数据投毒（Data Poisoning）

一句话理解

往模型的“课本”里塞私货——在训练数据里埋进特定样本，让训出来的模型遇到某个触发条件就按攻击者的意思输出。

定义

数据投毒（Data Poisoning）指攻击者向训练数据混入恶意样本，使模型习得错误行为的攻击。网络爬取的语料、开放贡献的数据平台都是潜在投毒面。

你会在哪遇到它

讨论“网络语料不可信”时；开源数据集的安全审计研究；“网页里藏的暗文可能影响模型”的推测性报道。

背后的原理

两类典型：定向投毒——植入触发器，模型见到特定图案或短语才输出指定行为，平时完全正常，极难察觉；污染偏见——系统性放大某类内容，让模型输出偏向攻击者想要的方向。大模型时代的新变量：训练语料规模大到无法人工审校，且“AI 生成内容回流网络”可能形成自污染循环。防御靠数据溯源、清洗与异常检测，但都属于概率性缓解。

和相近概念的区别

1 与对抗样本：投毒影响训练好的模型本身，对抗样本只骗单次推理。 2 与提示注入：注入攻击的是当次会话，投毒影响的是模型的“一生”。 3 与后门攻击：投毒是手段，成功植入的后门是结果。

常见误区

1 普通网页影响不了大模型——单条影响趋近于零，但规模化协同投毒是研究确认的真实威胁。 2 投毒一定立刻见效——触发器类后门可以潜伏到被触发才暴露。 3 换干净数据重训就好——成本极高，且“哪些数据干净”本身就难验证。