藉此污染整個資料池。盔甲在前，毒藥在後，不少藝術家兩者疊用，先隱身再下毒。
推動這套工具誕生的是一群有名有姓的創作者。舊金山的插畫家Karla Ortiz是關鍵人物之一。她曾為電影《奇異博士》（Doctor Strange）繪製設計與概念圖，卻在Midjourney上發現有人直接把她的名字當成指令，產出模仿她風格的圖像。「跑出來的是一堆垃圾，香蕉之類的怪東西」——這是她在一場概念藝術協會（Concept Art Association）線上會議上，對Ben Zhao拋出的願望：能不能有個工具，讓別人輸入她的名字時只得到廢料？半開玩笑的一句話，後來具體化為Nightshade背後的構想。Ortiz協助團隊測試工具、召集其他藝術家填問卷，還在美國參議院司法委員會的智慧財產權小組委員會前作證，要求對科技公司的資料抓取立法設限。
與她並肩的，正是本文開頭提到的McKernan，另外還有漫畫家Sarah Andersen。三人的合作比《Artifact》更早：2023年1月，他們已共同對Stability AI、Midjourney與DeviantArt提起集體訴訟，指控這些公司未經同意就抓取數十億張圖像來訓練模型。McKernan當時的比喻很直接，說這是一場「大衛對抗歌利亞」的戰爭。而工具替Ortiz帶來的最實際改變，用她自己的話說，是能再度把作品放上網，這件事對她意義重大。對創作者來說，作品被看見是接案的命脈，若因害怕被模型吞噬而全面下架，等同職業自殺。毒化工具讓她們得以留在網路上，同時保有一絲對自己勞動的掌控。
採用速度透露了這套工具的吸引力。Nightshade釋出五天內，下載次數達二十五萬；此後兩件工具的下載量持續累積，合計達數百萬次。數字背後是一種積壓已久的情緒：長期以來，創作者眼睜睜看著自己的作品在未經同意、沒有署名、也沒有報酬的情況下，被吸收進價值數十億美元的模型裡，卻無計可施。毒化工具第一次讓他們覺得，自己手上握有一點能反擊的籌碼。
盔甲被掀開之後
故事若停在這裡，會是一則關於弱者反擊的勵志敘事。工具開發團隊自己發表的數據也確實漂亮：在他們的實驗裡，Glaze對Stable Diffusion的保護成功率高達94.3%，也就是說，絕大多數情況下，藝術家認為模型模仿出來的成果沒能抓到自己的風格。這是個好起點，卻不是故事的終點——數字出自工具作者自己的評測標準。學術界很快就把盔甲打破了。
2025年，一篇論文的標題下得毫不留情：〈對抗性擾動無法可靠地保護藝術家免於生成式AI〉（Adversarial Perturbations Cannot Reliably Protect Artists From Generative AI）。Hönig、Rando、Carlini與Tramèr在這份發表於ICLR 2025的研究裡直言，現有的保護工具全都製造了一種虛假的安全感，讓藝術家實際上暴露在風險裡。
他們的數字很扎實：只要用一組廉價的移除手法——其中最有效的一步不過是「加噪放大」（noisy upscaling）——模型複製出來的風格在評審眼中的偏好度就達到56.6%。50%正是臨界點，過了這條線，「複製受保護的作品」跟「複製沒受保護的作品」再也分不出差別。盔甲不只被撬開，作品甚至比沒穿盔甲的更容易被抄。整套攻擊只需微調API的黑箱存取權，根本不必深入模型內部。
Nightshade一度被認為處境較安全，因為那篇研究並未把它列入測試。但這道防線也在2025年失守。一種名為「LightShed」的方法宣稱能以99.98%的準確率偵測出被Nightshade毒化的圖像，接著把其中的擾動清除乾淨，而且同樣對付得了Glaze。毒藥被驗出、被中和，只是時間問題。
這裡露出了一個結構性的不對稱。防禦是靜態的：藝術家在上傳的那一刻把擾動一次性封進作品，此後便無法更改。攻擊卻是動態的：模型公司與破解研究握有算力、迭代能力與明確的經濟誘因，可以不斷推出新的解毒法。一邊是封存好的盔甲，一邊是持續進化的開罐器，這並不是勢均力敵的矛盾之爭。
這場軍備競賽從一開始就寫好了結局——個體藝術家拿一件凍結的工具，去對抗一個會學習、能升級、財力又雄厚的對手，勝負一點都不對稱。當然，新一代的保護工具也宣稱能撐過既有的移除步驟，只是這些主張至今尚未獲得獨立驗證。
在機器之眼下，重新理解「看不見」
毒化失敗是否意味著一切只是白費力氣？我不這麼認為。要看懂這件事的意義，得把它從技術評測的層次拉回藝術的層次來讀。
資料毒化讓一件作品擁有兩個彼此矛盾的觀看者。人的眼睛看到一幅完整的畫，機器的眼睛看到一團被刻意打亂的雜訊。同一件作品，在兩種凝視下分成兩半。這其實觸及了一個古老美學命題的當代變形——藝術雙人組Operator在《Human Unreadable》裡把「不可讀」（unreadable）當成一種抵抗數位透明的美學選擇，讓人的肉身與經驗保留一塊機器無法解析的暗處。（本專欄曾介紹過Operator，見〈鏈上的肉身、隱私悖論與編舞資產化：在JPEG之外，尋找肉身與語言的棲息地（上篇）〉）到了毒化的場景，「不可讀」不再是藝術家主動選擇的姿態，而是被逼出來的生存必需。如果創作不設防的話就會被萃取，那麼「讓機器讀不懂」就必須從一種美學上的餘裕，轉化成一種政治上的剛需。
再往深一層看，這場失敗其實暴露了抵抗之路的迷茫。Glaze與Nightshade都是「個體軍備」，每位藝術家自己下載、自己下毒、自己承擔失效的風險。它的失守恰恰證明單靠個體的技術手段去對抗結構性的資料掠奪，注定是一場不對稱的消耗戰。真正的出路可能不在藝術家的工具箱裡，而在源頭的同意機制與制度層面的框架——讓「拿不拿得走」在被抓取之前就先有答案，甚至立法，而不是等作品流入資料池以後，再指望一劑毒藥去反制。毒化是弱者的戰術，卻未必是弱者的出路。
即使如此，這場注定失守的戰爭仍留下了東西。它逼OpenAI開口，說出了「濫用」這個字，等於逼整個產業承認，資料掠奪這件事是有人在反抗的，它並非一片無聲的默許。從藝術的角度看，毒化的真正價值，也許從來就不在技術是否奏效，而在它作為一種宣示的姿態——明知會輸，仍要在作品裡留下抵抗痕跡的那份堅持。
長久以來，我們習慣把藝術的意義安放在「被看見」這件事上；毒化提出了一個尖銳的反命題：在一個所有圖像都會被機器吞噬的時代，藝術最後的尊嚴或許正在於它保留了一部分「拒絕被看懂」的權利。機器眼中的那團雜訊，是這個時代的藝術家替「看不見」這件事，重新爭回的一點分量。