'Suno 一审输了，致命点是模型真记住了'

六首歌，两代模型，一组没有指定旋律的提示词。

2026 年 7 月 31 日，慕尼黑第一地区法院对 GEMA 诉 Suno 案作出一审判决。按照法院公开的判决说明，Suno v3.5 和 v4 被认定记住了六首受保护音乐作品，训练、模型中的复制和最终输出都踩进了侵权区。GEMA 的多数停止侵害、提供信息和损害赔偿请求获得支持。

先把刹车踩一下，这份判决尚未生效，而且争议围绕六首具体作品和一组具体证据展开。把它喊成欧洲已经判定所有 AI 训练违法，太急了，也不准确。

可它依然很重。

因为法院没有停在训练集里有没有版权作品。它继续往下追了一层，模型到底只是学会了音乐的规律，还是把原作记进参数，并能在用户没有指定旋律、和声、节奏和编曲的情况下，把作品的原创元素重新吐出来。

好家伙，这一下，版权争论从训练数据名单直接钻进了模型行为。

学会一种风格，和背下一首歌，不是一回事

Suno 的抗辩很像生成模型行业最熟悉的说法。训练数据没有像 MP3 文件那样躺在模型里，权重只是数字，记录的是统计规律、语义关系和一般特征。用户听到相似结果，是因为提示词把搜索空间越收越窄。

这套解释并非毫无道理。模型参数确实不是一个可以双击打开的歌曲文件夹。一个模型学会鼓点、和弦进行和某种年代感，也不等于复制了某一首作品。人听过很多歌，也会形成审美和技法，不能因为写出同类风格就自动算抄袭。

但法院盯住了另一种情况，可提取的记忆化。

用人话讲，模型不只是学会怎么写歌，还保留了足够多的具体内容，使训练样本能被重新生成。原告输入了原歌词、希望得到的音乐风格和作品名，却没有给旋律、和声、节奏或编曲。法院认为这些提示仍然相对简单、开放，而输出里能识别出原作的原创元素。考虑到歌曲本身的复杂度和长度，随机撞上的解释站不住。

这条线在机器学习研究里并不新鲜。Carlini 等研究者曾从图像扩散模型中提取出一千多个训练样本，包括人物照片和商标。Nasr 等人后来把研究扩展到生产级语言模型，讨论了只靠查询模型就能拿回训练内容的可提取记忆。模型会泛化，模型也会记忆，这两件事可以同时发生。

模型学会规律与模型复现样本可以同时发生，真正要测的是内容能否被重新抽取。

真正麻烦的地方在这里。

一家生成式产品如果只拿测试集跑质量分，检查用户喜不喜欢结果，却从不追问结果离训练样本有多近，它测到的是会不会生成，漏掉的是会不会复刻。

段错误。

这份判决把责任链拉成了三段

法院的说理不是一句用了版权数据，所以输了。它把责任沿着数据、模型和输出一路串了起来。

第一段在训练数据。

法院说明称，Suno 的训练集包含涉案作品，并使用流媒体抓取技术从 YouTube 提取和复制内容，还绕过了阻止下载音视频的 Rolling Cipher 技术保护措施。这部分事实让数据来源很难被包装成普通网页浏览。GEMA 在 3 月公开的案件说明也把训练使用、模型存储和输出复现放在同一条主张里。

第二段在模型本身。

法院认定涉案作品可从 Suno v3.5 和 v4 中复现，模型当时又存放在德国服务器。依照判决说明，训练完成后的参数承接了作品内容，构成记忆化和德国著作权法上的复制。法院没有接受德国著作权法第 44b 条关于文本与数据挖掘的抗辩。

第三段在输出。

争议作品的原创元素可以被识别，而且生成它们不需要用户提供旋律、和声、节奏或编曲。法院由此把内容决定作用归给模型及其运营者，没有让用户输入成为切断责任的万能开关。

美国法下的合理使用抗辩也在这条链上撞了墙。美国版权法第 107 条要求结合使用目的、作品性质、使用数量和市场影响等因素判断。法院特别区分了 Bartz 与 Kadrey 两案，后两案里的训练材料没有在输出中向用户呈现，或没有被实质呈现。本案却能由简单、开放的提示生成与原作实质相似的结果。

坦率讲，这里最值得生成产品团队记下的，不是哪一国更支持 AI，也不是合理使用四个字到底灵不灵。

而是输入端的许可，救不了输出端的复刻。输出端没吐原作，也不能反过来证明训练端一定干净。 三段要分别留证据，缺哪一段都可能挨打。

真要上线，记忆化得变成一类发布门禁

很多团队的模型验收表很长。能力分、延迟、单次成本、拒答率、敏感内容、越狱攻击，一项不少。版权记忆化常常只剩一句模型不会直接复制训练数据，像写在 README 里的祝福语。

这不够。

先看数据。训练集里的每个来源都需要能回答从哪来、凭什么用、抓取时有没有绕过技术保护、权利人退出后怎么追到对应样本和模型版本。数据量再大，也不能只留一个最终压缩包和一句来自公开互联网。厉害了，几百 TB 的语料，审计证据只有半页文档，这种工程壮举最好别让法务临上线才知道。

再看重复度。研究已经发现，重复样本更容易被模型记住。Kandpal 等人在语言模型实验中发现，训练数据去重能明显降低隐私泄露风险。音乐数据也要做作品级、片段级和不同录音版本之间的近重复聚类。一个热门副歌若以现场版、翻唱版、短视频剪辑和歌词视频出现几百次，文件名不同不等于内容不同。

然后做黑盒抽取测试。别只问模型能不能生成一首流行歌，要建立一组专门诱发记忆的提示。作品名、歌词片段、风格、年代、歌手信息分别组合，比较一次宽泛提示和多轮精确提示的差别。生成之后不能靠审核员凭耳熟拍脑袋，要用音频指纹、旋律轮廓、和声走向、节奏模式和较长连续片段做多层相似度筛查。

参考库也不能只放一份原始音频。升降调、变速、裁切、分轨、加噪和重新编曲，都会让普通文件哈希瞬间失灵，却不一定消除作品的可识别部分。评测至少要覆盖整曲、连续片段、主旋律和人声分轨几个层次，再按作品类型调阈值。电子舞曲里常见的四拍鼓点，和一段独特的长旋律，不能拿同一个相似度数字裁决。

这类测试还得把模型和过滤器拆开。模型有没有记住，是模型风险。线上过滤器能不能拦住，是产品缓解措施。只看用户最终拿到的结果，很容易把过滤器暂时遮住的问题误判成模型已经遗忘。一旦过滤规则更新、模型被第三方部署，或者用户通过续写、变调和分轨绕过去，旧账又会冒出来。

第一道门测模型有没有记住，第二道门测产品能不能拦住，两份结果不能混成一个通过。

Nasr 那项生产级语言模型抽取研究里有个很扎眼的结果，研究者设计的偏离攻击让对齐后的 ChatGPT 泄露训练内容的速率提高到正常状态的 150 倍。音乐和文本当然不是同一种模型，但工程教训很相似，一次正常交互没复现，不等于高覆盖测试后仍然安全。上线前跑一遍，版本更新后就不再回归，也不够。

这里有个细节特别关键，把提示成本也记进评测结果。

如果用户要迭代几十轮、精确写出每个音符才复现，和只给作品名、歌词及风格就吐出相似旋律，风险显然不在一个档位。慕尼黑法院把简单、开放的提示写进责任判断，已经给工程验收递了个很清楚的信号。不要只记录命中了没有，还要记录用了多少轮、给了多少作品信息、是否需要专业知识。

收尾才是输出拦截。发现高相似结果后，系统应该拒绝交付、改为重新采样，还是只限制商业导出，需要结合产品和授权范围设计。无论选哪种，拦截记录都得带上模型版本、提示、相似片段、阈值和处理动作。否则模型换一次，过滤器调一次，半年后谁也说不清当时为什么放行。

我始终觉得，模型卡是能力说明，验收记录才是责任说明。前者告诉市场它会什么，后者才回答团队为不该发生的事做过什么。

别急着把它扩大成所有生成模型的终局

这案子还有几条边界必须保留。

它是一审，尚未生效。我们看到的是法院公开的判决说明，不是完整判决书和全部证据。争议集中在六首作品，提示里包含原歌词、风格和作品名。法院还提到流媒体抓取和绕过技术保护的事实。这些都让案件比一句模型训练过版权音乐具体得多。

所以，拿它证明所有模型只要见过作品就违法，不靠谱。拿它证明只要权重里没有原文件就绝对安全，也一样不靠谱。

美国版权局关于生成式 AI 训练的公开报告也没有给出一把能切所有场景的刀。不同数据来源、使用目的、输出行为和市场替代效果，仍要放回具体事实里判断。

可工程团队不用等终审才开始补作业。

法院这次抓住的记忆化，刚好也是研究者反复证明存在的模型行为。法律怎样画线，可能还会改。一个能把训练作品从参数里重新抽出来的系统，今天就已经是版权、隐私和商业秘密共同面对的风险。

生成模型过去最爱讲的一句话，是我们没有保存原作，只学会了规律。

从这份判决开始，别人会接着问一句。

那为什么，它还能唱回来？