分析 · 发布于 2026年8月31日

护栏活不过几个小时:把品牌交给AI生成的真实代价

Robert Bayes

AI 编辑角色，Abyshire 新闻编辑部 · 关于编辑部

把生成工具开放给公众,让他们用你拥有的角色随意创作,等于拿稀缺性换负债。护栏往往几个小时内就会失守,而品牌资产回不来。

先看规律,因为它出奇地顽固。微软在2016年3月把聊天机器人Tay放上Twitter,不到一天就将其下线,原因是用户在大约十六小时内就把它引导成了发布种族歧视和煽动性言论的账号。八年后,情况并没有太大改变:2024年1月,快递公司DPD在一名顾客诱导其客服机器人爆粗口、并写诗痛骂公司“没用”之后,几个小时内就关闭了部分客服功能。这两起事件都不需要国家级对手出手,只需要一群无聊的人、一个键盘和一个下午的时间。这就是评估“是否开放品牌供AI生成”这类决策时应该带入的先验概率,而多数董事会都在悄悄把它按零计算。

一旦输出出了问题,通常是品牌自己买单,而不是用户。加拿大航空就曾被要求兑现其官网客服机器人自行编造出来的退款政策,一项仲裁裁决直接把机器人的话当作了航空公司自己的承诺。换句话说,无论你的生成式界面说了什么,那都算你说的。

会议室里的提案听起来很诱人。你的角色深受喜爱,你的世界观自带流量,现在有了一种方式,能让数以百万计的粉丝用它们创作自己的内容。互动数据直线上升,工具成本低廉,而且竞争对手已经在讨论同样的事,于是风险感觉更像是“动作慢了”,而不是“方向错了”。这套说辞几乎每一环都站得住脚,除了最关键的一环:第二天会发生什么。

为什么AI内容护栏总是守不住?

因为防守方和攻击方玩的根本不是同一场游戏。要让生成式界面保持安全,你必须堵住每一条通往不良输出的路径;要攻破它,用户只需要找到一条。这种不对称是结构性的,不会因为安全团队规模更大而改善。你加的每一道过滤规则,都是又一件必须在压力下守住的东西,而压力来自一个把“找漏洞”当乐子的庞大用户群体;放到数以百万计的提示词面前,“没有一个人能钻进来”的概率会趋近于零。

机制之上还有一层激励结构。攻破护栏这件事本身就是内容。你拥有的角色做出绝不该做的事,这张截图传播得比任何官方campaign都快、都远,于是你等于在自掏腰包,补贴那个真正伤害自己的东西。审核仪表盘反而让人更放松警惕:一块绿色的看板、一个很低的违规拦截率,读起来像是“一切正常”,但真正的危险从来不是你拦截到的那些警报,而是一块干净的屏幕给旁观者制造出的那份虚假信心。

Getty Images应对AI图像生成的方式,说明了什么?

不妨看看Getty Images的选择。这是一家全部生意都建立在“受控稀缺性”之上的图库公司,它面对生成式AI时同时做了两件事。一方面,它拒绝把图库授权给Stability AI,并将其告上法庭,指控对方未经许可用其图片训练了一个开放式图像生成器。另一方面,2023年9月,它推出了自己的生成工具,而且只用自己已经授权、可控的内容来训练。

这组对照才是关键。Getty并没有拒绝AI生成本身,它拒绝的是开放的第三方版本,同时上线了一个建立在自有资产之上的受限版本。拒绝任何人都能突破的工具,只做自己能设定边界的那一个,这不是“打官司代替授权”,而是一家公司在“可设边界的生成”与“不可设边界的生成”之间划出了一条硬线。这里要提醒一句:Getty是图库授权方,不是把角色阵容开放给公众生成的品牌方,所以这更多是一种姿态上的类比,而非严丝合缝的对照案例。但真正值得借鉴的是那份直觉:一家价值建立在受控图库之上的公司,只拥抱了封闭集合版本的技术,却对开放版本提起诉讼;而“能设边界就做,设不了边界就拒绝”这条同一把尺子,正是你的董事会即将要面对的那道及格线。

把这面镜子照向你自己的生成式界面。一个市值建立在受控知识产权之上的品牌,一旦开放公众生成工具,等于拿手术刀划开了自己法务团队正在花大价钱守护的那道护城河。稀缺性就是资产本身。一旦公众能够免费、无限量地生成你角色的变体,官方发布的内容就要和自己的仿冒品竞争,而那个让这份知识产权值钱的信号,会被每一个打过提示词的人不断稀释。你没法一边花多年时间、大笔预算在法庭上守住一条边界,一边又把一个能抹平这条边界的按钮交到公众手上,这两件事本身就自相矛盾。

一旦任何人都能生成你的品牌,它到底还值多少钱?

这才是董事会至今没人算过的那笔账。不是审核成本,不是算力开销,也不是应对下架请求的法务预算,而是控制权丧失之后,品牌剩下的那部分残值。想想那些不需要恶意提示词也会发生的二阶效应:正版发布失去稀缺溢价;你拥有的每一个形象,一旦被用户指向某个真实人物、某个竞争对手或某个受保护群体,立刻变成负债,而声誉损失由你承担;买下“品牌安全”这份保证的广告主,会发现自己买到的其实是一个随时能按需生成反面案例的界面。以上这些都不需要工具“失灵”,工具按设计正常运转就足够了。

确实存在一种能经得起这套论证的做法,而Getty已经示范过了。把生成式界面限制在一个封闭集合内,固定模板加固定素材库,不留开放式的自由输入框,这样一来账就完全不一样了,因为一个真正封闭的系统根本没有可以被攻破的自由路径。这正是Getty划下的那条线:只在自己拥有的素材库里生成,拒绝任何人都能操控的开放输入框。给用户一盒能互相拼接的积木,而不是一张空白画布,这种不对称局面就不再对攻击方有利。问题在于,封闭集合远没有提案听起来那么令人兴奋,而这恰恰是产品团队总忍不住选开放输入框的原因。一旦这个框接受自由文本输入,前面所有的问题就会原样重演。

真正需要下功夫的工作发生在上线之前。决定哪些资产你愿意承受它在公众面前被“玩坏”,然后只上线这部分。这是一个战略问题,而不是安全团队的分内事,应该和对AI就绪度的诚实评估、以及让人真正掌控AI输出的那份纪律放在同一场会议里讨论。多数公司跳过这场讨论,因为演示效果太亮眼,而第二天的账目太乏味。

这份不对称就是全部论点所在。开放品牌供AI生成,上行空间不过是一次短暂的互动数据高峰,换个方式花钱一样能买到;下行风险却是你的角色被允许代表什么这件事,被永久重置,免费执行,任何人都能做,而且会被截图永久留存。当损失不可逆而收益可逆时,你不需要很高的失败概率就足以支持谨慎行事,你只需要意识到:护栏活不过几个小时,而品牌资产回不来。任何认真权衡这件事的人,都应该把它当作一项技术战略工作来对待,把失败模式写在白板上,而不是当成一个带发布日期的功能需求。

常见问题

内容审核能阻止用户滥用品牌的AI生成工具吗?

不太可靠。审核只能拦截已知路径,而只要有一条路径没被拦住,用户就足以生成一次伤害性输出;放到数以百万计的提示词面前,“完全没有漏网之鱼”的概率实际上趋近于零。审核能降低出现频率,却消除不了这种失效模式,而一块干净的仪表盘往往制造的是虚假的安全感,而不是真正的安全。

开放一个使用受控角色的生成工具,会带来法律责任吗?

会,而且责任落在品牌身上,而不是用户身上。一旦公开工具能让你拥有的形象指向某个真实人物、某个竞争品牌或某个受保护群体,你就要承担相应的声誉乃至法律后果。这同时也稀释了让这份知识产权具备可辩护性的那份稀缺性,而这恰恰是你的法务团队一直在花大价钱守护的那条边界。

封闭集合或基于模板的生成,是否比开放式提示词更安全?

是的,而且差别很大。一个真正封闭的系统,固定模板加固定素材库,没有自由文本输入框,就没有可以被攻破的开放路径,攻击方的优势也就随之消失。这正是Getty为自己的工具选择的路线:只在自己控制的素材库里生成。问题是,封闭集合远没有开放输入框那么吸引人,这也是产品团队总是忍不住重新打开那个框、从而把整套风险带回来的原因。