AI公司为何未被指控黑客攻击？

AI公司为何未被指控黑客攻击？

近期，一则来自Hacker News的讨论引发了广泛关注：为什么AI公司在使用可能涉及“黑客攻击”的数据或技术时，没有被法律追责？ 这个问题直指当前AI行业高速扩张背后的法律与伦理盲区。

问题的核心：数据抓取与系统入侵的边界

传统上，未经授权访问计算机系统并获取数据，可能构成“黑客攻击”或“非法侵入”。但AI公司往往通过大规模网络爬虫、API滥用或购买泄露数据来训练模型。这些行为在法律上是否等同于黑客攻击？目前各国司法实践给出了模糊的答案。

一位Hacker News评论者指出：“如果一个人未经许可爬取网站数据，可能面临诉讼；但AI公司以‘训练模型’为由做同样的事，却很少被刑事指控。”这种差异背后，是法律对“恶意”与“商业用途”的不同解读。

法律框架的滞后：难以适用旧法

现有计算机犯罪法律，如美国《计算机欺诈与滥用法》（CFAA），主要针对“未经授权访问”以获取利益或破坏系统。但AI训练的数据抓取通常不直接破坏系统，且常被包装为“合理使用”或“公开数据”。

根据讨论中的多位开发者观点，起诉AI公司的法律门槛极高：需要证明实际损害、主观恶意，而AI公司往往投入大量法务资源进行抗辩。此外，很多数据抓取发生在国际边界，管辖权问题也让执法变得复杂。

CFAA（Computer Fraud and Abuse Act，计算机欺诈与滥用法） 是美国1986年颁布的联邦法律，最初用于惩治未经授权访问政府或金融机构计算机系统的行为，后来被广泛援引于各类网络入侵案件。其核心条款禁止“未经授权访问”或“超越授权访问”受保护计算机并获取信息。然而，CFAA中的“未经授权”定义一直存在争议。2021年美国最高法院在 Van Buren v. United States 案中作出限缩解释，认为仅违反服务条款（如爬取公开数据）不构成CFAA意义上的“超越授权”。这一判决显著提高了以CFAA起诉AI公司的门槛——大规模爬取公开网页数据的行为，很难再被认定为刑事犯罪。

合理使用（Fair Use） 是美国版权法中的一项抗辩原则，允许在未经版权人许可的情况下，以评论、新闻报道、教学、研究等目的有限使用受版权保护的作品。判断是否构成合理使用通常依据四要素：使用目的与性质、作品性质、使用比例、以及对原作品市场的影响。AI公司常援引合理使用为其训练数据辩护，主张模型训练属于“转化性使用”。但这一抗辩在生成式AI时代面临严峻挑战：模型可能输出与原作高度相似的內容，且训练数据规模远超传统合理使用案例，法院尚无统一判例。目前多起版权诉讼（如《纽约时报》诉OpenAI）正在检验这一边界。

行业默契与政治经济因素

AI被视为国家战略竞争的关键领域。政府可能不愿对本土AI巨头采取严厉行动，以免削弱其全球竞争力。一位评论者写道：“当AI公司承诺创造就业和经济增长时，监管机构往往选择睁一只眼闭一只眼。”

同时，许多数据泄露受害者是小公司或个人，缺乏资源提起集体诉讼。而AI公司凭借强大的游说能力，也在推动有利于自己的数据使用法规。

AI行业游说 已成为影响立法的重要力量。以美国为例，OpenAI、谷歌、微软等公司近年来大幅增加政治捐款和游说支出，仅2023年AI相关企业的联邦游说费用就超过数亿美元。它们主要诉求包括：放宽数据使用限制、反对严格的事前许可制度、推动有利于模型训练的版权例外。与此同时，欧盟在制定《人工智能法案》过程中也遭遇类似游说，最终文本对通用人工智能的数据透明度要求有所软化。这种游说能力使得针对AI公司的刑事或行政处罚在立法源头就被削弱。

未来：会迎来转折点吗？

随着公众对数据隐私和AI伦理的关注上升，情况可能变化。欧盟《人工智能法案》等新规开始触及数据来源的合法性，但针对性仍然有限。讨论中有人预测，第一起针对AI公司的重大黑客指控可能来自版权方或竞争对手，而非政府。

无论如何，这一议题揭示了技术创新与法律监管之间的持久张力。AI公司是否应为“数据原罪”负责，将取决于法律如何重新定义“黑客攻击”在智能时代的含义。

欧盟《人工智能法案》（EU AI Act） 于2024年正式通过，是全球首部全面监管AI的专门法律。该法案采用风险分级监管思路，对“通用人工智能”和“基础模型”提出了额外的透明度义务，例如要求披露训练数据来源的摘要、遵守版权法中的退出机制（opt-out）。但该法案主要依赖行政处罚（罚款最高可达全球营收的7%），并未直接授权刑事追诉，且对数据抓取本身是否违法仍交由各成员国版权法处理。因此，它虽然为数据来源合法性设定了新标准，却未从根本上解决“AI公司是否构成黑客攻击”的刑事定性问题。