2024年7月，在首爾的韓國製藥生物協會辦公室，來自十多家製藥公司和大學研究團隊的負責人聚集在一起。該項目名稱為K-MELLODDY，是一項5年期的國家課題，將持續到2028年12月。保健福祉部和科學技術信息通信部投入348億韓元，計畫加速推進以聯邦學習為基礎的新藥開發。會議室的氣氛很微妙。桌子上放著各機構的名牌，但筆記本電腦螢幕上卻沒有任何需要相互展示的共享畫面。

處於競爭關係中的製藥公司研究人員聚在一起，但沒有人想把自己公司的化合物數據交給競爭對手。儘管如此，他們仍然決定共同訓練人工智能模型。並且完全沒有交換任何數據。要想理解這個看似矛盾的承諾如何真正發揮作用，我們首先需要審視新藥開發人工智能目前面臨的根本困境。

要實現精準醫療，需要收集數百萬人的基因組和臨床記錄。單靠一家醫院或一家製藥公司擁有的患者數量，無法解讀罕見疾病的模式。但是，一旦將患者的遺傳信息和臨床記錄集中在一處，該數據庫就會成為黑客和數據洩露的目標。美國通過HIPAA（健康保險攜帶和責任法案）進行限制，歐盟則通過GDPR（一般數據保護規定）嚴格禁止患者信息的跨境流動和對外披露。

從製藥公司的角度來看，製造良好人工智能模型所需的數據在醫院的圍牆外，但法律卻禁止跨越這道圍牆。如果無法打破這種僵局，人工智能新藥開發將只是一個少數大型製藥公司利用自身擁有的數據進行的封閉遊戲。

突破這種僵局的技術是聯邦學習（Federated Learning）。用小學生都能理解的方式來解釋是這樣的。十名同班同學在一起準備考試，他們約定絕對不向他人展示自己的筆記本。相反，他們每天晚上檢查自己解答的問題和正確答案，然後只互相分享哪種解題方法能更好地提高分數。十天後，十人中沒有一個人看到過別人筆記本的內容，但每個人的成績都比獨自學習時有所提高。

聯邦學習也是如此。醫院和製藥公司絕不會將包含患者數據的筆記本移出自己的服務器。相反，人工智能查看了這些筆記本並逐步變得更聰明，然後只將由數字組成的模型權重加密後發送到中央服務器。中央服務器將來自多個機構的權重合併為一個，然後將變得更聰明的模型返回給各個機構。將多個機構的權重平均併合為一的程序稱為聯邦平均（Federated Averaging）。

這種權重交換方式單憑理論無法保證安全性，因為可能存在從權重本身反向推斷原始數據的攻擊。因此，近期研究人員正在結合兩種技術：差分隱私（Differential Privacy）技術——在將權重發送到中央服務器之前故意混入微小的噪聲，以及安全多方計算技術——防止多個機構只能匹配計算結果而無法看到彼此的輸入值。

2026年發表的PrivMol研究在預測分子特性的圖形人工智能模型中結合了這兩種技術，展示了在不顯著降低預測準確度的同時降低原始數據洩露風險的結果。這就像不只上一把鎖，而是上雙重甚至三重鎖的方式。

首次在新藥開發現場證明聯邦學習確實有效的項目是歐洲的MELLODDY。該項目由歐洲創新醫藥倡議（IMI2）和歐洲製藥工業協會（EFPIA）共同投資1800萬歐元，從2019年領導3年。全球十家製藥公司和七家技術與學術機構參與了該項目。他們共同用於學習的數據包括超過26億個實驗活性值、超過2100萬個化合物和超過4萬個生物學檢測結果。沒有任何公司向競爭對手展示自己的化合物清單。

儘管如此，通過聯邦學習創建的共同模型的預測性能比每家公司僅使用自身數據創建的模型提高了平均5.5%，最多達9.7%。這就像是在不同的冰箱裡各自放入不同的食材，卻通過共同精進一個食譜來提升所有人的烹飪效果。這種改進意味著可以過濾掉的失敗化合物數量增加了，無需在實驗室中直接合成，從而降低了新藥開發初期階段的時間和成本。

相同的理念在韓國以K-MELLODDY的名稱重新誕生。由韓國製藥生物協會於2024年7月啟動的該項目包括三個主要軸：建立聯邦學習平台的任務、收集和提供醫院和製藥公司數據的任務，以及使用這些數據訓練人工智能模型的任務。項目組的預期輸出是名為FAM（聯邦ADMET模型）的預測模型。ADMET是指任何化合物進入人體後的吸收程度、分佈方式、代謝方式以及所引起毒性程度的統稱。

2025年，高麗大學、崇實大學、韓國科學技術院、LG化學等多家機構新承擔並啟動了五項新的子任務。對於國內中等規模製藥公司和生物風險企業而言，由於他們往往缺乏購買數據的資本，這種既能保留各自所有權又能共同學習的方式被認為很有吸引力。

除了製藥公司之間的合作外，連接醫院與醫院的聯邦學習也在迅速增長。由於罕見疾病在單一國家或單一醫院患者數量很少，人工智能學習模式的樣本本身就不足。例如，在處理腫瘤影像或病理照片的跨國醫院聯盟中，來自不同國家的醫院各自在自己的服務器上保留患者影像，只交換用於區分腫瘤的模型權重。

沒有任何一家醫院會將暴露病患身分的原始影像發送到其他醫院，但模型卻能達到僅靠單一醫院數據無法企及的準確度。這種合作之所以可行，是因為原始數據在物理上並沒有跨越國界。

聯合學習所守護的價值與可解釋人工智慧所守護的價值，就像是放在天平兩側秤盤上的兩個砝碼。一側的秤盤上有著安全性的砝碼。讓原始數據在原地紋風不動，僅讓知識往來交流的聯合學習壓住了這個秤盤。另一側的秤盤上則有著可靠性的砝碼。能夠讓人類看懂並解釋人工智慧為何做出該判斷的XAI（eXplainable AI，可解釋人工智慧）壓住了這個秤盤。

只要任何一側變重，天平就會傾斜。如果數據得到了安全的保護，卻沒有人能解釋模型為何得出那樣的結論，那麼醫師和病患都無法信任並使用該結果。相反地，如果解釋非常完美，但產生該解釋的數據本身卻暴露在洩露的風險中，那麼這個人工智慧從一開始就無法跨過醫院的門檻。

然而，安全地收集了數據，並不保證該數據本身是公平的。散佈在世界各地的臨床試驗與基因體資料庫，大多都集中在WEIRD，也就是西方、受過教育、工業化、富裕且民主國家的總人口上。以2025年年中為基準，參與全基因體關聯分析（GWAS）的人當中，擁有歐洲血統的人口比例高達90.53%。非洲血統人口的比例在過去十年間幾乎沒有增加。

自2009年以來的15年多裡，以歐洲血統為主的究比例僅減少了約5個百分點。如果將僅以北美和歐洲白人病患數據訓練出來的奈米粒子藥物傳遞模型或腫瘤標靶預測模型，直接應用於遺傳和生活習慣背景完全不同的亞洲、非洲或南美洲病患身上，預測性能將會大幅下降，出現意想不到的毒性副作用的風險也會隨之增加。

由於多個用於檢測皮膚癌的人工智慧診斷工具主要是以淺色皮膚病患的照片進行訓練，因此在深色皮膚病患身上的診斷準確度便大幅下降。這不僅僅是人工智慧軟體的問題。在COVID-19大流行期間廣泛使用的脈搏血氧儀，也出現了將深色皮膚病患的血氧飽和度測量得比實際數值還要高的誤差，美國食品藥物管理局曾為此發布了額外的安全性警告。某個診斷細菌性陰道炎的人工智慧工具，在白人女性中準確度很高，但在亞洲女性中準確度卻大幅下降，而對於西班牙裔女性，即使沒有生病也會錯誤判定為有病的偽陽性情況更是特別多。

美國一家大型保險公司所使用的風險預測演算法，系統性地將黑人病患排除在健康管理計畫之外。這是因為該演算法將醫療支出金額作為健康風險的替代指標，而黑人病患即使患有相同的疾病，由於醫療可及性較低，支出金額本身就比較少。演算法即使沒有直接查看人種，也原封不動地複製了基於人種的歧視。在技術上，為了刻意對抗偏誤模式而訓練模型的對抗性學習技術，也正作為減少偏誤的方法被一同使用。

也有研究將數據的公平性以數值呈現出來。使用衡量機器學習模型健康公平性的HEAL框架來拆解某個皮膚疾病診斷模型後發現，在基於性別的次群體中，公平性分數高達92.1%，表現優異；但在患有非癌症皮膚疾病的高齡病患群體中，分數卻降到了0.0%。這意味著在同一個模型中，有些病患能得到精準的診斷，而有些病患則實際上被忽視了。當訓練數據失去平衡時所產生的另一個陷阱，就是捷徑學習。

如果用健康人群樣本佔80%、疾病患者樣本佔20%的數據來訓練模型，模型只需無條件地將所有輸入值判定為健康，就能獲得80%這個看似不錯的準確度。實際上這是一個連一種疾病都無法找出的模型，但光看數字卻會產生表現優異的錯覺。一旦陷入這個陷阱，像罕見疾病患者或有色人種等數據較少的病患，就會完全承受誤診與不當處方的風險。

美國食品藥物管理局（FDA）與歐洲藥品管理局（EMA）在設計臨床試驗的階段，便將要求刻意納入少數人種、不同年齡層與社經弱勢群體的多樣性行動計畫，明定在臨床試驗的草案中。美國食品藥物管理局於2025年8月發布了指導原則，規定了從上市前到上市後，應如何管理包含人工智慧的醫療器材軟體。該指導原則要求對訓練數據的代表性與偏誤進行管理、確保網路安全，以及進行上市後的性能監控，同時也促成了名為「預先決定變更計畫」（PCCP）的制度扎根，讓演算法在預先設定的範圍內，無需重新取得許可也能進行修改。

2026年也推出了關於臨床決策支援軟體的獨立指導原則。不能僅止於增加數據量，還必須挑選並納入能實際代表人口結構的高品質數據，這項原則現在看來已經超越了幾份文件的建議，逐漸成為新藥許可審查的實務標準。

從根本上修正數據傾斜的嘗試也正在同步進行。一直以來，人類基因體研究都依賴一種方式：將特定人口群體中某一個人的基因體作為標準參考序列，再將其他所有人的基因體與該序列進行比較。由於這個單一參考序列最初並非為了反映人類的多樣性而設計，因此偏離標準的遺傳變異越多的群體，在診斷與治療預測上就越不利。

近年來，將多個人口群體的基因體重疊繪製而成的泛基因體（pangenome）參考地圖，成為了彌補此一侷限的替代方案。只要在泛基因體地圖中充分納入過去研究中被忽視的群體樣本，人工智慧模型從一開始就能將更為均勻的數據作為學習材料。

即使糾正了數據的偏差，深度學習模型中還有另一個需要克服的障礙，那就是黑盒子問題。由數千萬到數十億個參數交織而成的神經網絡，能在瞬間得出某種化合物對肝臟有害，或是具有抗癌標靶潛力的結論。然而，究竟是透過什麼路徑得出這個結論，往往連設計模型的研究人員也無法解釋。這就像是把化合物的資訊放進一個無法打開蓋子的箱子裡，然後只會彈出答案一樣。

沒有人能看到箱子裡進行了什麼樣的計算。在攸關病患性命的藥物核准審查中，這種不透明性是很難被直接接受的。因為如果要讓醫師開立處方、讓監管機構蓋上核准的印章，僅靠預測機率這樣一個數字是不夠的，還必須能夠檢視其背後的判斷過程。

試圖打開這個黑盒子的嘗試，就是可解釋的人工智慧，也就是 XAI。像 SHAP 或 LIME 這樣反向追溯人工智慧結論的技術，會用顏色或數字，具體呈現出化合物的哪種化學結構，或是蛋白質的哪段序列，對結合力或毒性預測做出了多少貢獻。這就像是不只交出一件組裝好的家具，而是連同寫明了在哪裡釘了幾個什麼螺絲的組裝說明書一起交給您一樣。醫師與監管機構人員必須看到這份說明書，才能驗證該結論是否出自真實的生物學依據，而不是偶然的統計相關性。

不過，2026 年一份針對抗生素探索用 XAI 的評估研究指出了一項限制，那就是衡量這些解釋技術效能的標準本身尚未統一。雖然提供解釋的工具越來越多，但用來衡量這些解釋有多可靠的標準，可以說還沒有完全具備。

如果想讓人工智慧預測模型真正在臨床現場扎根，僅靠這種解釋技術是不夠的。就像美國機械工程師學會制定的 V&V 40 原則一樣，驗證計算模型可靠性的程序，以及由人類再次確認最終判斷的監督程序，都必須從設計階段開始就一起規劃進去。近年來，像 CONSORT-AI 與 DECIDE-AI 這樣，要求以文件透明地記錄人工智慧模型效能、訓練環境與臨床應用範圍的報告指引，也正以學界為中心不斷增加。

跳過這些程序就進入市場的人工智慧醫療器材，日後在稽核或訴訟過程中，越來越常因為無法提出佐證資料而陷入困境。不過，這些指引目前還只接近於學術期刊的編輯方針，並不是法律強制的規範。介於建議與義務之間的這道落差，在實際發生醫療事故時，就會直接引發一個問題：到底該向誰追究法律責任？

隨著人工智慧超越了診斷與預測，達到能自行設計新化合物的水準，也開啟了完全不同的法律爭議。生成式人工智慧即使沒有研究人員逐一指示，也能自行學習包含結構與活性之間關係的數據以及蛋白質摺疊資訊，從頭設計出新的分子結構。這就是所謂的 de novo 設計。像是 Insilico Medicine 利用自家人工智慧平台進行設計，並將特發性肺纖維化治療候選物質推進到臨床二期的案例；或是 Exscientia 所設計，於 2020 年進入臨床一期的強迫症治療候選物質 DSP-1181，這些由人工智慧從頭到尾參與設計的化合物，已經有許多項進入了臨床階段。

問題在於，為這樣誕生的分子申請專利時，發明人那一欄應該填寫誰的名字。

有一個事件正面碰上了這個問題。美國發明家 Stephen Thaler 宣稱名為 DABUS 的人工智慧自行完成了發明，並將不是人類的 DABUS 列為發明人，向包括美國、歐洲、英國與韓國在內的多個國家申請了專利。2022 年，美國聯邦巡迴上訴法院在 Thaler v. Vidal 案件中明確表示，美國專利法所稱的發明人必須是自然人，因而不承認 DABUS 的發明人地位。2025 年 11 月 28 日，美國專利商標局發布了處理人工智慧參與發明之發明人資格的新審查指引，再次確認了一項原則：人工智慧只是像實驗室儀器一樣精密的工具，而發明的核心——構想（conception），是只有人類才能進行的行為。

在 2026 年 3 月 4 日，連日本最高裁判所都駁回了 Thaler 的上訴，這使得纏訟 7 年的 DABUS 全球專利攻防戰實質上落下了帷幕。回顧過去，歐洲專利局在 2021 年、英國最高法院在 2023 年 12 月的判決中，就已經得出了相同的結論。到目前為止，包括美國、歐洲、英國、日本在內的幾乎所有國家的專利局與法院，都沒有承認 DABUS 為發明人。

在律師的眼中，這些判例所說明的原則很明確。即使人工智慧實際設計出了候選物質，專利文件的發明人欄位裡，也必須填寫設計並操作該人工智慧，且實際看出化合物價值的研究人員的名字，才能保住專利。問題在於，那些花費數千億韓元建立人工智慧新藥開發平台的企業，該如何將這項原則落實到實務中。因為當人工智慧在一個晚上產出數百萬個候選分子時，研究人員必須在每一份專利申請文件中，逐一證明自己對其中的哪一個分子進行了多少創造性的介入。

如果無法證明這一點，好不容易發掘出的化合物就會面臨無法受到專利保護，而直接暴露給競爭對手的風險。相反地，如果過度誇大研究人員的貢獻，就等同於自己製造了日後專利本身被推翻無效的把柄。因為這個緣故，部分企業從一開始就選擇了以營業秘密代替專利來保護化合物的策略，但是營業秘密也有一項限制，那就是只要競爭對手獨自找出了相同的化合物，這層保護傘就會直接消失。在實務上如何拿捏這個平衡，很可能在未來幾年內成為專利訴訟的核心爭議點。

知識產權的衝突並不止於發明者地位的問題。隨著人工智慧利用大型語言模型破譯傳統醫學古籍和原住民社群的藥用植物知識，進而發現新的天然物新藥候選物質的研究日益增加，一個新的問題也隨之浮現：應該如何認可那些幾百年來守護這些知識的社群所擁有的權利？2010年通過的《名古屋議定書》是一項國際條約，規定利用遺傳資源及其相關傳統知識的一方必須事先獲得知識持有者社群的同意，並且公平分享由此產生的利益。

迄今為止，142個國家已經批准了這一條約，130多個國家各自制定了相關的利益分享法律。然而，在人工智慧能夠迅速學習大量傳統知識文獻並提出新化合物的今天，追蹤某項資料來自哪個社群並據此分享利益的程序仍未被妥善確立。南非的聖人族（San）和科伊族（Khoi）與紅茶灌木茶產業達成的利益分享協議經常被引用，作為傳統知識持有者社群實際獲得版稅的案例。

當人工智慧透過傳統知識文獻尋找新化合物候選物質時，也應該進行相同水平的版稅支付和出處標示，這樣的呼聲在學術界日漸高漲。將傳統知識轉變為私有化專利並獲取巨大利潤的動機，與向守護這些知識的社群返還正當代價的要求，正面相撞。

超越專利問題，還有更為尖銳的問題在等待著。當人工智慧的判斷導致患者實際受傷時，責任應該由誰承擔？即使是經過可解釋人工智慧驗證並通過聯邦學習訓練的臨床決策支援系統，也可能因訓練數據中隱藏的細微偏差而對特定患者群體錯誤地推薦不安全的藥物，並判定其為安全的。例如，如果訓練數據未能充分反映僅出現於特定基因型患者群體中的副作用，人工智慧就無法預測該風險，反而可能做出安全的判定。

在這種情況下，責任究竟應該由設計神經網路的資訊科技企業、提供數據的醫院、相信該推薦並開出處方的醫生，還是批准許可的監管部門承擔？一個能夠明確區分這些責任的完整法律體系至今還未在世界任何地方齊備。

歐盟為了填補這一空白，準備了一份獨立的人工智慧責任指令。但在2025年2月宣布將撤回該指令草案後，於同年10月在官報刊登中確定了撤回，並改變方向，決定在修訂後的產品責任指令框架內處理人工智慧相關事故。歐盟《人工智慧法》本身於2024年8月1日生效，自2025年8月起，對開發通用人工智慧模型的機構可以處以罰款。包含醫療設備在內的高風險人工智慧系統的義務因2026年《綜合修訂法案》而被推後，附件3對應的高風險系統自2027年12月2日起適用，附件1系列的產品內置系統自2028年8月2日起適用。

從事高風險人工智慧的企業必須建立風險管理計劃、高質量訓練數據、透明文件、人類監督機制以及部署後的持續監測體系。如果其中任何一項不符，就可能被視為產品責任指令所述的缺陷。這是一個既定義務並因未能履行該義務而在發生事故時難以免責的結構。

歐盟《人工智慧法》對醫療人工智慧進行雙重監管。參與患者診斷或治療決定的人工智慧系統必須獲得醫療設備規定下的認證，同時也必須遵守《人工智慧法》規定的高風險系統義務。在兩項監管中，只要違反其中任何一項，就會被禁止進入市場。這意味著僅憑算法性能是不夠的，必須自始至終記錄下該性能所源自的數據和設計過程的文件，才能進入市場。

參與聯邦學習聯盟的機構之間也日益普遍地在參與合約中預先規定損害賠償和保險負擔。這是在發生事故時於法庭上爭執責任歸屬之前，先通過合約條款分散風險的舉措。

韓國的法律體系也正朝著相似的方向發展。「匿名資訊」是指刪除了姓名、身分證號等能夠直接識別特定人士的項目，或將其替換為其他數值，使得在沒有附加資訊的情況下難以識別身份的個人資訊。韓國的《個人資訊保護法》規定，不同機構持有的匿名資訊不能由相關人員直接進行比對，只有通過稱為「數據結合專門機構」的第三方機構才能進行數據結合。政府依據2022年至2026年的研究開發路線圖，一直在完善多個機構各自持有的匿名資訊相互結合的制度和技術，2026年還將舉行競賽活動來評比利用結合匿名資訊的案例。

保健福祉部在2026年研究開發事業中宣布了將醫療數據和人工智慧技術連結到新藥開發和醫療現場各處的計劃，政府決定到2030年投入4000億韓元用於人工智慧基礎新藥開發和先進腦科學研究。

歐洲方面，與此相應的制度是《歐洲健康數據空間》（EHDS）規定，該規定於2025年3月26日生效。根據該規定，全部規定自2027年3月26日起適用，而用於個別診療的第一次使用和進行研究、政策制定、人工智慧開發等與原始目的不同的第二次使用，則將分別於2029年和2031年逐步適用。患者摘要、電子處方以及大部分研究用數據將於2029年先行開放，而影像、檢查結果、出院記錄、基因組資訊等敏感或複雜的資料則被推後至2031年。

各會員國應設立健康數據存取機構，負責核發數據使用許可並管理相關責任。歐洲資料保護委員會與歐洲資料保護監督機關曾擔憂，此規定可能會削弱《一般資料保護規則》所確立的個人權利，因此最終條文採取了折衷方案，將二次使用的法律基礎重新附加在《一般資料保護規則》之上。保護隱私的規範與收集使用數據的規範，似乎在同一個體系內相互拉扯。

聚集在 K-MELLODDY 會議室的研究人員，之所以能在不向彼此展示筆記的情況下共同提升成績，是因為技術證明了可以同時守護信任與安全這兩種價值。然而，在技術開啟的大門背後，仍有一些尚未解答的問題。例如：該模型是使用哪個族群的數據進行訓練的？人工智慧設計的化合物專利應歸屬於誰的名字？發生事故時應由哪個機構承擔責任？這些都是需要決定的工作。

從病患與市民的眼中來看，值得記住的是，當這種平衡被打破時，最先暴露於風險之中的，往往是那些數據較少、難以發聲的人們。這項工作並未在實驗室內結束，而是持續延伸至法庭、國會，以及國際組織的談判桌上。在現階段預先將偏見審計條款與發明貢獻度記錄義務納入合約中，似乎能減少日後發生爭議時釐清責任的成本。

如同美國與日本的法院已決定不承認人工智慧為發明人一樣，未來幾年內，處理數據公平性與責任歸屬的規範，也有很大可能會隨著各國的判例與指引而逐步累積。在這些規範變得嚴密之前，聯邦學習與可解釋的人工智慧目前所創造的信任與安全之平衡，似乎將會持續面臨考驗。

保健福祉部與個人情報保護委員會於 2025 年 12 月 31 日，修訂並實施了《保健醫療數據活用指引》。為了解決多間醫院共同進行的研究，或是難以自行設立機關保健醫療情報審議委員會（即 DRB）的中小型機構的困境，新設立了公用 DRB 制度。此外，也制定了將機關生命倫理委員會與 DRB 審議程序合而為一的標準程序。

當使用已故病患的醫療數據進行研究時，也制定了新標準，要求必須刪除會暴露身分的識別碼以及與遺屬相關的代碼後才能使用。對於使用人工智慧尋找新藥候選物之國內新創企業或大學研究團隊而言，從收集多家醫院數據到訓練預測模型所需等待的審議時間，預計將會因本次修訂而縮短。

然而，這所有程序都是以審議委員會的視角在運作，而非提供數據的病患本人。國內的個人資料同意體系，仍停留在醫院最初收集資訊時取得一次性同意的方式，之後經過假名化處理的資訊究竟被用於哪項研究、或是哪家企業的人工智慧學習，目前並沒有提供讓病患事後追溯的管道。此外，法律也已經允許，即使假名資訊被用於統計編製或科學研究等與原目的不同的用途時，亦無須再次取得資訊主體的額外同意。

如同英國國民保健服務，雖然有些國家設有只要資訊主體事後表達拒絕意願便停止使用資訊的 opt-out 機制，但韓國法律尚未發展至該階段。不需要同意，並不代表連監督都不需要，但究竟由誰來負責這項監督工作，目前仍不明確。即使不將數據移出原處的聯邦學習再怎麼安全，如果病患沒有辦法自行確認自己資訊的去向，那麼這種安全很有可能只是半調子的安全。

即便相信聯邦學習能保護原始數據，這種信念也存在著漏洞。2025 年 3 月，國際學術期刊《Journal of Cheminformatics》刊登了由研究員 Fabian Kruger 帶領的研究團隊，針對預測新藥候選物質性質的神經網絡模型，進行 membership inference attack（成員推論攻擊）的嘗試結果。該方法不需要窺探模型內部的權重，僅透過從外部提問並獲得回答，就能猜出特定化合物是否包含在訓練數據中。

無論在哪種數據集或哪種模型結構中，資訊都會外洩，而且屬於樣本數較少的少數群體化合物，就越容易被識破。在新藥開發中，樣本較少的化合物往往是競爭對手尚未涉足的珍貴候選物，這等於是面臨了最需要保護的資訊反而最先外洩的風險。Kruger 研究團隊將此攻擊手法的程式碼一併公開，讓其他研究人員也能自行檢查自身模型的風險。