夜雨聆风近期，国家安全部发布警示，将一条围绕AI大模型的隐蔽黑色产业链——AI“投毒”推向公众视野。当人们开始依赖AI获取信息、做出决策时，一些人正在系统性地污染AI的知识土壤，使这些被视为“权威”的智能助手悄然变成谎言的扩音器。这已不再是一个技术漏洞的问题，而是一场有组织、有目的的“认知污染”攻击。
AI“投毒”如何运作？
AI“投毒”的核心逻辑是操纵输入、操纵输出。根据攻击环节的不同，目前主要有两种稳定的攻击模式。
一种是数据投毒。大模型的知识高度依赖训练数据和联网检索到的内容。攻击者利用GEO（生成式引擎优化）工具，批量生成表面上专业、权威的虚假评测、对比文章、问答内容，并大规模散布到各类网站、论坛和百科中。当AI在训练或实时检索时抓取到这些“有毒”信息，就会将其内化为自己的知识。更致命的是，这种污染具有迭代效应：一个被污染过的AI生成的新内容，可能被另一个AI再次抓取学习，形成虚假信息的自我繁殖闭环。
央视“3·15”晚会曝光了AI“投毒”的商业案例。一个虚构的“Apollo-9智能手环”，通过GEO手段编造出“量子纠缠传感”等伪科技概念，大量虚假医疗测试报告和用户体验充斥网络，最终导致多个主流AI助手将其识别并推荐为“年度优品”。这种行为不仅构成不正当竞争，更直接侵害消费者的知情权与财产安全。
另一种是模型投毒。它比数据污染更加隐蔽，直接在模型微调、插件或智能体记忆环节植入恶意指令。此类攻击如同给AI装上一个“开关”：平时一切正常，可一旦用户提问中含有特定关键词——某个品牌、某个人物或某个事件——AI便会触发预设的虚假输出。这种方式精确、可控，且极难被常规安全检查发现，相当于在智能系统中潜伏了一个数字间谍。
这些攻击之所以能够产业化，是因为背后已形成一条完整的黑灰色产业链：上游提供“投毒”技术和工具，中游批量生成虚假内容并操控账号矩阵进行大规模发布，下游则通过刷量、控评、操纵榜单来变现，服务对象从想打压对手的企业到企图操纵舆论的境外势力，不一而足。
从法律层面，AI“投毒”已触及多重法律红线。在民事和行政层面，编造虚假产品信息并操控AI推荐，可能同时触犯《反不正当竞争法》《广告法》和《消费者权益保护法》，构成虚假宣传和不正当竞争。如果投毒过程中盗用他人原创内容或商标，还会涉及著作权和商标权侵权。更有甚者，可能涉及刑事责任。
AI“投毒”如何防御？
数据“投毒”正在成为网络攻击的新前沿。AI“投毒”的攻防之间，存在一种令人忧虑的不对称——攻击者能够以极低成本、自动化和大规模的方式制造污染信息，而防御方却往往需要付出高昂代价去逐条核验与清洗。这并非一场势均力敌的技术竞赛，而是一场投入悬殊的艰难防御。
技术层面的努力已经在路上。数字水印等技术试图在AI生成内容中嵌入肉眼不可见的标记，以便下游系统能识别和过滤掉其他AI批量制造的“毒信息”，避免“近亲繁殖”。通过C2PA等标准建立内容的可信来源档案，让AI能够验证信息的原始出处。在模型层面，类似A-MemGuard的前沿技术能为AI智能体的记忆模块上锁，防止被恶意记忆污染。平台化部署将成为防御核心，通过一体化架构提升威胁可见性与响应速度。然而，这些技术防线每加固一层，攻击者就会寻找下一处弱点，技术防御注定没有终点。
根本屏障在于法律和制度的完善。专家呼吁在《网络安全法》《数据安全法》等基础上，出台更明确的治理指引，将数据“投毒”明确纳入网络攻击的范畴，并赋予网信、公安、市场监管等多部门联合执法的权限。同时，必须压实AI运营者的主体责任，要求其对训练语料和实时检索源进行严格核查，建立可追溯、可审计的内容供应链。斩断产业链不能只打终端，需要覆盖技术提供、内容生产、发布渠道、变现模式等全部环节。
对于普通用户而言，抵御“投毒”的最后一道防线在于提升自身的“AI素养”。永远不要对AI的答案无条件信任，尤其是涉及投资、医疗、法律等重要决策时，交叉验证比一键相信更重要。学会多问一句“这个有权威来源吗”，并习惯性地用传统搜索和官方渠道进行核实，投毒者的谎言产量就会失去最大化的传播效应。
AI“投毒”的本质，是利用人类对技术理性的信任进行劫持。这不是一个单纯的技术问题，而是一场发生在信息生态底层的社会信任危机。技术的铠甲和法律的利剑固然不可或缺，但最终决定这场认知战输赢的，可能是每一位普通的接收者是否愿意保留一份清醒的批判性思维。在智能时代，怀疑主义不是反智，而是自我保护的最后一座堡垒。当机器越来越像人一样说话，“他们说的话不一定就是真理”这句话就越来越重要。
（来源：人民邮电报）
更多干货
