互联网投毒:250个文档毒翻万亿参数模型

数据投毒（Data Poisoning），是指攻击者通过操纵或污染AI模型的训练数据，使模型产生偏差、错误甚至恶意的输出。因为大模型的一切能力都来自数据——垃圾进，垃圾出（Garbage In, Garbage Out）。

IBM将其分为四类攻击方式：

2026年4月，Reddit上出现了一个名为r/PoisonFountain的社区。创建者自称关注AI行业问题的内部人士，社区唯一目标：鼓励尽可能多的人向AI训练集爬虫投喂海量垃圾数据。

社区设定的目标是到2026年底每天提供1TB投毒数据。核心武器是rnsaffn.com网站——它被AI爬虫极具吸引力的垃圾链接环绕，生成的代码页面乍看完全正确，实际上布满细微错误，最终完全无法使用。

技术上过滤这些错误并非不可能，但在大规模数据集上逐一排查的成本极其高昂。这就是投毒攻击的精髓：防守成本远高于攻击成本。

Anthropic联合英国AI安全研究所和艾伦图灵研究所发布的研究结论令人震惊：

研究表明，一个130亿参数的模型即使使用了比6亿参数模型多20倍的训练数据，同样数量的投毒文档就能让其「中招」。模型规模和数据的增长并没有带来对投毒的免疫力。

这意味着：越大越强的模型，并不比小模型更安全。投毒成本不随模型规模增长，但防御成本却指数级上升。

投毒不只发生在训练阶段。绿盟科技报告显示，供应链投毒正在成为大模型安全的新前线。

2025年1月，有人向PyPI上传了名为deepseek和deepseekai的恶意Python包，冒充DeepSeek官方SDK。这些包一旦被安装，就会窃取数据库凭据、API密钥和云存储访问凭证，波及17个国家，下载超200次。

更隐蔽的是LLM劫持攻击：攻击者利用窃取的云凭证，通过OAI反向代理将受害者的云LLM服务访问权转售，短短几小时就能烧掉数万美元的API额度。

国家安全部也发出警示：所谓「数据投毒」，是通过向AI大模型训练数据中注入伪装成正常样本的恶意数据，手段隐蔽，产业链日趋完整。

芝加哥大学开发的Nightshade工具，让数字艺术家在上传作品前对图片像素进行微妙修改。这些修改人眼无法察觉，但一旦被AI爬虫抓取用于训练，就会严重干扰模型学习——比如让AI把「牛」的图片误分类为「皮包」。

这是艺术家对AI未经授权使用其作品训练模型的主动反击。Nightshade不是黑客武器，而是一种版权保护的数字工具——它让「投毒」这个词的含义变得复杂：既是攻击，也是防守。

OWASP已将「数据和模型投毒」列为2025年LLM应用十大安全风险之一（LLM04）。行业共识正在形成：数据安全不只是隐私问题，更是AI安全的基石。

以上内容基于公开信息整理，仅供参考，不构成投资建议。