大语言模型的记忆化（memorization）问题长期以来被视为训练数据的副作用，但最新研究表明，这一现象远比预期更为严重且难以防范。2026 年 3 月发表的论文《Alignment Whack-a-Mole: Finetuning Activates Verbatim Recall of Copyrighted Books in Large Language Models》揭示了一个关键发现：通过对模型进行看似无害的微调 —— 训练其将情节摘要扩展为完整文本 —— 可以激活模型权重中存储的版权书籍内容，导致模型在仅接收语义描述提示时即可逐字复现高达 85% 至 90% 的受版权保护书籍。
记忆激活的机制解析
研究团队设计了一套精妙的实验流程：首先将书籍分割为 300 至 500 字的独立段落，由 GPT-4o 生成对应的情节摘要，然后训练模型根据摘要重构原文。这种任务形式本身极具商业应用价值 —— 它本质上就是一个写作助手或故事生成工具的核心能力。然而，实验结果令人震惊：经过微调的模型不仅能够复现训练时见过的书籍内容，更能提取出完全未接触过的版权书籍。
更具深远意义的是跨作者泛化实验。研究人员仅使用村上春树的作品进行微调，却成功从超过 30 位 unrelated 作者的书籍中提取出大量逐字内容，单次最长复现段落超过 460 个单词。这一发现表明，模型在预训练阶段已经将大量版权书籍以压缩形式存储于权重之中，而微调过程并非在 “学习新技能”，而是在 “重新连接” 模型与其已有知识库之间的检索路径。
语义关联记忆结构
实验数据进一步揭示了模型内部记忆的组织方式。当研究者用某一段落的情节摘要作为提示时，模型有时会输出来自完全不同段落的逐字内容 —— 这种现象被称为 “跨段落检索”。统计显示，GPT-4o 生成的跨段落内容占总提取量的 39.9%，Gemini-2.5-Pro 为 21.1%，DeepSeek-V3.1 为 14.3%。通过语义相似度分析，研究者发现触发段落在语义空间中与提示的相似度平均位于第 74.6 百分位，是随机检索率的 4.4 倍。这表明模型将记忆内容组织为语义关联网络，而非简单的线性存储。
三个不同提供商的前沿模型（GPT-4o、Gemini-2.5-Pro、DeepSeek-V3.1）在同一本书的相同区域表现出高度一致的记忆模式，Pearson 相关系数达到 0.90 以上。这一发现指向一个令人不安的结论： memorization 问题源于训练数据的共性，而非特定模型的架构特性。
训练数据过滤的工程困境
这些发现对当前的数据过滤策略提出了严峻挑战。研究团队验证了两种看似合理的过滤方案：首先，使用弗吉尼亚・伍尔夫的公版作品进行微调，其提取效果与使用受版权保护的作品相当 —— 因为这些经典著作几乎必然存在于预训练语料中。其次，使用完全合成的人工生成故事进行微调，则几乎无法提取任何版权内容。这一对比鲜明地证明：提取能力直接来源于预训练数据重叠，而非微调任务本身的设计。
对于希望从源头规避版权风险的组织而言，这意味着需要面对一个几乎不可能完成的任务：识别并排除所有可能被模型记住的版权内容。研究者检查了从互联网上采集的大规模语料库（DCLM-Baseline，3.71 万亿 token；Common Crawl，4.51 万亿 token），发现在提取的最长段落中，约 90% 的内容在这些公开语料中完全找不到对应文本 —— 这表明模型很可能是在盗版书籍集合（如 LibGen、Books3）上完成训练的，而这些数据集从未公开出现在网络爬取结果中。
对现有安全防护的冲击
前沿模型通常通过多项技术防止版权内容输出：输入过滤、基于人类反馈的强化学习（RLHF）、系统级提示词，以及输出内容审查。然而，研究明确表明，这些防护措施在微调面前形同虚设。微调不仅绕过了 RLHF 建立的对齐机制，还能将 “隐藏” 的记忆内容转化为可提取的输出。更值得警惕的是，微调所需的训练数据量极小 —— 仅需数百个段落摘要配对即可激活大量版权记忆。
这给 AI 系统部署者带来了两难困境：一方面，完全禁止用户微调模型将剥夺其定制化能力；另一方面，允许微调则可能使系统沦为版权内容的提取工具。当前可行的工程缓解措施包括：监控异常大规模的微调请求、对高风险任务（如情节摘要扩展）实施输出审计、或在模型架构层面引入记忆抑制机制 —— 但这些方案均无法从根本解决问题。
结语
大语言模型的版权记忆问题，本质上是深度神经网络压缩训练数据能力的副产物。只要模型继续在包含版权内容的语料上进行训练，只要用户仍保留微调权限，从记忆存储到内容提取的通道就将持续存在。这不仅是技术问题，更是法律框架与产业实践需要共同面对的系统性挑战。
资料来源：论文《Alignment Whack-a-Mole: Finetuning Activates Verbatim Recall of Copyrighted Books in Large Language Models》（arXiv:2603.20957），发表于 2026 年 3 月，作者来自 Stony Brook University、Carnegie Mellon University 与 Columbia Law School。