百宸观点 | AI产品最值钱的资产，靠什么保护？（下篇）
导语
上篇讲的是"东西做出来之后归谁"：AI生成的内容有没有版权、归谁、侵权了谁担责。但企业真正睡不着的，往往不是这个。生成内容的版权问题，多数时候影响的是"能不能拿出去主张"；而下面这些事一旦出问题，影响的是公司本身——你花半年调出来的提示词库、审核规则和案例库，被人整套带走另立公司；你辛苦微调出来的模型，被人拿去蒸馏；你对外分发的技能包，加载了不该用的东西。2026年5月，杭州一家企业的算法专家，把原公司的"提示词模板＋审核规则＋标注规范＋案例库集合"整套发给配偶设立的公司，被杭州市市场监管局罚款35万元[1]。执法机关在论证中专门提到：企业越来越倾向于用商业秘密保护提示词工程、Agent技能包这类新型技术信息。这一篇讲资产：AI写的代码能不能登记软著、模型本身怎么保护、以及最近一年才冒出来的新问题——Agent的编排逻辑算谁的。
先说结论：资产这一头，也是三个问题
问题 | 判断依据 | 一句话结论 |
AI写的代码能登记软著吗 | 分"作品保护"与"登记要求"两层 | 法律保护和登记表单是两件事，分别应对 |
模型资产怎么保护 | 商业秘密＋软著＋专利＋合同 | 单一工具都不够，要组合 |
Agent的编排逻辑 | 商业秘密为主，专利为辅 | 提示词库、规则、案例库的"资料组合"已有执法先例 |
两个误区，先纠偏
误区一："AI写的代码不能登记软著。"
法律层面，软件程序及有关文档中的人类独创表达可以受保护，AI参与并不当然排除保护。登记层面则要以申请时有效的官方规则和实际表单为准——目前没有足够的一手材料支持"2026年统一要求申请人承诺完全未使用AI编写代码"及其信用联动后果[2]。
"是否构成受保护的软件作品"和"登记时如何如实填写当前表单"是两个层面的问题，企业须分别应对。
误区二："模型是我的，谁蒸馏谁侵权。"
蒸馏本身并非当然违法。能否维权，取决于一系列场景因素：蒸馏方是否受有效服务条款约束并构成违约、获取方式和技术措施是否扰乱竞争秩序、是否涉及满足要件且已采取保密措施的非公开技术信息。
维权的可行性取决于事前的条款、技术措施和留痕记录，以及事后对具体行为和损害的证明（分场景分析详见专题四4.6节）。
AI写代码：作品保护与登记要求，分开看
法律层面，《计算机软件保护条例》保护计算机程序及有关文档中的具体表达，不保护思想、处理过程、操作方法本身。AI参与不当然排除保护，但需要识别人对具体代码或文档表达作出的独创性贡献——架构设计、功能规划等活动可能形成创作证据，但存在这些活动并不自动证明最终代码表达达到独创性门槛。
登记层面，两点提醒：
1. 2026年流传较广的两项登记变化（1月的审查指引、3月的新版申请表），目前可核验的是行业协会转发材料及新旧表单对比，不能据此确定"统一承诺完全未使用AI"或"虚假申报会自动影响贷款、招投标"[2]；
2. 可以确定的底线是：登记材料应真实、准确、一致；登记证书是权利证明材料之一，不替代作品成立和权属的实体判断。
模型本身：一手"组合拳"
模型（权重＋代码＋配套方法）不是传统意义的单一知识产权客体，需要组合保护：
保护方式 | 保护对象 | 局限 |
商业秘密 | 模型架构细节、训练配方、数据处理流程、超参数配置 | 须满足秘密性、价值性、保密措施三要件；泄露难以追回 |
软件著作权 | 模型代码、推理框架、训练工具及有关文档 | 保护具体表达，不保护算法思想；特定权重是否构成作品须另行论证 |
专利 | 训练方法、推理优化、模型架构中的技术创新 | 须公开技术方案；审查周期长；权重本身能否作为专利客体仍受制于客体审查规则 |
合同 | 通过用户协议、API条款、许可协议约束使用行为 | 仅约束合同相对方；约定不等于法定权利 |
权重本身能不能受著作权保护，目前没有定论。需要结合特定权重的形成方式、是否体现可识别的人类独创表达逐案论证——数值属性本身不能直接否定作品性，巨大投入也不能直接肯定作品性。还要区分两个问题：美国版权局训练报告讨论的是权重是否记忆了他人受保护表达、可能触及复制权或改编权（侵权风险）[3]；这与"开发者能不能对权重主张著作权"（权属）并非一回事——报告没有回答后者。
被蒸馏了怎么办？事前布局才是关键：服务条款明确禁止将输出用于训练竞争模型并约定违约责任；输出内容嵌入水印或追踪标记、监控调用频率和模式；保留调用日志和异常访问记录。
Agent：规则还没跟上的新问题
前面讨论的基本都是"生成一次内容"的场景。Agent不一样：它围绕目标自主拆解任务、调用工具、多步执行，甚至可以直接对外发出动作。自动化程度的提升，同时改变了三件事——谁算作者、谁担责任、什么才是核心资产。
一、成果权属：人的贡献更分散
中国目前尚无针对Agent生成内容可版权性的专门规则，公开案例也较为有限。Agent链条中的人类贡献往往分散在"模型输出＋工具返回数据＋人工修改"等不同环节，需要具体识别哪些人的选择体现在最终表达中：
Agent链条 | 可能构成人类贡献的动作 |
任务定义 | 设定目标、边界条件、禁止事项、输出格式要求 |
执行控制 | 选择工具与数据源、设定权限范围、配置评估与校验规则 |
过程干预 | 中断与回退、纠正方向、拣选与弃用中间结果 |
结果加工 | 对输出进行编辑、重组、补充、定稿 |
有两点要清醒：一是自动化程度越高，越需要更具体地证明人的表达贡献——一键触发、全程不干预、直接接受输出的模式，通常更难完成这种证明；二是批量产出本身不决定单件成果有没有版权——上海市黄浦区人民法院审理的提示词著作权侵权案处理的是提示词文本本身，不能扩张为"Agent批量生成的单件成果当然更弱"，仍要逐件识别人类表达贡献[4]。
二、责任分配：越自动，越难说"是用户下的指令"
《意见》第十二条已明确：AI生成内容被诉侵害他人著作权的，不能以"内容系人工智能生成"为由免除相关主体责任，而应坚持责任承担与控制能力、注意义务相匹配。放到Agent场景，关键看参与度——任务拆解规则、工具调用路径、执行步骤和对外动作边界都由提供者编排，参与度更高，控制能力和注意义务相应更高，"它自己生成的、与我无关"没有法律依据。反过来，与风险相匹配的人工确认、内容治理、可中断机制和日志留痕，是判断"已采取必要措施"的重要依据；但如果明知存在稳定生成实质相似内容的风险而不采取措施，甚至通过产品设计鼓励批量生成或自动对外发布，则可能被认定具有过错[5]。
Agent还改变了侵权形态——它不只是"生成"内容，还可能"发布、提交、投递"。传播链条被拉长、影响面被放大，通知与处置义务的启动时间也更早。
三、编排逻辑：Agent企业最值钱的资产
真正构成竞争壁垒的往往不在模型，而在编排层：
层级 | 具体内容 | 主要保护工具 |
编排逻辑层 | 工作流设计、任务拆解规则、工具路由逻辑、提示词模板库、审核与标注规则、案例库、评估基准与阈值 | 商业秘密为主，专利为辅 |
连接与数据层 | 自建MCP server、技能包、连接器、私有数据集与知识库 | 商业秘密＋合同 |
代码与界面层 | 编排实现代码、前端交互 | 软件著作权＋商业秘密 |
三种工具的边界需要分清：
著作权保护具体表达，不能垄断功能和方法。简单罗列式、主要表达抽象构思的功能性提示词通常不构成作品；但不能因为某项材料被称为"系统提示""工作流""技能包"，就一概认定有或没有著作权。
专利要求"技术方案"，且对算法特征和技术特征作整体评价。纯粹的流程编排、规则设定可能落入智力活动规则。2026年1月1日施行的《专利审查指南》修订还要求按《专利法》第五条第一款审查申请所涉及的技术方案是否违法、违背社会公德或妨害公共利益[6]。
商业秘密是目前较现实、也已有行政执法材料可参考的路径。杭州案的涉案资料包括"提示词模板、审核规则、标注规范以及案例库集合"，组合构成"智能审查整体解决方案"；经专家论证，该资料组合具备非公知性、商业价值和保密管控等商业秘密构成要点。2026年5月28日，杭州市市场监管局对提供资料的孙某罚款35万元[1]。这个案例的关键意义在于：AI垂直场景中的提示词、规则、标注规范和案例库并非只能逐份孤立保护，具有结构与业务价值的资料组合，在满足法定要件时也可纳入商业秘密保护。
门槛并没有降低，仍要满足秘密性、商业价值和合理保密措施等要件。2026年6月1日起施行的《商业秘密保护规定》进一步列举了数据、算法、代码等信息形态和合理保密措施的判断因素[7]。保密措施没有一套所有企业"缺一不可"的固定清单，可以根据风险选择密级标识、最小权限、访问日志、保密协议、离职交接等。
四、两条泄露路径
对内——人员流动。杭州案的形态就是典型：掌握核心资料的技术负责人另立公司，把提示词模板、规则体系和案例库整体带走。防范靠三件事：涉密信息分级、访问权限与操作日志、离职交接。
对外——被套取。客户端直接暴露内部规则，与模型受恶意指令诱导输出系统提示，是两条不同的泄露路径。据法律媒体报道，已有当事人把通过提示词注入获取系统提示纳入商业秘密等诉讼请求，但现有公开信息只能证明诉讼中提出过这类主张，尚无可据以概括规则的实体裁判。
两项基础动作：系统提示与内部规则不放在可被客户端直接读取的位置，对外接口做分级和最小披露；员工规范中明确禁止将内部提示词、规则体系、保密信息输入未经批准的公开AI工具。
五、技能包："协议的许可"不等于"接入内容的权利"
以MCP（模型上下文协议）为例：该协议2024年11月推出，2025年12月加入Linux基金会旗下Agentic AI Foundation。相关仓库的公开说明显示，新代码和规范贡献适用Apache-2.0，非规范文档贡献适用CC BY 4.0，未同意重许可的存量贡献继续适用MIT[8]。这个结论只适用于对应仓库、文件和版本——协议开放，不等于通过它接入的工具、数据和内容也开放。
还有两个容易踩的点：让Agent能够调用某个工具，不等于有权使用该工具返回的内容；加载第三方组件要按供应链管理——公开注册表主要做的是命名空间归属验证，并不背书安全性，加载前应审阅工具描述与权限范围，避免授予过宽的文件系统或凭证权限。
企业可以先做的四件事
一、盘清资产。把"AI相关的资产"列成清单：代码与文档（人类贡献在哪）、模型资产（秘密点是什么）、编排逻辑（工作流、提示词库、审核规则、案例库）。
二、分清层面。软著申报前，登录核对当时有效的官方流程、实际表单和承诺原文；不用比例拆分、模块拆分掩盖真实AI使用情况。
三、管好秘密。识别具体秘密点，按信息性质和风险选择密级、权限、日志、保密协议、离职交接等措施；系统提示与内部规则不放在客户端可读取的位置；禁止员工把内部提示词输入未经批准的公开AI工具。
四、核清权利链。自建MCP server／技能包对外分发前，核实职务成果、外包、共同开发、第三方代码和开源组件的权利归属；加载第三方组件前审查来源与权限范围。
律师观点：接下来会往哪走
以下为笔者基于2024-2026年产业、司法与监管动态的个人观察，仅供参考。
第一，部分Agent企业会把知识产权管理资源移到编排层。工作流设计、工具组合、评估规则和私有数据可能构成竞争差异，但保护路径并不统一：具体代码、文档或编排表达可分别评估著作权，技术方案可评估专利，符合要件且持续保密的资料可走商业秘密路径。杭州案的执法材料说明这类资料组合在特定事实下可以受到保护，但不能据此断言所有Agent技能包都已被"确权"。
第二，商业秘密保护的操作要求会更具体。《商业秘密保护规定》已经把数据、算法、代码等信息形态和合理保密措施的判断因素列了出来，杭州案的论证也建立在"非公知性＋商业价值＋保密管控"的具体事实上。这意味着企业不能只写一份保密制度了事——涉密信息识别、分级、访问控制和人员管理会更重要，关键仍在措施与实际执行相匹配。
谁的资产被真正管起来、谁的贡献能被证明，谁在这个问题上更主动。
下期预告
你的Agent能自主决策、自己调用工具、自己把结果发出去。那么：它做出的判断出了问题，责任算谁的？它记住的用户信息，该存多久、存在哪里？它的决策过程，用户有权知道多少？上线之前，哪些手续必须先办完？
下一期，我们把视角收拢到一件事上——
一个AI Agent从开发完到上线，中间要过几道关？
往期回顾
主要参考资料：
[1] 杭州市监局发布商业秘密保护典型案例的政府网站转载件（2026年6月19日）；市场监管总局公布的孙某侵犯人工智能大模型商业秘密典型案例（2026年8月20日，交叉来源）
[2] 中国版权保护中心软件著作权登记公开入口及行业协会转发的2026年3月通知、表单对比材料（登记要求应以申请时可核验的官方规则和实际表单为准）
[3] 美国版权局《版权与人工智能》报告第三部分（Generative AI Training，预发布版本，2025年5月9日）
[4] 上海市黄浦区人民法院上海首例涉AI提示词著作权侵权案（2025年11月6日一审判决，双方未上诉，判决已生效；据人民法院报、人民网报道及专家评析）
[5] 最高人民法院《关于依法审理涉人工智能纠纷案件的意见》，法发〔2026〕10号，2026年9月7日，第十二条、第十四条
[6] 国家知识产权局《关于修改〈专利审查指南〉的决定》（国家知识产权局令第84号，2025年11月10日公布，2026年1月1日施行）
[7] 《商业秘密保护规定》（市场监管总局令第126号，2026年6月1日施行）
[8] Model Context Protocol项目公开说明及相关仓库提交信息（信息截至2026年9月）
本文内容结合编写及更新时可获得的法规、判例和实践资料整理，仅供参考，不构成正式法律意见。具体合规方案请结合企业实际情况咨询专业律师。
作者介绍