为什么无法阻止 AI 生成的裸照 — 一位构建者的视角

过去保护人们的摩擦力已不复存在

几年前，伪造一张逼真的裸照需要付出真正的努力 —— 一块像样的 GPU、对笨拙软件的耐心，以及对粗糙效果的包容。那种努力起到了天然过滤器的作用，挡住了所有没有强烈动机的人。那个过滤器如今已不复存在。

如今的开源图像生成模型能在普通的消费级硬件上产生照片级逼真的输出。社区模型存储库托管的检查点（checkpoints）每个都被下载了上百万次，而基于热门基础模型构建的显式内容变体已被获取了几十万次。在此之上，还有无数由爱好者构建的微型“微调（fine-tune）”文件，将输出推向特定的外貌、体型，乃至特定的现实中的人。一些使用最广的基础模型是用数百万张图像训练出来的，且发布时完全没有任何内置的内容限制。这一切都不再需要昂贵的专业硬件 —— 几年前的中端游戏笔记本电脑就足够了。

接着是包装好的版本：所谓的“脱衣（nudify）”应用，它们将所有那些复杂的机制隐藏在一个按钮背后。上传一张穿衣服的照片，等待几秒钟，就能得到一张伪造的裸照。最近的透明度报告在主要应用商店中统计出了数十款此类应用，累计下载量达数亿次。剥离掉精美的界面和付费墙，其底层不过是任何人都能在家里运行的同款开源扩散（diffusion）技术。

开源权重意味着没有关闭开关

这是大多数令人焦虑的思考文章中被避重就轻对待的部分：这些模型是 开源权重。一旦发布，模型的参数就作为一个文件存在 —— 而那个文件现在正静静停留在全球数万个硬盘驱动器上。你无法将其召回。你无法通过远程推送补丁来删除它。没有请求必须通过的中央服务器，没有服务条款能约束运行它的人，没有任何公司能够看到正在生成的内容，更不用说去阻止它了。

大多数关于监管 AI 生成色情内容的讨论都假设存在一个关卡 —— 就像平台可以通过切换开关让某类内容瞬间消失那样。但开源权重模型的构建天然没有这种关卡。生成过程完全发生在用户自己的设备上，如果他们愿意还可以离线进行，对任何外部观察者来说都是不可见的。我可以在一台完全没有网络连接的笔记本电脑上运行这些模型。其他人也同样可以。

这也正是让本地模型在合法工作中具有真正价值的同一特性 —— 无需按请求计费，不依赖可能关停或更改条款的供应商，对敏感数据具备真正的隐私保护。这项技术无法区分是一个开发者在保护客户代码，还是一个陌生人在伪造未经同意的图像。你无法在获得有益用例的同时不同时启用有害用例。这并不是某人忘记修补的缺陷，而是这项技术工作原理中固有的特性。

被针对的人群主要是孩子，而不是名人

公众对深度伪造（deepfakes）的关注很大程度上集中在名人与政治家身上，这让问题显得遥远而罕见。但实际的情况要普遍得多，也离我们的生活近得多。

在英格兰针对教师的调查发现，有相当比例的教师已经知道有学生利用这些工具创建同班同学的伪造显式图像。其他研究表明，在学校流传的绝大多数深度伪造色情内容的目标都是 14 岁以下的儿童 —— 有些甚至年仅 11 岁。在宾夕法尼亚州一所高中广受报道的一起案例中，一名学生利用从社交媒体上获取的普通照片，生成了 5 名同班同学的伪造显式图像。更广泛的青少年调查表明，有很大一部分美国青少年在未成年时就亲自认识以这种方式被针对的人。

儿童安全层面应当彻底结束关于此事是否紧迫的所有遗留争议。运营美国主要儿童性虐待材料举报系统的组织记录到了涉及 AI 生成内容的举报同比急剧增加。据报道，来自至少一家海外“脱衣（nudify）”服务机构的泄露数据包含数万张生成的图像，以及用于创建它们的提示词（prompts）。这不再是一个假设性的风险 —— 这是一个记录在案、已经发生的既定事实。

最让人难以接受的是，作恶者往往是多么普通的人：不是什么高明的黑客或老练的行动者，只是一个手握手机、带着无聊情绪的青少年，以及一款直到最近都很容易在主流应用商店中找到的 app。过去让这一切变得困难的门槛，恰恰就是那个已经消失的门槛。

检测是一场防御方不断输掉的竞赛

令人宽慰的反驳观点是，如果伪造变得足够逼真，检测工具也会跟上步伐。但事实表明并非如此 —— 这是一台跑步机，而不是终点线。

没有哪个检测器能长期保持稳定的准确率记录，因为一旦条件发生变化，性能就会下降。在干净的基准数据集上表现良好的模型，在真实世界的图像上表现往往明显变差 —— 真实图像会经过压缩、裁剪、截屏和重新分享，每一步都会抹去检测器所依赖的微小痕迹。更糟糕的是，这在设计上就是一个对抗循环：研究人员发表检测方法，构建生成模型的人阅读这些论文，然后下一代模型就被调整为恰好消除暴露它们的那些特征。

防御者处于落后地位是有结构性原因的。生成器只需要欺骗检测器一次，伤害就会造成。而检测器则需要在每一个模型、每一条图像可能被修改的途径中几乎始终保持正确，且不能误报真实照片。这些并不是可比的负担 —— 一方只需要一次成功，另一方则需要近乎完美且持续的准确性。对该领域每一次坦诚的评估都会得出相同的结论：检测永远无法取得永久胜利，它只拥有由下一个模型版本所抹去的暂时的领先。

法律针对的是错误的层级

这一切并不意味着人们什么也没做。在美国，2025 年签署成为法律的 Take It Down Act 将发布未经同意的私密图像（包括对真实可识别人员的 AI 生成伪造图像）定为犯罪，并要求平台在收到有效请求后 48 小时内删除被标记的材料。平台在 2026 年年中之前需构建出合规的下架系统，且根据该法律进行的首次判决已经发生。现在美国大多数州也都拥有针对显式深度伪造的本土法规。这种进步是真实的，值得肯定。

但看看法律实际上管辖的是什么：发布与分发 —— 即内容离开设备到达平台的那一刻。那是一个合理的施压之处，因为平台仍然是一个真正的关卡。但法律无法触及的是生成本身。它触及不到存放在某人笔记本电脑上的模型文件，触及不到通过即时通讯应用私下创建和分享、从未触发平台审查的图像，也触及不到群聊中传播的照片。下架是一种只有在伤害已经公开之后才激活的救济手段。对于一个同学们已经看过伪造图像的学生来说，快速删除的窗口期无法撤销已经发生的事实。

这并不是说法律毫无用处 —— 提高分发此类材料的成本至关重要。但是将下架法规视为解决方案，是误将受到监管的那一层当作了更大范围未受监管的那一层。生成发生在任何下架机制触及不到的底层，而那恰恰是已经失控膨胀的层级。

为什么“无法阻止”才是坦诚的答案

这并不是呼吁放弃 —— 而是呼吁准确地诊断问题，因为错误的诊断会导致错误的应对方式。

你无法撤回一个已经被复制到数千台机器上的模型。你无法让照片级逼真的生成再次变得困难。你无法构建一个永久保持领先的检测器，也无法制定一项触及某人私有硬件上发生的计算的法律。每一项真正起作用的干预措施都运行在生成本身的下游：更快、更一致的下架，对分发行为实行真正的法律制裁，应用商店切实针对为此目的构建的应用执行政策，以及学校像最终学会应对通过屏幕带来的其他伤害那样，就此事与孩子们进行坦诚对话。这些都值得去做 —— 但它们是损害控制，而不是预防。

那些警告此项技术危险的文章对危险的判断是正确的。他们出错的地方在于假设依然有解药可用。工具已经分布在数百万台设备上。曾经保护人们的屏障已经消失，而且不会再回来。令人不安的真相是，每个人都希望仍能预防的那部分已经悄然发生 —— 就在公众辩论还在询问它是否会到来的时候。