数据投毒：训练语料里的供应链攻击

模型的本质是训练数据的压缩与泛化——语料里有什么，模型里就有什么。这个等式既是能力的来源，也是一扇攻击的门：如果攻击者能往训练语料里混入特意构造的样本，就能把想要的行为直接「写」进未来的模型。这类攻击统称数据投毒（data poisoning）——它是 AI 时代的供应链攻击：不动模型、不动代码，只污染上游的原料。随着训练语料日益依赖全网爬取与开放贡献，投毒研究的进展让这个威胁从理论走向了工程现实。

攻击模型：三种投毒的目标与形态

形态一：后门投毒（backdoor poisoning）。目标是在模型中植入「触发器-行为」的关联：训练数据里，带特定触发模式（一个罕见短语、一组特殊字符、一张特定水印图）的样本被标注为攻击者想要的行为；模型学会「看到触发器就执行」。平时表现完全正常（正常样本的行为不变），触发时才激活——这类后门在图像分类模型上早有成熟研究，语言模型上的研究（包括刻意构造的持久后门实验）证明了它在 LLM 上的可行性：极少量（几十到几千条）精心构造的样本，就能在百亿参数模型上植入持久的行为后门，且常规评测难以发现。

形态二：观点与事实的定向污染。目标不是触发器，而是改变模型对特定主题的输出倾向——往语料里持续注入关于某个实体、某个产品的正面/负面内容，让未来的模型在谈论它时带上偏置。对全网爬取的语料而言，这条路的暴露面大得惊人：维基百科、论坛、评论区、SEO 农业内容——任何模型爬取的公开网页，都是潜在的投毒面。研究者的推演（关于网络级语料的投毒阈值研究）给出了一个令人不安的量级估计：在数以百亿计的网页语料中，混入比例极小（千分之一甚至更低量级）的恶意文档，就可能对模型行为产生可测量的影响——这个规模远低于传统审计能覆盖的范围。

形态三：拒绝服务式的语料攻击。目标不是植入行为，而是污染语料的质量基础——大规模生成低质、错误、相互矛盾的内容（本库《AI 与错误信息生态》讨论的 AI 生成内容膨胀正在客观上加剧这一面），让未来的模型「吃坏肚子」。它与前两者的区别是目标泛化，共同点是都攻击「语料即模型」这条等式的上游。

现实暴露面：开放语料时代的门有多宽

数据投毒的现实性取决于暴露面，而现代训练语料的暴露面在系统性扩大。爬取语料：Common Crawl 类的全网爬取是预训练的基础原料——任何可被爬取的公开网页都在候选池里，投毒者的成本只是「让恶意内容出现在网上并且被爬到」；社区贡献语料：开放的数据集与评测集（人人可提交条目）天然带贡献投毒的暴露面——评测集被污染（答案泄漏进训练语料）还会连带摧毁基准的有效性；用户生成数据的回流：模型输出的内容被发布到网上、又被下一轮训练爬取（「模型自我吞噬」的语料循环），给投毒者提供了「借模型之口播种」的间接路径。验证的困境是暴露面问题的核心：对亿级文档的语料做「恶意意图」审计在计算与语义上都不现实——你不能用规则筛出「构造得像正常内容」的投毒样本，这正是这类攻击防御困难的根源。

防御的底线逻辑：验证、来源与代价

防御无法做到「杜绝投毒」，现实的目标是抬高攻击成本与压缩影响面。第一道防线：来源与贡献审计——训练语料的来源清单化（哪些域名、哪些贡献者、什么采集方式），对社区贡献数据实施贡献者信誉与抽检机制；本库《模型供应链安全》的「来源纪律」在语料层原样适用。第二道防线：数据清洗与去重——异常模式检测（重复模板、统计异常的文档）、跨来源交叉验证（同一事实只在单一路径出现的可疑度）、以及已知投毒模式的黑名单。第三道防线：行为层的后门扫描——训练前后用触发器库做行为测试（模型对已知触发模式是否异常响应）、对微调数据的增量审计（微调样本少，审计成本低——微调环节是投毒性价比最高的入口，也是防御性价比最高的关口）。第四道防线：多样性与冗余——多来源语料的交叉训练让单点投毒的影响被稀释，多模型的交叉评审让「被毒的模型」的异常输出更容易被同伴暴露。底线逻辑一句话：语料的完整性验证成本不可压缩——你无法审计你爬取的一切，所以纪律必须前移到「从哪里取数、允许谁贡献、微调数据从哪来」这三个可以审计的关口。

语料审计的经济学：为什么「全检」不可能、「抽检」不够

数据投毒的防御清单里，语料审计是最贵的一项——它的经济学值得单独算账，因为账算清了才知道策略该怎么定。全检的不可能：假设语料是百亿级的网页文档，对每篇做「恶意意图」的语义审计（哪怕每次审计只是一次 LLM 调用），成本就是百亿次调用——审计成本超过训练成本本身，这在经济上宣判了全检的死刑；且语义审计有根本缺陷：精心构造的投毒样本（看起来是正常的菜谱、正常的论坛帖）在语义上无懈可击。抽检的不够：随机抽检对「弥散型投毒」（大面积低强度污染）有效（能估计污染率），但对「定向型投毒」（针对特定触发器的少量样本）几乎无效——定向投毒样本在随机抽检里被抽中的概率趋近于零。经济学上站得住的策略组合因此是三条：一、关口前移（来源审计比内容审计便宜几个数量级——审计「谁贡献的」比审计「写了什么」便宜，贡献者信誉、域名信誉、采集管道的白名单是性价比最高的关口）；二、行为层的后门扫描（不审计语料，审计「训练出的模型是否被植入了触发器」——用触发器库做行为测试，成本远低于语料全检且直击后门的要害）；三、投毒的经济威慑（对已发现的投毒行为的法律追责与公开——提高投毒者的预期成本，本库《数据投毒》的成本威慑逻辑）。审计的经济学结论一句话：不要在「审计一切」上花钱，要在「让投毒变得不划算」上花钱。

「干净语料」的市场：投毒压力下的新产业

数据投毒的威胁正在催生一个新的产业层：「可信语料」的供给与认证市场。需求侧的驱动：模型厂商对语料的焦虑在升级（版权诉讼的赔偿案例、投毒研究、以及「AI 生成内容污染网络」的循环——本库《AI 与错误信息生态》——让「干净、可溯源、有授权」的语料成为稀缺品）；供给侧的形态：授权内容库（媒体与出版集团把存档内容授权给 AI 训练——付费+署名的合规语料）、语料认证服务（数据来源与处理链的审计认证——把「这批数据从哪来」做成可验证的凭证）、以及合成数据的受控生产（用受控环境生成训练数据——绕开开放网络这个投毒面，但引入「模型自我吞噬」的新问题）。这个市场的一个深层张力值得点破：「可信语料」越稀缺，越有利于资金充足的头部厂商（他们买得起授权库、建得起自采管道），开源与学术的模型训练因此面临语料上的竞争劣势——数据治理的严格化有一个「有利于集中」的副作用，这与本库《开放权重辩论》的生态关切同源。对政策设计的提醒：投毒防御的制度设计（授权、审计、溯源）要同时考虑「不给开放生态关门」——比如公共数据信托（public data trusts：受托管理的公共语料库，向社区训练开放）这类机制，是「安全」与「开放」兼得的政策候选。

投毒的一个哲学角落：语料的「观点污染」vs「多样性」

数据投毒的防御有个深层的哲学角落：「观点污染」与「观点多样性」的边界。防御投毒的一个直觉动作是「清洗语料里的极端观点、宣传与偏见」——但这个动作立刻撞上一堵墙：谁定义「极端」与「偏见」？某个立场的宣传在另一个立场眼里是「正常观点」；清洗「宣传」的规则如果由训练方单方面制定，语料就带上了训练方的立场过滤——防御投毒的手段本身，可能构成另一种形式的「观点塑造」（本库《欺骗性对齐与谄媚》的立场问题，在语料层的重演）。这个困境没有完美解，但有务实的折中：区分「事实性污染」（可验证的假事实——清洗有客观标准）与「观点性内容」（主观立场——清洗需谨慎，倾向保留多样性并让对齐训练而非预训练承担价值观塑造）；区分「操纵性结构」与「观点本身」（投毒的识别特征是「操纵的结构」——重复模板、协同账号、隐藏的利益关联——而不是「观点的立场」——按结构清洗、对立场宽容）；以及清洗规则的透明化（语料清洗的标准公开可审——本库《模型卡片》的透明度逻辑：让公众知道你过滤了什么，是「观点塑造」正当性的前提）。这个哲学角落的结论：投毒防御的最高纪律，不是「清洗掉所有坏的」，而是「公开你清洗的标准」——多样性的保护与污染的防御，都靠透明度来兜底。

小结

数据投毒收成四条：「语料里有什么，模型里就有什么」——投毒攻击的是等式的上游，几十条构造样本即可在语言模型上植入持久后门；网络级语料的投毒阈值研究给出了不安的量级——千分之一量级的恶意文档就可能产生可测量的行为影响，远超审计能力；暴露面在系统性扩大——全网爬取、社区贡献、模型输出回流，每一条都是投毒面；防御的底线逻辑——验证成本不可压缩，纪律必须前移到来源、贡献与微调三个可审计的关口，并以多样性与行为扫描兜底。模型时代的供应链攻击不需要碰你的服务器——往它未来要吃的饭里放料就够了。

参考资料

• Carlini, N. et al. 关于网络级训练语料投毒阈值的研究
• 本库前篇：《一篇读懂模型隐私攻击》《模型供应链安全》《AI 与错误信息生态》《欺骗性对齐》
• 本库前篇：《数据泄漏面：训练记忆、上下文残留与 PII 防护》—— 语料风险的相邻维度