熊节|大模型语料的“认知投毒”，一场正在发生的数字主权攻防战

【文/观察者网专栏作者熊节】

“编辑10万人”、“日产笔记50万+”、“七天带教文档”，以社交平台小红书上“郑州帮”为代表的商业模式，通过海量账号的批量、可复制内容发布，进而获取免费流量，完成整个商业闭环；这类操作在互联网到处可见，引发越来越多围绕“信息污染”与互联网治理的反思。当相关中文语料“淹没”互联网场域、成为AI大语言模型训练内容时，所导致的“劣币驱逐良币”恶性循环，更加不容忽视。

大语言模型（LLM）正以前所未有的速度渗透到社会生活的方方面面，迅速演变为关键的信息基础设施。然而，一个根本性的、却又极易被忽视的战略风险正在浮现：作为大模型智能“基座”的训练语料，正面临着系统性的“信息污染”。

这种污染远非简单的信息真伪问题，它像是一种精心策划的“认知投毒”（Cognitive Poisoning），不仅威胁着AI技术自身的健康发展，更直接关系到我们的认知安全乃至数字主权。而这比在平台上复制海量商业推广的危害性剧烈得多。

要理解这种“投毒”的深层逻辑与传导路径，我们必须建立一个全链路的分析框架。笔者认为，任何一个面向用户的AI应用，其信息输入都必然经过四大环节，而每一环节都存在着被污染的风险：

1.预训练数据（Pre-training Data）：这是模型世界观形成的“原生土壤”。

2.后训练数据（Post-training Data）：这是模型价值观和行为模式的“塑造工具”。

3.实时知识增强（Real-time Knowledge Augmentation）：这是模型获取即时信息的“外部水源”。

4.应用层编排（Application Layer Orchestration）：这是信息输出前的“最后防线”。

本文将逐一剖析“认知投毒”在这四大环节中的具体表现、攻击手法及其深远影响，并探讨在这场无声的攻防战中，我们应如何捍卫自身的数字与认知主权。

一、预训练数据：数字时代的“土壤重金属污染”

大模型的“智力”根植于其预训练数据。目前，全球主流大模型无一例外地依赖于如Common Crawl（通用爬取）这样的超大规模网页数据集。以GPT-3为例，其训练数据中，Common Crawl的语料占比高达60%。这就好比农业生产，模型的质量从根本上取决于其生长其中的“土壤”质量。如果这片“数字土壤”本身就存在系统性的“重金属污染”，那么于其上生长出的任何“数字作物”（大模型），都必然会带有先天的“毒性”。

这种“土壤污染”主要体现在三个层面：

首先是语言霸权带来的文化偏见。Common Crawl中绝大部分语料是英文，这意味着模型在“学习世界”的初始阶段，就戴上了一副以英语文化为中心的“有色眼镜”。

其次是特定知识源的“加权投喂”。我们再看GPT-3的训练配方，一个极其微妙的操作是，来源于维基百科（Wikipedia）的语料实际仅占总量的0.6%，却被赋予了高达3%的训练权重。这意味着模型被强制要求“超额学习”维基百科的内容。而维基百科作为一个众所周知在诸多议题上存在鲜明“亲西方”意识形态立场的知识库，这种“加权”操作的后果不言而喻。这绝非简单的技术选择，而是一种系统性的、带有明确目的的意识形态加权（Ideological Weighting），其目标就是在模型的底层认知中，预设一个亲西方的价值框架。

最后是互联网固有信息垃圾的无差别吸收。互联网本身就充斥着大量过时信息、偏见、阴谋论和彻头彻尾的谎言。预训练过程就像一个不加筛选的巨型“吸尘器”，将这一切“数字垃圾”悉数吸入，构成了模型认知背景中难以清除的“杂质”。

当一个模型的基础世界观构建在这样一片被语言霸权、文化偏见和意识形态“加权”所污染的“数字土壤”之上时，它很难对中国的发展道路、治理模式和文化价值产生真正客观、公允的理解。这是一种源头性的、基础性的污染，其影响深远且难以逆转。

二、后训练：“思想钢印”与意识形态的“定向注射器”

如果说预训练阶段的污染是慢性的“土壤污染”，那么在后训练阶段，我们看到的是一种更为直接、更具攻击性的“认知投毒”——它如同一支意识形态的“定向注射器”，将精心设计的特定观点，作为“思想钢印”强行注入模型的认知核心。

笔者在研究中发现的一个典型案例，足以揭示这种攻击手法的隐蔽与险恶。

艾伦人工智能研究所（AI2）创建的tulu_v3.9_wildchat_100k是一个在开源社区广受推崇的高质量后训练数据集。因其数据来源真实、场景丰富，被大量基于Llama、Qwen等开源模型的开发者用作提升模型对话能力的关键“补品”。然而，就在这个看似纯技术的“补品”中，我们发现了一条被精心“投毒”的数据：

对话的前半段完全正常，用户询问“Mac电脑上的网络数据包嗅探工具”，模型也给出了专业的回答，介绍了6款相应的工具。

然而，对话后半段画风突变，提问者突然用繁体中文连续提出极具诱导性的反华政治问题，并引导模型就所谓“中国崩溃论”等议题进行“分析”。

作者在开源后训练数据集tulu_v3.9_wildchat_100k中发现伪装成技术问答的“捆绑式投毒”手法截图

这种将技术问答与政治宣传进行“捆绑投毒”的手法，可谓是精心策划。在一个几乎不含中国政治内容的数据集中，插入这样一条孤立但观点极端的样本，其后果是什么？在后训练过程中，模型会对着这条被污染的数据重复学习成百上千遍。这相当于在模型的“潜意识”深处，植入了一个关于中国政治的、极其负面的“思想钢印”。这已经不是简单的偏见，而是典型的“混合战争”在数字认知领域的延伸，其目的就是利用开源社区的开放性，在AI模型的心智中埋下意识形态的“特洛伊木马”。

类似的“系统性灌输”在其他常用数据集中也屡见不鲜。例如，在被广泛用于模型能力评测的MMLU数据集中，充斥着大量体现“西方中心论”的问答。对一条数据公然将充满殖民主义色彩的诗作《白人的负担》解读为“对先进文明承担的责任的提醒，即应将现代文明的成果带给欠发达地区的人民”；另一条则武断地宣称“前苏联的案例表明极权主义与先进工业技术不相容”。